Bitwarden passe ses applications officielles sous licence commerciale : la version libre GPLv3 reste sur GitHub, mais l’écart pourrait se creuser

Le 9 octobre 2026, Bitwarden a annoncé sur son forum communautaire qu’à partir de sa prochaine version, les applications publiées dans les magasins d’applications seraient des versions sous licence commerciale. Le site spécialisé Linuxiac, qui a détaillé l’annonce le 19 octobre 2026, précise que le changement concerne aussi les applications téléchargées directement sur le site de l’éditeur. Le code des applications de ce gestionnaire de mots de passe est publié par défaut sous GPLv3, une licence libre, et cette version ne disparaît pas : elle continue d’être publiée sur GitHub. Voici ce qui change, ce que dit l’éditeur et ce qui reste à éclaircir.

Ce qui change

Selon Linuxiac, les applications distribuées par Google Play, l’App Store d’Apple et les boutiques d’extensions pour navigateurs passeront sous la licence commerciale de Bitwarden dès la prochaine version. Pour l’utilisateur, l’éditeur se veut rassurant : aucune action n’est nécessaire, et toutes les fonctions existantes restent présentes dans les deux versions, y compris dans le plan gratuit. Selon l’analyse publiée sur DEV Community, l’éditeur précise aussi que les applications des magasins sont compilées directement à partir d’un code publié sur GitHub et que chacun peut examiner.

La version sous licence libre reste donc disponible. Linuxiac indique que le code GPLv3 continuera d’être développé et publié sur GitHub, où chacun peut l’examiner, proposer des modifications et créer une version dérivée (un fork). Le site PBX Science le confirme : l’édition open source continuera d’être développée et publiée sur GitHub. La différence tient donc moins au code visible qu’aux droits attachés à l’application que l’on installe réellement sur son téléphone ou son ordinateur.

Bitwarden présente ce changement comme une mesure ciblée. D’après PBX Science, le changement vise les acteurs qui reconditionnent et revendent Bitwarden, et non les utilisateurs ordinaires. Linuxiac rapporte la même position : selon l’éditeur, les nouvelles règles concernent principalement les organisations qui reconditionnent ou revendent son logiciel.

Bitwarden prévient que certains composants futurs n’existeront que dans la version sous licence commerciale.

Libre, mais pas partout

C’est sur l’avenir que l’annonce appelle le plus de vigilance. Selon Linuxiac, chaque nouvelle fonction sera évaluée individuellement pour déterminer la licence qui s’applique, si bien que la version GPLv3 et la version commerciale pourraient ne plus offrir exactement les mêmes fonctions. Toujours d’après Linuxiac, les fonctions réservées à la version commerciale concerneront surtout de nouvelles fonctions, de nouveaux produits et de nouvelles capacités destinés aux entreprises, mais certaines fonctions Premium pourraient aussi en relever, au cas par cas. Un article publié le 11 octobre 2026 sur la plateforme DEV Community relève que la réponse de l’éditeur ne nomme aucune fonction ni aucune date.

Bitwarden affirme ne pas abandonner l’open source. Selon Linuxiac, même les composants sous licence commerciale resteront consultables publiquement, sans offrir pour autant les mêmes droits de modification et de redistribution que la GPLv3. La nuance est de taille : un code que l’on peut lire n’est pas un code libre si l’on n’a pas le droit de le modifier et de le redistribuer. Le site PBX Science le formule ainsi à propos de la licence propre de Bitwarden : elle rend le code visible, mais ce n’est pas une licence open source au sens de l’Open Source Initiative, l’organisme qui fait référence pour définir ce terme.

Le mélange des licences n’est pas nouveau. Le fichier de licence du dépôt des applications de Bitwarden indique que le code relève soit de la GPL v3.0, licence par défaut, soit de la Bitwarden License v1.0, ce second code étant rangé dans un dossier à part, nommé bitwarden_license. Cette licence maison autorise l’usage des modules commerciaux pour le développement et les tests internes, hors production, et interdit notamment de les vendre, de les distribuer ou d’en concéder des sous-licences à des tiers. Autrement dit, la frontière existait déjà dans le code : elle s’étend désormais aux applications officielles.

Ce n’est pas la première fois que la licence de Bitwarden fait débat. Le 4 novembre 2024, le site britannique The Register rapportait que l’éditeur venait de placer sous GPL3 son SDK, un kit de développement logiciel utilisé par ses applications et jusque-là soumis à une licence maison. Auparavant, selon le même article, le code publié ne pouvait plus être compilé sans erreur si l’on retirait ce SDK interne. Bitwarden avait d’abord évoqué une erreur d’empaquetage mal comprise ; après le passage du SDK sous GPL3, l’ensemble pouvait de nouveau être compilé. Le précédent montre que la vigilance de la communauté pèse, mais aussi que la limite entre code libre et code commercial chez Bitwarden mérite d’être surveillée à chaque version.

Et l’auto-hébergement ?

Pour ceux qui hébergent eux-mêmes leur coffre-fort de mots de passe, Bitwarden indique, selon PBX Science, que l’auto-hébergement n’est pas concerné et que les projets de serveurs communautaires ne sont pas modifiés par ce changement ; Linuxiac précise que les serveurs compatibles développés par des tiers peuvent continuer à fonctionner comme avant. C’est le cas de Vaultwarden, serveur non officiel compatible avec Bitwarden, écrit en Rust et publié sous licence AGPL-3.0. Mais Vaultwarden ne remplace que le serveur : il met en œuvre l’interface utilisée par les applications de Bitwarden, et ce sont donc ces applications qui s’y connectent. Un utilisateur de Vaultwarden qui installe l’application depuis un magasin recevra, lui aussi, la version sous licence commerciale.

Vérifier, ou changer d’outil

Reste ce que l’on ne peut pas vérifier à ce jour. L’analyse publiée sur DEV Community rappelle que l’annonce ne fixe ni numéro de version ni date de livraison pour chaque magasin, et son auteur précise n’avoir mené aucune comparaison indépendante entre les applications publiées et le code source : l’affirmation selon laquelle les applications des magasins sont compilées à partir du code public reste donc celle de l’éditeur. Pour qui tient à une application entièrement libre, la voie la plus sûre consiste à compiler soi-même la version GPLv3 publiée sur GitHub, ce qui demande des compétences techniques. KeePassXC offre une autre piste : ce gestionnaire de mots de passe fonctionne sous Windows, macOS et Linux, son code est publié sous GPLv3 et, selon le projet, aucune donnée n’est stockée sur des serveurs distants, ce qui implique d’organiser soi-même la synchronisation entre appareils.

Pour une TPE, une association ou un particulier qui utilise Bitwarden, rien n’impose de changer d’outil dans l’urgence : selon l’éditeur, les fonctions actuelles restent disponibles dans les deux versions et le plan gratuit est maintenu. Il est en revanche utile de savoir ce que l’on installe et de vérifier, au fil des mises à jour, si des fonctions apparaissent d’un seul côté. Un logiciel libre se juge à sa licence plus qu’à ses promesses. Si vous souhaitez faire le point sur votre gestionnaire de mots de passe ou découvrir une solution entièrement libre, l’accompagnement bénévole et gratuit d’Azure Informatique peut vous y aider, dans la mesure de nos disponibilités.