Module Coffre-fort de clés / Gestionnaire de mot de passe

Kusco · Janvier 9, 2026, 8:20

Salut tout le monde,

On avait besoin d’un gestionnaire de mot de passe avec notre asso, donc on a créé un module pour l’occasion.

Module permettant de stocker les identifiants, mots de passe, URL, etc. :

Création de clé (utilisateur, mot de passe, URL, pièce-jointe, etc.)
Mots de passe cryptés en base de données (méthode dolEncrypt)
Vérification des accès par utilisateur (à quelles clés un utilisateur a accès)

Bref, il est où ce module ?
Il est et gratuit sur le Dolistore : Coffre-fort : Gestionnaire de mot de passe

Le code est accessible aussi sur le GitHub de notre association : GitHub - disQutons/dolibarr_module_keyvault: Module Dolibarr Coffre-fort de clés avec déjà quelques issues, pour de futures améliorations et corrections de confort.

Pas de site démo, mais quelques captures d’écran :

Si vous souhaitez participer à l’amélioration de ce module, n’hésitez pas à rejoindre le projet sur GitHub

En cas de bug ou si vous avez des propositions d’amélioration, n’hésitez pas à créer une nouvelle issue

Bonne journée et merci encore à la communauté pour les coups de main !

Beers · Janvier 9, 2026, 9:04

Salut,

Avec dolencrypt si pour une raison ou une autre openssl n’est pas disponible (ou désactivé), les données sont enregistrées sans chiffrement en BDD. Idem si la clé est vide.

github.com/Dolibarr/dolibarr

htdocs/core/lib/security.lib.php

2208c4908


      
          
          	if (empty($key)) {
          		$key = $conf->file->instance_unique_id;
          	}
          	if (empty($ciphering)) {
          		$ciphering = constant('MAIN_SECURITY_REVERSIBLE_ALGO');
          	}
          
          	$newchain = $chain;
          
          	if (function_exists('openssl_encrypt') && empty($dolibarr_disable_dolcrypt_for_debug)) {
          		if (empty($key)) {
          			return $chain;
          		}
          
          		$ivlen = 16;
          		if (function_exists('openssl_cipher_iv_length')) {
          			$ivlen = openssl_cipher_iv_length($ciphering);
          		}
          		if ($ivlen === false || $ivlen < 1 || $ivlen > 32) {
          			$ivlen = 16;

github.com/Dolibarr/dolibarr

htdocs/core/lib/security.lib.php

2208c4908


      
          		}
          		if (empty($forceseed)) {
          			$ivseed = dolGetRandomBytes($ivlen);
          		} else {
          			$ivseed = dol_substr(md5($forceseed), 0, $ivlen, 'ascii', 1);
          		}
          
          		$newchain = openssl_encrypt($chain, $ciphering, $key, 0, $ivseed);
          		return 'dolcrypt:'.$ciphering.':'.$ivseed.':'.$newchain;
          	} else {
          		return $chain;
          	}
          }
          
          /**
           *	Decode a string with a symmetric encryption. Used to decrypt sensitive data saved into database.
           *  Note: If a backup is restored onto another instance with a different $conf->file->instance_unique_id, then decoded value will differ.
           *
           *	@param   string		$chain		string to decode
           *	@param   string		$key		If '', we use $conf->file->dolcrypt_key else $conf->file->instance_unique_id
           *	@return  string					encoded string

Je passe sur l’absence de Argon2 ou PBKDF2, sur le manque d’entropie possible dans instance_unique_id.

Kusco · Janvier 9, 2026, 10:36

Hello,

Top, j’ignorais cette information.
Et bien on va faire une petite issue à ce sujet dans ce cas pour faire une petite V1.1.

Merci pour l’info @Beers !

Beers · Janvier 9, 2026, 10:56

Pour gérer mes mots de passe, j’utilise vaultwarden en auto hébergement.

Beers · Janvier 9, 2026, 10:57

Certes, mais si on veut faire un gestionnaire de mots de passe, il faut s’assurer qu’on part sur des fondations solides.

mapiolca · Janvier 10, 2026, 7:03

Pas nécessaire d’être aussi incisif

@Kusco l’idée est bonne, merci pour l’information.
En effet, comme dit @Beers, il faut que le module fasse à minima une vérification des informations de sécurité fournies par Dolibarr. Afin de prévenir l’utilisateur en cas de manquement, ce sera le plus rapide à développer pour votre module, je pense. Le menu sécurité de Dolibarr peut vous fournir un aperçu de ce qui est activé sur l’instance.
Aussi, pour palier à ça, vous pouvez également soumettre les améliorations au core de Dolibarr, afin qu’elles deviennent natives.
D’autres modules de gestion de mot de passe existe sur le store, peut être se rapprocher des développeurs pour voir comment ils ont gérer ses problèmes et proposer une solution commune pour le core.

Philazerty · Janvier 10, 2026, 8:08

Belle idée mais attention à la sécurité.

Le souci principal est que la clef de chiffrement est en clair sur le serveur. Ce qui sous entend qu’en cas de compromission tout peut être déchiffré !

J’avais travaillé sur le sujet avec @altatof il y a quelques années mais c’était trop cher comme développement. Je voulais trop de sécurité (chiffrement fort, corbeille, droits précis, versions…) ! En même temps c’est mon job

Aujourd’hui c’est du KeePass en mono utilisateur, LockSelf (besoin de certification ANSSI/HDS/ISO) pour l’équipe, BitWarden en test. Mais je ne suis jamais satisfait

@+

aspangaro-Inovea · Janvier 10, 2026, 9:00

Bonjour,

il existe déjà un module chez ATM Consulting dont le nom technique est webpassword et qui fonctionne avec des principes de clé master, etc.

C’est relativement complémentaire avec webhost.

Bonne journée

ZenAdm · Janvier 10, 2026, 2:54

Bonjour

de mon côté je regarde depuis longtemps vers les librairies web de Keepass, mais pour le moment le développement d’un module Dolibarr les utilisant reste un objectif très lointain.

Kusco · Janvier 10, 2026, 4:13

Bonjour,

Merci pour vos différents messages.

Pour info, nous aurons plaisir à intégrer chacun des modules que l’on développe, ou bouts de code, au core de Dolibarr. Nous avons d’ailleurs coché la case en question, lors du dépôt du module.
On va voir vers quoi on s’oriente dans ce cas, pour être sûr d’ajouter un maximum de sécurité.

erics · Janvier 10, 2026, 4:57

@Kusco excellente initiative dans tous les cas ça ne peut pas faire de mal !

De mon côté comme rien ne me plaisait j’ai un champ de type extrafield sur mes fiches de tiers avec un lien vers un cryptpad auto hébergé

Votre projet va dans tous les cas dans le bon sens, et chaque étape est toujours ça de moins à faire ! bravo.

Kusco · Septembre 10, 2026, 1:05

Bonjour,

Merci beaucoup pour ces différents retours.
Je viens de mettre en ligne une V1.2 avec

Remplacement du dolencrypt() avec message si erreur d’encryption
Possibilité de seed personnalisée (qui n’est plus le seed brut mais une clée dérivée par PBKDF2-SHA256)
Toujours une vraie difficulté structurelle pour sortir le seed de la base (peut être une constante dans le conf.php, hors des sauvegardes de la base ?)
Fix sur une erreur liée à la génération de fichiers automatique avec le module-builder

Merci pour les conseils !
Réfléxions à poursuivre.

knock · Septembre 10, 2026, 2:05

Hello,

si le mot de passe en clair est par exemple dG90b3RpdGlm ta fonction isFieldEncrypted va renvoyer true et ton code ne va pas chiffrer le mot de passe

github.com/disQutons/dolibarr_module_keyvault

lib/keyvault_key.lib.php

de7369baf


      
          // Sélectionner tous les enregistrements
          $sql = "SELECT rowid, pass FROM " . MAIN_DB_PREFIX . "keyvault_key";
          $result = $db->query($sql);
          
          if ($result) {
              while ($obj = $db->fetch_object($result)) {
                  $rowid = $obj->rowid;
                  $fieldsToUpdate = [];
          
                  // Cryptage du mot de passe
                  if (!empty($obj->pass) && !isFieldEncrypted($obj->pass)) {
                      // keyvaultEncrypt() renvoie false si le chiffrement n'a pas pu être appliqué.
                      // On refuse alors l'opération plutôt que de laisser le mot de passe en clair.
                      $encryptedPass = keyvaultEncrypt($obj->pass);
                      if ($encryptedPass === false) {
                          dol_syslog("Erreur lors du chiffrement de la clé ID ".$rowid.": extension openssl indisponible", LOG_ERR);
                          $db->rollback();
                          return -1;
                      }
                      $fieldsToUpdate['pass'] = $encryptedPass;
                      $encryptedCount++;