Ce que je veux dire, c'est qu'en entreprise (ou dans n'importe quel environnement sur lequel on veut actuellement installer un gestionnaire de mot de passe de façon sécurisée et propre), une VM complète sera de toute façon dédiée pour cela (et probablement sur un VLAN spécifique aussi). Donc tu auras de toute façon un système complet à gérer. À partir de là, installer Docker pour installer Vaultwarden ne fait pas sens. Autant faire une installation bare propre.

On a effectivement pas du tout la même expérience.

De mon côté, j'ai pu en déployer dans deux types d'entreprise, des PME et des gros groupes.

Côté PME, ils vont te filer une VM sur l'infra Proxmox/ESX du coin, vu qu'il est pas rempli de toute façon et que c'est pas ça qui va le charger plus que ça si tu fais une installation lite (ce qui est le cas en bare, Debian minimal, nginx, Vaultwarden, ça réussit à passer même dans 512 MB si nécessaire, même si on recommandera plus évidemment).

Réflexion que j'ai entendue par l'une d'entre elle : "On va pas payer du SaaS alors qu'on a de la place sur notre hyperviseur.Si ça tombe en panne de toute façon on aura d'autres urgences".

Donc on te file une VM, et donc la maintenance de la VM tu vas devoir la prendre en compte de toute façon, que tu sois en bare ou pas sur ton install Vaultwarden. Mais au final, un petit script d'update qui s'en charge totalement (quelques minutes à écrire en faisant les choses proprement et en proposant un rollback en une action) ou un pipeline CD propre selon le temps qu'on te donne, et c'est réglé.

Côté gros groupes, l'offre SaaS t'oublies. Quand t'as 5/10k+ users à couvrir juste en première cible, à 6$/mois/user en tarif public, on te laisse même pas contacter l'équipe commerciale pour avoir une réduction. Ton "projet sécurisant", il passe à la trappe direct si tu annonces un budget de départ à 700k+ par an pour ça, c'est même pas la peine.

Du coup, tu discutes avec les équipes IT concernées. Et là, Docker, c'est mort né. Soit tu te fais bloquer direct par le CISO qui te rie au nez en te disant que Docker ça passe pas la cyberassurance et donc c'est interdit, soit tu te prends une fin de non recevoir des équipes infras/sécu qui veulent pas en entendre parler pour des raisons de sécurité.

Au final, on te fournit une VM sur une infra dédiée aux VMs critiques qui dispose d'un RTO à quelques secondes, et entre les points de restaurations automatiques immutables toutes les X secondes et les snapshots que tu fais avant d'intervenir, t'es plutôt tranquille si tu fais pas n'importe quoi de A à Z.

Bien sûr dans les deux cas tu incites fortement l'entreprise concernée à faire un don au projet pour ne pas rentrer dans le cas des gros leechers qui prennent tout sans jamais rien donner.

Bref, mon commentaire initial était surtout un coup de gueule au fait qu'on voit de plus en plus de tutos et même de README sur les projets en mode "Very easy to setup, use docker compose and voilà!". C'est assez chiant. Si quelqu'un veut utiliser Docker, il n'aura aucun mal à trouver les images pour, mais quand je vais sur un projet, j'attends d'un README qu'il soit utile, pas qu'il nous laisse déchiffrer des Dockerfile. Et c'est un peu la même pour des tutos. Qu'ils mentionnent Docker comme une des méthodes, pourquoi pas, mais qu'ils se basent 100% dessus, c'est passer à côté de la cible. Si t'as besoin d'un tuto pour te dire comment faire tourner Vaultwarden sur Docker, tu devrais peut-être pas envisager de faire tourner Vaultwarden sur Docker, parce que tu vas forcément rater quelque chose niveau sécurité. Je dis pas ça méchamment, nombre d'articles d'équipes de cybersécurité déconseillent fortement d'auto-héberger son gestionnaire de mot de passe, c'est pas pour rien.