BitMerger est-il sûr ? Ce qu'il fait de votre coffre

Un outil qui voit tout votre coffre de mots de passe doit mériter la confiance. Cette page explique précisément ce que BitMerger fait de vos données, ce qu'il enregistre et où sont ses limites. Tout peut être vérifié dans le code source sur GitHub.

En bref

BitMerger est un programme sur votre ordinateur. Pas de serveur, pas de compte, pas de télémétrie.
Votre mot de passe principal va directement à la CLI officielle de Bitwarden. BitMerger ne l'enregistre pas et ne l'envoie nulle part ailleurs.
BitMerger n'écrit jamais de mots de passe sur le disque. Le résultat de la recherche reste en mémoire.
En quittant, BitMerger vous déconnecte et supprime la copie locale de vos entrées créée par la CLI.

Comment les éléments s'articulent

BitMerger démarre une petite interface web qui n'écoute que sur 127.0.0.1 et n'est pas accessible depuis votre réseau.
Votre navigateur affiche cette interface. L'accès exige un jeton aléatoire issu du lien de démarrage (transformé en cookie), un en-tête spécifique et le nom d'hôte exact. Les autres sites web et les attaques par DNS rebinding sont ainsi bloqués.
La CLI Bitwarden (bw) fait le vrai travail avec votre coffre : connexion, lecture, écriture. C'est le client officiel en ligne de commande de Bitwarden.

La CLI Bitwarden : officielle et vérifiée

Au premier démarrage, BitMerger télécharge la CLI Bitwarden (environ 45 Mo) depuis les versions GitHub de Bitwarden, la vérifie avec une somme SHA-256 fixée et la garde dans son propre dossier de cache. Rien n'est installé sur le système, et une CLI Bitwarden déjà présente sur votre ordinateur n'est pas modifiée.

La CLI fonctionne avec son propre dossier de données jetable. Quitter BitMerger vous déconnecte et supprime ce dossier. Il en va de même après 20 minutes sans activité dans le navigateur.

Ce qui est enregistré, et ce qui ne l'est jamais

Conservé pour la prochaine fois dans le dossier de cache de BitMerger :

le serveur (bitwarden.com, bitwarden.eu ou le vôtre),
votre e-mail ou votre ID client API,
l'ID d'appareil de la CLI, pour que le serveur ne signale pas un nouvel appareil à chaque démarrage,
votre sélection de dossiers.

Jamais enregistrés : mot de passe principal, secret API, codes à deux facteurs, et aucun de vos mots de passe.

Pendant une session, la CLI Bitwarden garde une copie chiffrée de vos entrées dans son dossier jetable, comme tout client Bitwarden. Elle est supprimée en quittant.

Une fusion prudente

D'abord l'essai à blanc. Il compare le plan au coffre actuel et montre chaque changement avant toute écriture.
Écrire, vérifier, puis supprimer. L'entrée conservée est écrite et vérifiée avant que les doublons partent dans la corbeille.
Corbeille plutôt que suppression. Les doublons restent restaurables depuis la corbeille de Bitwarden pendant 30 jours.
Aucun mot de passe perdu. Les anciens mots de passe vont dans l'historique. S'ils ne tiennent pas (Bitwarden en garde cinq), le groupe est ignoré.
Pas de surprise entre organisations. Les groupes répartis sur plusieurs organisations ne sont jamais fusionnés automatiquement.

Limites connues

Pour la rapidité, BitMerger utilise bw serve, l'API locale de la CLI, liée à 127.0.0.1 avec la protection d'origine de Bitwarden. Pendant qu'il tourne, d'autres programmes de votre ordinateur pourraient communiquer avec elle, exactement comme avec une session bw déverrouillée. C'est pourquoi :

n'utilisez pas BitMerger sur un ordinateur partagé ou non fiable,
quittez BitMerger quand vous avez terminé.

Vérifier le téléchargement

Chaque version publie un fichier SHA256SUMS. Comparez-y la somme de contrôle de votre téléchargement :

# macOS
shasum -a 256 bitmerger-macos-apple-silicon

# Linux
sha256sum bitmerger-linux-x64

# Windows (PowerShell)
Get-FileHash bitmerger-windows-x64.exe -Algorithm SHA256

Les fichiers ne sont pas encore signés. C'est pourquoi macOS et Windows affichent un avertissement une fois au lancement de BitMerger.

Open source

BitMerger est sous licence MIT. Vous pouvez lire le code, le compiler vous-même (go test ./..., ./scripts/build.sh) et signaler des problèmes sur GitHub. BitMerger est un projet indépendant, sans lien avec Bitwarden, Inc.