Une plateforme libre de gestion des identifiants pour equipes techniques. Le coffre se pose sur votre serveur, navigateurs, telephones et ligne de commande lisent les memes donnees, et les cles se creent chez le client.

Partager des identifiants, et l ennui qui nait du partage

Une equipe a plus de comptes que de personnes. Serveurs, bases de donnees, systemes internes, acces de partenaires : les phrases secretes circulent entre historiques de discussion, tableurs et papiers, et ensuite personne ne peut dire qui en a change une, qui en a lu une, ni si l acces a ete retire au depart de quelqu un. C est exactement ce passage que Passbolt travaille. Il se presente comme une plateforme d identifiants pour equipes, vise celles qui ont une vraie habitude de securite, et souligne qu un groupe de cinq et une organisation de cinq mille conviennent tous deux.

Le chiffre avance par le site depasse cinquante mille organisations dans le monde, avec des administrations, des organismes de defense et des entreprises de technologie parmi les secteurs cites. L editeur, Passbolt SA, siege au Luxembourg, traite le fabrique en Europe comme un argument officiel et indique avoir rejoint l alliance FIDO.

Le coffre chez soi : hebergement maison, conteneurs ou cloud

La forme du produit fixe le lieu des donnees. L hebergement maison est la ligne principale, installe sur votre serveur ou derriere le pare feu, et les voies proposees sont l installation directe d un paquet, l orchestration de conteneurs ou un deploiement depuis les sources. La page de securite note qu il peut tourner dans un environnement isole, donc une machine coupee du reseau exterieur, ce qui est une exigence ferme pour les contextes classifies et fortement encadres. Le script d installation couvre les principales distributions Linux, et des images de conteneur et de machine virtuelle offrent deux raccourcis.

Pour une equipe qui ne veut pas tenir un serveur, il existe une edition hebergee en Europe, avec des centres de donnees dans l Union europeenne et chaque espace client dans sa propre base avec separation logique. Hebergement maison et cloud partagent les memes clients, donc changer ne veut pas dire reapprendre.

Chiffrement de bout en bout et modele de cles OpenPGP

Ce qui separe cet outil du coffre en ligne courant, c est le lieu du chiffrement. Passbolt repose sur OpenPGP, le standard ouvert, et chaque membre cree une paire de cles en local : la cle publique part vers le serveur, la cle privee reste sur l appareil, et le texte d origine dit que la cle privee ne passe jamais par le serveur. Partager une entree la chiffre avec la cle publique du destinataire, et seul le detenteur de la cle privee correspondante peut l ouvrir.

Un cran plus fin, le chiffrement par entree. Chaque enregistrement est traite avec sa propre cle, donc une fuite n emporte pas le reste, et la cle tourne a chaque mise a jour, ce qui evite de partager une seule cle de coffre pendant des annees. La connexion demande par defaut la cle privee plus une phrase secrete, soit deux facteurs, et une couche supplementaire a plusieurs facteurs est disponible. Contre l harponnage, l interface affiche un jeton de trois lettres avec une couleur et le compare a l adresse, ce qui rend une page imitee difficile a faire passer.

Navigateur, telephone et ligne de commande sur un coffre

La couverture des clients est une force du projet. L extension de navigateur est la porte principale et prend en charge le remplissage, la creation de phrases solides et la correspondance du site, les applications mobiles cherchent et remplissent en deplacement, et un programme natif existe pour le bureau. Les trois lisent les memes donnees chiffrees, donc aucun cas d une modification ici et d une valeur ancienne ailleurs.

La voie pour l exploitation et le developpement est un outil en ligne de commande avec une interface JSON. Les commandes citees couvrent creation, suppression, export, lecture, liste, deplacement et partage, ce qui permet de loger la prise d une phrase secrete dans un script de chaine : l injecter en variable d environnement pendant un deploiement, la jeter ensuite, et garder l identifiant hors du depot. L interface est entierement ouverte et un SDK sert a un tableau maison. L etiquette de publication du depot officiel se tient actuellement a 5.16.0.

Couches de droits, trace d audit et trois paliers

Dans la collaboration, tout depend de la finesse des droits. Passbolt les organise en trois couches : dossiers, groupes et roles. Un dossier prive appartient a une personne, un dossier partage se donne par groupe, et les roles suivent le controle d acces par role avec deux principes, n accorder que le necessaire et accorder au bon moment, donc l acces s ouvre au besoin et se referme aussitot, et le site note que ce retrait agit aussi au niveau des cles.

Pour la trace, les administrateurs lisent un journal des activites qui montre qui a pris, change ou partage quel identifiant et quand, et il s exporte au format d un journal systeme quand il doit nourrir un systeme existant. Sur les titres, le site cite un rapport d audit SOC 2 Type II et la conformite au GDPR, indique qu un test d intrusion independant par un tiers a lieu au moins une fois par an, ajoute un programme de primes pour les failles trouvees et publie les rapports d audit. Les donnees au repos dans le cloud utilisent AES sur 256 bits.

Les licences tiennent en trois paliers. L edition communautaire est libre sous AGPLv3, gratuite sans limite de duree, sans plafond de membres, et comprend la gestion des mots de passe et des dossiers, utilisateurs et groupes, l authentification a deux facteurs, l extension de navigateur et la ligne de commande, l interface ouverte et le controle d acces par role. Pro ajoute la gestion des etiquettes, la synchronisation avec un annuaire, la connexion unique, la recuperation de compte et le journal des activites, au prix public de 4.9 dollars par utilisateur et par mois, facture a l annee, a partir de dix utilisateurs, avec remise sur volume au dela de cent. Enterprise est sur devis et ajoute le conseil en haute disponibilite et reprise apres sinistre, la migration accompagnee et un delai de reponse plus court. La gamme publie une version le deuxieme mercredi de chaque mois, et la feuille de route est ordonnee par le vote de la communaute.

Si une equipe a besoin que ses phrases secretes restent sur son serveur et que chaque prise soit justifiable, Passbolt offre une chaine complete : chiffrement de bout en bout sous OpenPGP, trois sortes de clients sur un coffre, droits et audit qui se resserrent couche par couche, une edition communautaire libre et les capacites avancees vendues au nombre de membres.