Fermer les portes qui restent ouvertes

Le guide d'installation ferme les inscriptions et laisse la page d'administration désactivée. Le guide de durcissement de Vaultwarden va plus loin. Chaque réglage ferme une porte précise ; ensemble, ils réduisent ce qu'un intrus pourrait faire s'il atteignait le serveur.

Les comptes : qui peut entrer

• Inscriptions (« SIGNUPS_ALLOWED ») : ouvertes par défaut. Fermez-les dès les comptes du foyer créés.
• Invitations (« INVITATIONS_ALLOWED ») : ouvertes par défaut, elles permettent aux administrateurs d'une organisation d'inviter quelqu'un même inscriptions fermées. Si personne n'a à inviter, fermez-les aussi.
• Création d'organisations (« ORG_CREATION_USERS ») : par défaut, tout utilisateur peut en créer. On peut la limiter à une liste d'adresses, la vôtre par exemple.

Les indices de mot de passe

Un indice aide à se souvenir du mot de passe maître, mais il aide aussi un attaquant à le deviner. Deux réglages :

• « SHOW_PASSWORD_HINT » affiche l'indice directement sur la page de connexion : il est désactivé par défaut, gardez-le ainsi ;
• « PASSWORD_HINTS_ALLOWED » permet tout simplement de définir des indices : vous pouvez l'interdire. Le bon secours n'est pas un indice, mais le mot de passe écrit sur papier et rangé en lieu sûr.

La page d'administration

Désactivée tant qu'aucun jeton n'est défini, c'est la meilleure situation. Si vous en avez besoin, utilisez un jeton haché (Argon2) et non un mot de passe en clair, puis retirez-le une fois le travail fait. Ne réglez jamais l'option qui supprime la protection de cette page : elle n'est prévue que derrière une autre couche d'authentification.

La limitation des tentatives

Vaultwarden limite d'office les tentatives de connexion : en moyenne une toutes les 60 secondes par adresse, avec une rafale tolérée de 10. Pour la page d'administration, une toutes les 300 secondes, rafale de 3. Ces réglages par défaut conviennent ; ne les relâchez pas.

flowchart TD
    I["Intrus qui atteint le serveur"] --> R{"Que peut-il tenter ?"}
    R --> S["Se créer un compte<br/>→ inscriptions fermées"]
    R --> V["Se faire inviter<br/>→ invitations fermées"]
    R --> H["Lire un indice<br/>→ indices masqués ou interdits"]
    R --> A["Ouvrir l'administration<br/>→ page désactivée"]
    R --> B["Deviner un mot de passe<br/>→ tentatives limitées"]

Erreurs fréquentes

• Fermer les inscriptions en oubliant les invitations. Un compte d'organisation compromis peut encore inviter.
• Laisser un jeton d'administration en clair dans le fichier de configuration.
• Compter sur l'indice plutôt que sur un secours écrit.

À retenir

• Inscriptions, invitations, création d'organisations : fermez ce qui ne sert pas.
• Indices masqués, voire interdits.
• Administration désactivée par défaut ; jeton haché et temporaire si besoin.

Mini-exercice

Relisez votre fichier compose.yml et listez les réglages de cette leçon qui y figurent. Pour chacun absent, décidez s'il faut l'ajouter, puis appliquez avec « docker compose up -d ».