Fusionner les entrées en double dans Bitwarden, pas à pas

Après quelques années avec Bitwarden, le même identifiant existe souvent trois ou quatre fois : une fois issu d'un ancien import, une fois enregistré par l'extension du navigateur, une fois dans une organisation partagée. Bitwarden sait supprimer des entrées, mais pas les fusionner. Supprimer les doublons à la main fait perdre ce que seule cette entrée contenait : une deuxième URL, une note, une clé TOTP ou un ancien mot de passe.

BitMerger s'occupe de la fusion. Il fonctionne sur votre ordinateur, communique avec votre coffre via la CLI officielle de Bitwarden et présente chaque groupe de doublons sous forme de carte que vous vérifiez avant tout changement.

Avant de commencer

• Gardez un export de votre coffre. Les doublons vont dans la corbeille de Bitwarden et restent restaurables pendant 30 jours, mais un export reste la solution de repli la plus sûre avant un grand ménage.
• Ne modifiez pas le coffre ailleurs pendant la fusion. Fermez les autres applications Bitwarden, ou du moins n'y modifiez pas d'entrées tant que BitMerger n'a pas terminé.
• Utilisez votre propre ordinateur. Pendant que BitMerger tourne, d'autres programmes du même ordinateur pourraient communiquer avec la CLI Bitwarden locale, comme avec une session bw déverrouillée.

1. Télécharger et lancer BitMerger

Téléchargez le fichier pour votre système dans la section Téléchargement. C'est un seul fichier, rien à installer. Les fichiers ne sont pas encore signés, macOS et Windows demandent donc une fois si vous voulez l'ouvrir.

Une petite fenêtre de terminal reste ouverte pendant que BitMerger tourne, et votre navigateur ouvre l'interface. Au premier démarrage, BitMerger télécharge la CLI officielle de Bitwarden (environ 45 Mo) depuis les versions GitHub de Bitwarden et la vérifie avec une somme SHA-256 fixée.

2. Se connecter au coffre

Choisissez votre serveur : bitwarden.com (US), bitwarden.eu (EU) ou auto-hébergé pour Vaultwarden et votre propre serveur Bitwarden. Connectez-vous ensuite avec e-mail et mot de passe principal, ou avec votre clé API personnelle.

• La connexion en deux étapes fonctionne : choisissez la méthode et saisissez le code. Pour les codes par e-mail, choisissez Email et cliquez sur Log in sans code, Bitwarden vous en envoie alors un.
• La clé API personnelle est recommandée pour bitwarden.com, car elle évite les e-mails de nouvel appareil. Elle se trouve dans le coffre web sous Paramètres → Sécurité → Clés.

Votre mot de passe principal va directement à la CLI Bitwarden. BitMerger ne l'enregistre jamais et ne l'envoie nulle part ailleurs.

L'interface de BitMerger existe en anglais et en allemand ; les captures d'écran de ce guide sont en anglais.

3. Lancer l'autotest une fois

Avant votre première fusion, lancez l'autotest (Run selftest) sur la page de recherche. Il crée deux entrées jetables sur votre serveur, les fusionne, vérifie le résultat (mot de passe choisi en place, autres mots de passe dans l'historique, toutes les URL conservées, notes ajoutées, doublons dans la corbeille) puis les supprime définitivement.

Si l'autotest échoue, ne fusionnez pas. Merci de le signaler sur GitHub avec le message affiché.

4. Choisir comment les doublons sont trouvés

BitMerger lit votre coffre avec ses organisations et collections. Deux réglages décident quelles entrées comptent comme le même compte :

• Par hôte (By host) garde magasin-velo.zendesk.com et agence-voyage.zendesk.com séparés : portails d'aide de deux entreprises, deux comptes. C'est le choix sûr.
• Par domaine (By domain) regroupe aussi shop.example.com et account.example.com sous example.com. Il trouve davantage, mais les groupes avec des sous-domaines différents sont signalés et non présélectionnés.

Sous Filter folders, vous pouvez exclure des dossiers comme d'anciennes sauvegardes. Les dossiers corbeille importés, comme la « Corbeille » de KeePass, sont exclus par défaut.

Un autre nom d'utilisateur n'est jamais un doublon. Les domaines équivalents courants comptent comme un seul site, par exemple live.com et microsoft.com ou gmail.com et google.com.

5. Vérifier chaque groupe

Chaque groupe est une carte. Pour chacune, vous décidez :

• Quelles entrées participent. Les entrées décochées restent intactes.
• Quelle entrée reste (cible). Tout y est fusionné : URL, notes, champs personnalisés et pièces jointes des autres. Elle garde son dossier, sa clé d'accès et, sauf si vous en saisissez un nouveau, son nom.
• Quel mot de passe reste. Tous les autres vont dans l'historique des mots de passe. La même lettre signifie le même mot de passe, les lettres ne disent rien de l'âge.
• Un nouveau nom, si vous le souhaitez.

Les modifications sont enregistrées automatiquement. Les groupes répartis sur plusieurs organisations sont signalés et ignorés tant que vous ne décochez pas des entrées pour n'en garder qu'une. Les entrées sans URL qui ne partagent que le nom et le nom d'utilisateur apparaissent comme une correspondance plus faible et ne sont jamais présélectionnées.

6. Contrôler l'essai à blanc

L'essai à blanc (Dry run) compare votre plan au coffre actuel et montre exactement ce qui va se passer par compte : quelle entrée est conservée, ce qu'elle reprend (URL, historique des mots de passe, notes, champs, pièces jointes) et quelles entrées vont à la corbeille.

Bitwarden conserve au plus cinq anciens mots de passe. Si les mots de passe actuels d'un groupe ne tiennent pas dans l'historique, le groupe est ignoré au lieu de perdre un mot de passe.

7. Fusionner

Lancez la fusion. Elle s'exécute en arrière-plan avec une barre de progression. Vous pouvez fermer l'onglet et rouvrir le lien plus tard, mais le programme BitMerger lui-même doit continuer à tourner. Quitter attend la fin du groupe en cours.

Ensuite

• Les doublons sont dans la corbeille de Bitwarden et peuvent y être restaurés pendant 30 jours.
• Ouvrez quelques entrées fusionnées dans Bitwarden et vérifiez les URL, les notes et l'historique des mots de passe.
• Quittez BitMerger dans le navigateur. Il vous déconnecte et supprime sa copie locale de vos entrées, comme après 20 minutes sans activité dans le navigateur.