Alternativ till 1Password och Bitwarden på egen server: Vaultwarden och Passbolt jämförda

1Password och Bitwarden sköter företagets delade lösenord som en tjänst, med ett pris per användare. Vaultwarden och Passbolt gör samma jobb på en egen server, utan pris per användare: lösenorden krypteras på varje persons enhet, och servern lagrar bara det den inte kan läsa. Vi gav båda samma lösenordsvalv på samma server. Vad 1Password och Bitwarden kostar, och vad du ger upp när du lämnar dem, står mot slutet av sidan, hämtat från deras egna sidor.

Det korta svaret

Välj Vaultwarden om du vill ha Bitwardens appar, som personalen kanske redan känner, i telefonen, på datorn och i alla webbläsare, med åtkomst utan nät, bifogade filer, nödåtkomst och synk från katalogtjänst utan kostnad, i en enda container som använde 10 MB minne. Räkna med att det är en inofficiell server skriven av frivilliga: Bitwarden ger ingen support för den, och det finns ingen du kan betala som står bakom den.

Välj Passbolt om delningen är det viktiga: varje lösenord krypteras för sig för varje person som får se det, en kollega som slutar mister åtkomsten i samma stund som du stänger av hen, och den görs av ett företag i EU som publicerar sina granskningar och säljer support när du vill ha det. Räkna med ett webbläsartillägg som alla måste använda, inga bifogade filer, inga lösenord utan nät, och kontoåterställning, SSO och synk från katalogtjänst bara i den betalda Pro-versionen.

Det här testade vi

Vi installerade båda på samma nya Melonslab VC-P Alloy (2 vCPU, 8 GB) med Debian 13 och följde våra guider Vaultwarden med rootless Podman och Passbolt med rootless Podman steg för steg. De körde under var sin användare, bakom samma Caddy. Varje steg i båda guiderna fungerade som det stod skrivet.

Sedan byggde vi samma valv för ett företag i båda:

• en organisation, Exempel AB, med en administratör, Anna, och två anställda, Erik och Olle;
• 30 inloggningar i fyra delade samlingar, som heter mappar i Passbolt: Shared (8), Finance (8), IT (8) och Marketing (6), 15 av dem med en engångskod (TOTP);
• olika åtkomst för var och en: Erik fick ändra i Finance, läsa Shared och IT och hade ingen åtkomst till Marketing; Olle fick ändra i IT och Marketing, läsa Shared och hade ingen åtkomst till Finance;
• två bifogade filer, en faktura och ett avtal, på två inloggningar i Finance;
• Olle slutar på företaget: Anna tog bort hans åtkomst, och vi kontrollerade vad han fortfarande hade på sin egen dator, med nätet bortkopplat.

De 24 inloggningarna i Shared, Finance och IT kom från en export från Bitwarden och de 6 i Marketing från en export från 1Password. Båda exporterna byggde vi själva, i de format som tjänsterna dokumenterar, eftersom vi inte skapade konto hos någon av dem.

Med Vaultwarden använde vi Bitwardens officiella webbläsartillägg 2026.9.3, webbvalvet och Bitwardens kommandoradsklient 2026.9.1, och med Passbolt dess webbläsartillägg 5.16.0 i Chromium och dess kommandoradsklient, go-passbolt-cli 0.5.2. Vi slog på tvåstegsinloggning för en användare, exporterade båda valven, startade om servern, mätte minnet i vila och medan folk arbetade, och körde säkerhetskopieringen från varje guide och återställde den till tomma volymer. Passbolts e-post gick till en testserver för e-post på samma maskin.

1Password och Bitwardens egen tjänst testade vi inte. Vi skapade inget konto hos någon av dem. Det sidan säger om dem kommer från deras egna sidor, som vi länkar till där vi använder dem och läste den 14 oktober 2026.

Siffrorna

Minnet är summan av appens containrar, mätt med podman stats fem minuter efter en omstart. Toppen är det högsta värdet medan två användare hämtade sina valv och lösenord i tre minuter: omkring 4,5 anrop i sekunden till Vaultwarden via dess API, och omkring två körningar i sekunden av Passbolts kommandoradsklient, som var och en loggar in med användarens nyckel. Tiderna är hur lång tid guidens kommandon tog att köra, mest nedladdning av avbilder, inte tiden du behöver för att läsa och skriva dem. Passbolts databasfiler är mest MariaDB:s egna; våra lösenord tar liten plats av dem.

Installation

Båda guiderna fungerade som de var skrivna. Skillnaderna gäller hur folk kommer in.

Vaultwardens guide öppnar registreringen för ditt eget konto och stänger den direkt efter. För ett företag skapar du sedan en organisation i webbvalvet och bjuder in folk med deras e-postadress. I vårt test kunde inbjudna skapa sitt konto även med registreringen stängd, och eftersom guiden inte sätter upp någon e-post godkände Vaultwarden inbjudningarna själv; Anna fick sedan välja Confirm för varje medlem, och det är då deras kopia av organisationens nyckel skapas. Utan e-post får ingen något meddelande om inbjudan: du säger själv till dem att skapa ett konto på adressen. E-post behövs också för nödåtkomst och för koderna som vissa tvåstegsmetoder skickar.

Passbolt fungerar inte utan e-post: varje användare börjar från en inbjudningslänk. Den första administratören skapas med ett kommando som skriver ut länken, som guiden visar. Sedan installerar var och en tillägget, väljer en lösenfras, sparar ett återställningskit med sin privata nyckel och väljer en säkerhetssymbol. När Anna satte upp sitt konto skapade hennes tillägg också organisationens nyckel för lösenordens namn och adresser, som guiden beskriver. Eriks och Olles inbjudningar kom med e-post, och båda satte upp sina konton från länkarna.

Appar och vardag

Vaultwarden fungerar med Bitwardens egna appar, och det är dess stora styrka. Vi loggade in i Bitwardens officiella tillägg för Chromium som Erik, genom att välja self-hosted och skriva in serverns adress, och såg hans 24 poster. Kommandoradsklienten läste, ändrade och exporterade poster och visade rätt engångskoder. Bitwardens datorappar och dess appar för iOS och Android fungerar på samma sätt; dem testade vi inte här. Vaultwardens versionsnyheter säger vilka appversioner som kräver vilken serverversion, och en gammal server stänger ute nya appar: Vaultwarden 1.37.0 krävdes för appar från 2026.7.0, så håll den uppdaterad, som guiden gör varje dag.

Passbolt används genom sitt webbläsartillägg, för Chrome, Firefox, Edge, Brave och Safari. Webbsidan ensam kan inte logga in: den ber dig bara installera tillägget. Tillägget visade vår lista, kopierade användarnamn, lösenord och engångskoder och erbjöd Edit bara där användaren fick ändra lösenordet. Passbolt har också appar för iOS, Android och Windows, som vi inte testade. Dess kommandoradsklient, go-passbolt-cli, listade, läste och exporterade lösenord, men vägrade ändra ett delat lösenord i vårt test, med ett fel om organisationens nyckel för metadata, så ändringarna gjorde vi i tillägget.

Delning och behörigheter

Båda gjorde det vi bad om: Erik såg 24 poster och Olle 22, och ingen av dem såg en samling eller mapp han inte hade fått.

Vaultwarden delar genom samlingar i en organisation. Varje medlem får Can view, Can view, except passwords, Can edit, Can edit, except passwords eller Can manage per samling, och grupper fungerar likadant. När Erik försökte ändra en post han bara fick läsa svarade servern "You do not have permission to edit this item". Can view, except passwords, som Erik fick på IT, dolde lösenorden i apparna, men servern skickade dem ändå till hans app, krypterade med organisationens nyckel som han har: det skyddar mot misstag, inte mot en kollega som verkligen vill.

Passbolt delar varje lösenord, eller en mapp med allt i den, med personer eller grupper: Can read, Can update eller Is owner. Att dela de fyra mapparna i tillägget tog 4 till 10 sekunder per mapp, medan det krypterade varje lösenord i dem en gång till för varje ny person. Passbolts kommandoradsklient delade bara själva mappen, inte lösenorden i den. Det finns ingen läsrätt som döljer lösenordet: den som kan läsa en inloggning kan se den.

Kryptering, i klartext

Båda krypterar på dina enheter, och servern lagrar bara det den inte kan läsa. De delar lösenord på olika sätt.

Vaultwarden, liksom Bitwarden, tar fram en nyckel från varje användares huvudlösenord på enheten. Varje organisation har en egen nyckel, och varje medlem har en kopia, krypterad så att bara hen kan öppna den. Alla organisationens poster krypteras med den nyckeln. Att dela är att ge någon åtkomst till samlingen; hens app kan redan dekryptera den. I databasen var posternas namn, användarnamn, lösenord och samlingarnas namn krypterade; organisationens namn och användarnas e-postadresser var det inte.

Passbolt ger varje användare ett eget nyckelpar för OpenPGP, som skapas i webbläsaren. Den privata nyckeln stannar i tillägget och i användarens återställningskit, skyddad av lösenfrasen; servern har den aldrig. Varje lösenord krypteras för sig för varje person som får läsa det, så att dela med Erik betyder att kryptera det en gång till, för honom, och att ta bort Erik raderar hans kopia. Sedan version 5 krypteras också namn, användarnamn och adresser, med en nyckel som organisationen delar. Mapparnas namn var inte krypterade i vår databas.

Skillnaden i praktiken: i Vaultwarden känner en medlem som har slutat fortfarande till organisationens nyckel, och skulle kunna läsa organisationens data om hen någon gång fick tag i en kopia av databasen. I Passbolt har den som slutar ingen kopia av något lösenord som gjorts för någon annan.

När någon slutar

Vi tog bort Olles åtkomst i båda, efter att han hade använt valvet, och tittade sedan på vad som fanns kvar på hans egen dator, med nätet bortkopplat.

Vaultwarden: Anna återkallade Olles medlemskap. Olles kommandoradsklient från Bitwarden listade, utan nät, fortfarande alla 22 poster med lösenord, och gjorde det även efter att han låst och låst upp med sitt huvudlösenord. Först när klienten nådde servern igen försvann de. Bitwardens appar sparar en krypterad kopia av valvet för att fungera utan nät, så detsamma gäller en dator eller telefon som inte är uppkopplad: det han hade synkat behåller han tills den synkar igen.

Passbolt: Anna kryssade i Suspend this user, som finns i Community Edition. Olle kunde inte längre logga in; tillägget frågade efter hans e-postadress som om det inte kände honom. Hans webbläsare hade, utan nät, fortfarande listan över hans 22 lösenord, med namn, användarnamn och adresser, men inte ett enda lösenord: tillägget hämtar och dekrypterar varje lösenord från servern när det används.

Utgå i båda fallen från att den som slutar kan ha kopierat det hen kunde se. Byt de lösenord hen hade åtkomst till; i Passbolt visar listan över vem som ser varje lösenord vilka det gäller.

Tvåstegsinloggning, passkeys och SSO

Vaultwarden har tvåstegsinloggning med autentiseringsapp, e-post, säkerhetsnycklar med FIDO2, YubiKey OTP och Duo, allt gratis. Vi slog på en autentiseringsapp för Erik: inloggningar krävde sedan en kod, och en felaktig kod nekades. Vaultwardens wiki anger att inloggning med passkey inte stöds, men passkeys för andra webbplatser kan sparas i valvet. Sedan version 1.35.0 kan Vaultwarden logga in via OpenID Connect, men ett huvudlösenord krävs ändå. Den fungerar också med Bitwardens Directory Connector, för att synka användare från LDAP, Active Directory eller Entra ID.

Passbolt Community Edition har tvåstegsinloggning med TOTP, YubiKey och Duo, enligt dokumentationen; det testade vi inte. SSO med Microsoft, Google eller OpenID Connect, och synk av användare från Active Directory eller OpenLDAP, finns bara i Pro, enligt prissidan, läst den 14 oktober 2026. Inloggning med passkeys finns på Passbolts färdplan, inte i produkten.

Kontoåterställning och nödåtkomst

Vaultwarden har nödåtkomst, där en användare utser någon som får ta över valvet efter en väntetid, och en regel för organisationen som låter administratörer återställa en medlems huvudlösenord, enligt dess README. Båda bygger på e-post för inbjudningar och meddelanden, och vi testade dem inte.

Passbolt Community Edition har ingen kontoåterställning. En användare som tappar både lösenfrasen och återställningskitet förlorar kontot, och lösenord som bara hen kunde läsa försvinner med det. Pro lägger till kontoåterställning, där en nyckel för organisationen som administratörerna har kan återställa en användares privata nyckel.

Logg över händelser

Vaultwarden sparar organisationens händelser bara med ORG_EVENTS_ENABLED=true, som vår guide inte sätter. När vi slog på det för ett test listade organisationens logg inloggningar och vilka poster som visats, med användare och IP-adress. Att en post har visats rapporteras av apparna själva.

Passbolt Community Edition sparar varje handling och varje gång ett lösenord läses i databasen: vårt test lämnade 1 346 handlingar och 62 lästa lösenord. Men att läsa dem i gränssnittet, eller via API:t, kräver Pro, enligt dokumentationen. I gratisversionen läser du dem själv i databasen.

Import från 1Password och Bitwarden

Båda exporterna nedan byggde vi själva, i de format som 1Password och Bitwarden dokumenterar, de är inte exporterade från tjänsterna.

Vaultwarden använder Bitwardens importverktyg, i webbvalvet eller kommandoradsklienten. En export av en organisation från Bitwarden (JSON) tog in alla 24 inloggningar i rätt samlingar, med engångskoder. En export från 1Password i dess eget format 1PUX tog in alla 6, med koder, och valvet Marketing i 1Password blev en samling. Bitwardens importverktyg tar inte med bifogade filer från 1Password.

Passbolt importerar CSV- och KeePass-filer i sitt tillägg, inte Bitwardens JSON eller 1Passwords 1PUX. En CSV från Bitwarden i det personliga formatet, med en kolumn folder, tog in alla 24 inloggningar, med engångskoder, i mappar, inuti en ny mapp med importens namn. En CSV från 1Password, med kolumnerna Title, Url, Username, Password, OTPAuth, Favorite, Archived, Tags och Notes, tog in de 6 inloggningarna med adresser, men utan engångskoderna. 1Passwords sida om export räknar upp fälten men inte de exakta kolumnnamnen, så kontrollera koderna efter en import från 1Password.

Export

Vaultwarden exporterade organisationen som JSON i Bitwardens format med kommandoradsklienten: 30 poster och samlingarna, men inte de bifogade filerna, som Bitwardens exporter av organisationer aldrig tar med.

Passbolt exporterade till en krypterad KeePass-fil med go-passbolt-cli; tillägget kan också exportera en mapp. Sedan version 5.10 är export till vanlig CSV avstängd som standard.

Svenska

Vaultwardens webbvalv är Bitwardens, översatt till svenska: med en svensk webbläsare stod det "Logga in" och "E-postadress" på inloggningssidan. Bitwardens tillägg, datorappar och mobilappar finns också på svenska.

Passbolt är översatt till svenska: administratören väljer Svenska för organisationen under Administration > Internationalisation, och varje användare kan välja sitt eget språk. Inbjudningar och meddelanden blir då också på svenska, som Passbolt-guiden beskriver.

Resurser

Vaultwarden är ett litet program skrivet i Rust, med sin data i en SQLite-fil: 10 MB i vila och 20 MB som mest i vårt test. Passbolt är en PHP-app med MariaDB, och använde omkring 200 MB i vila och 240 MB som mest. Båda är små bredvid de 8 GB som en VC-P Alloy har, och tillsammans använde de omkring en kvarts gigabyte.

Uppdateringar och säkerhetskopior

Båda guiderna följer taggen latest och uppdaterar varje dag med podman auto-update. Vaultwarden behöver det mer än de flesta: nya appar från Bitwarden kan sluta fungera med en äldre server, och Vaultwarden 1.37.4 rättade sju säkerhetsfel, ett av dem i hur en medlems åtkomst återkallas, enligt versionsnyheterna.

Vaultwardens säkerhetskopia är ett arkiv av volymen, som tas medan den är stoppad i några sekunder: 674 KB, med databasen, båda bifogade filerna och nyckeln den signerar inloggningar med. Guiden har inga steg för att återställa; vi stoppade Vaultwarden, ersatte volymen med podman volume import och startade den igen, och Eriks 24 poster och fakturan kom tillbaka.

Passbolts säkerhetskopia är en dump av databasen och serverns två nycklar: 1,2 MB totalt. Vi återställde den till tomma volymer med guidens steg, och Erik läste lösenordet till Fortnox igen med sin egen nyckel. Användarnas egna nycklar finns inte i säkerhetskopian: varje användares återställningskit och lösenfras är deras del av den.

Båda kom tillbaka av sig själva efter en omstart.

Licens och kostnad

Vi läste licenserna och prissidorna den 14 oktober 2026.

• Vaultwarden är öppen källkod under AGPL 3.0, skriven av frivilliga. Dess README säger att projektet "not associated with Bitwarden or Bitwarden, Inc.", ber dig rapportera problem till Vaultwarden och inte till Bitwarden, och nämner att en av dem som underhåller det är anställd av Bitwarden. Allt den har är gratis; det finns ingen betald version och ingen support att köpa. Den har granskats två gånger enligt wikin: av tyska BSI, av version 1.30.3, och en delvis granskning av koden som ERNW gjorde i oktober 2024 och som hittade tre sårbarheter, bland dem ett sätt att kringgå inloggningen, som sedan rättats. Bitwardens appar som den använder är Bitwardens, under GPL 3.0, och granskas som Bitwardens.
• Passbolt görs av Passbolt SA i Luxemburg. Community Edition är öppen källkod under AGPL 3.0, utan gräns för antalet användare. Pro kostar 4,90 US-dollar per användare och månad, med årsbetalning, för minst 10 användare, med support nästa arbetsdag, och lägger till kontoåterställning, SSO, synk via LDAP och SCIM, aktivitetsloggen i gränssnittet och lösenordsregler, enligt prissidan. Passbolt Cloud börjar på 5,40 dollar per användare och månad, i Belgien eller Tyskland (priser). Dess säkerhetssida räknar upp granskningar av Cure53, senast i februari 2026, och av Quarkslab i november 2025.

För ett företag som sköter sina egna lösenord kostar båda inget utöver servern. I Passbolt är just de funktioner som ett växande företag frågar efter först, kontoåterställning och SSO, de betalda.

1Password och Bitwarden i dag

Det här kommer från 1Passwords och Bitwardens egna sidor, lästa den 14 oktober 2026, inte från våra tester.

1Password finns bara som tjänst. Dess prissida för företag listar Teams Starter Pack för 24,95 US-dollar i månaden, med årsbetalning, för upp till 10 personer, med platser upp till 20, och Business för 8,99 dollar per användare och månad, med årsbetalning. SSO ingår i Business, liksom automatisk hantering av användare (provisioning) och granskningsloggen (activity log). Administratörer kan återställa en medlems konto. Enligt dess säkerhetsbeskrivning blandas varje användares lösenord med en Secret Key som finns på enheterna, så "We're never in the position of learning your account password or cryptographic keys". Konton kan ligga i EU, på 1Password.eu (regioner), och 1Password anger certifiering enligt SOC 2 Type 2 och ISO 27001 (granskningar). Det exporterar i sitt format 1PUX eller som CSV med bara inloggningar (export).

Bitwardens prissida för företag listar Teams för 4 US-dollar och Enterprise för 6 dollar per användare och månad, med årsbetalning. Teams har logg över händelser, synk från katalogtjänst och SCIM; SSO och kontoåterställning av administratörer finns bara i Enterprise, enligt planjämförelsen, och en gratis organisation har två användare. Nödåtkomst ingår i de betalda planerna (nödåtkomst). Bitwarden kan lagra din data i EU, på bitwarden.eu (geografier); det anger SOC 2 Type II, SOC 3 och ISO 27001 på sin sida om regelefterlevnad, och granskningar av Cure53, ETH Zürich, Unit 42 och Fracture Labs under 2025 på sidan om granskningar.

Bitwardens egen server att köra själv är det officiella sättet att köra Bitwarden på egen server. Den kräver ett installations-id och en nyckel från Bitwarden (installationsguide), minst 2 GB minne för sin vanliga uppsättning containrar, med 4 GB rekommenderat, och de betalda funktionerna kommer från organisationens licens: bara organisationer på Families och Enterprise kan flyttas till en egen server (egen server för en organisation), och planen Teams nämner inte egen server. Dess mindre version i en container, Bitwarden lite, är "intended for personal use and home-labs, not for use in business contexts" (Bitwarden lite). Serverns kod är under AGPL 3.0, med vissa delar under Bitwardens egen licens (licens). Den körde vi inte.

Det här ger du upp jämfört med 1Password och Bitwarden

Med en egen server stannar lösenorden i Sverige, du betalar ett fast pris för servern i stället för per användare, och ingen kan ändra planerna under dig. Men var ärlig om vad du lämnar:

• Någon i beredskap. Om servern ligger nere kan ingen läsa ett lösenord som inte finns sparat lokalt: i Passbolt ingen alls. 1Password och Bitwarden driver sina tjänster med personal i beredskap och statussidor; med en egen server är det du som har beredskapen. Håll säkerhetskopiorna aktuella och vet hur du återställer dem.
• Support och granskning av din uppsättning. Bitwardens servrar och appar, och 1Password, granskas varje år och är certifierade enligt SOC 2 och ISO 27001. Vaultwardens server har granskats två gånger som vi vet om, Passbolts flera gånger, och din egen server, Caddy och dina säkerhetskopior inte alls. För Vaultwarden finns inget företag att ringa, och dess README ber dig att inte ta dess problem till Bitwardens support.
• Betalfunktioner gratis, med en hake. Vaultwarden har organisationer, logg över händelser, nödåtkomst och synk från katalogtjänst utan licens, men den följer Bitwardens appar, och en ändring hos Bitwarden kan få den att sluta fungera tills Vaultwarden hunnit ikapp.
• Finish. 1Passwords Travel Mode, Secret Key och rapporter för administratörer, och Bitwardens inloggning med passkey och återställning via SSO, har ingen motsvarighet i gratisversionerna här.
• E-post. Båda behöver ett fungerande e-postkonto: Passbolt för varje ny användare, Vaultwarden för inbjudningar, nödåtkomst och vissa tvåstegsmetoder.

Vilken ska du välja

Kommer du från Bitwarden, eller vill ha apparna folk känner: Vaultwarden. Personalen behåller Bitwardens tillägg och appar, exporten går att importera som den är, och organisationer, samlingar, bifogade filer, åtkomst utan nät och logg över händelser kostar inget, i 10 MB minne. Dess svaga sidor är att den är inofficiell, utan support och med få granskningar, att en medlem som slutat behåller både sin kopia för användning utan nät och organisationens nyckel, att läsrätt bara döljer lösenorden i apparna, att händelseloggen är avstängd tills du slår på den, och att vår guide saknar steg för e-post och för att återställa. Följ Vaultwarden-guiden; den går på en VC-P Alloy med plats för mycket mer.

Kommer du från 1Password, eller delar mellan många med olika åtkomst: Passbolt. Lösenorden krypteras för varje person för sig, att ta bort en person tar bort hens kopior, inget läsbart lösenord stannar på en dator, och Passbolt SA publicerar sina granskningar och säljer Pro med support när du behöver kontoåterställning eller SSO. Dess svaga sidor är ett tillägg som alla måste installera, inga lösenord utan nät och inga bifogade filer, en import från 1Password som tappade våra engångskoder, ingen kontoåterställning och ingen aktivitetslogg i gränssnittet utan Pro, och omkring 200 MB minne. Följ Passbolt-guiden, på en VC-P Alloy.

Tillsammans använde de omkring en kvarts gigabyte, så en VC-P Alloy kör den ena, eller båda, bredvid dina andra appar.