Mots de passe de bases de données dans des fichiers de configuration, clés d’API copiées dans des scripts, certificats envoyés par e-mail : la gestion des secrets est l’un des points faibles des petites équipes techniques. HashiCorp Vault a longtemps été la référence pour y remédier, mais son passage à une licence non open source en 2023, puis le rachat de HashiCorp par IBM, ont poussé une partie de la communauté vers un fork : OpenBao. Que vaut-il en 2026, pour qui, et comment l’adopter ?
L’essentiel en 30 secondes
- OpenBao est un fork open source (licence MPL 2.0) de HashiCorp Vault, créé fin 2023 et hébergé par la Linux Foundation.
- Il stocke, chiffre et distribue les secrets, génère des identifiants dynamiques à durée de vie limitée et sert d’autorité de certification.
- Prêt pour la production depuis la version 2.0 (septembre 2024) ; la version 2.6 est sortie le 14 juillet 2026.
- Son API reste très proche de celle de Vault, ce qui facilite la migration des outils existants.
- Pour une PME, il se justifie dès qu’il y a plusieurs applications, serveurs ou pipelines qui manipulent des secrets.
Pourquoi un fork de Vault ?
En août 2023, HashiCorp a remplacé la licence open source de ses produits par la Business Source License, qui restreint certains usages concurrentiels. En réaction, des ingénieurs, notamment d’IBM, ont lancé OpenBao à partir de la dernière version open source de Vault. Paradoxalement, IBM a ensuite racheté HashiCorp (annonce en avril 2024 pour 6,5 milliards de dollars). OpenBao a rejoint l’OpenSSF comme projet « sandbox » en juin 2025, ce qui lui apporte un processus de divulgation des vulnérabilités et des exigences de transparence.
Le projet a gagné en crédibilité : Nvidia figure depuis mai 2026 parmi ses utilisateurs déclarés, aux côtés notamment d’un projet de SAP et du laboratoire Fermilab ; GitLab et Proton le soutiennent, OVHcloud l’intègre, et une huitaine d’entreprises proposent un support commercial.
Ce que fait OpenBao
| Fonction | Exemple d’usage |
|---|---|
| Coffre de secrets (KV) | Stocker les mots de passe et clés d’API avec historique des versions |
| Secrets dynamiques | Générer un identifiant PostgreSQL valable une heure pour une application |
| Chiffrement en tant que service (Transit) | Chiffrer des données sans que l’application ne manipule la clé |
| Autorité de certification (PKI) | Émettre des certificats internes de courte durée |
| Authentification multiple | Applications (AppRole), Kubernetes, OIDC, certificats, jetons |
| Politiques fines | Chaque application n’accède qu’à ses propres secrets |
| Journal d’audit | Traçabilité de chaque lecture de secret |
Les nouveautés récentes
La version 2.6, publiée le 14 juillet 2026, apporte notamment le scellement par namespace (chaque locataire dispose de ses propres clés et peut révoquer l’accès à son espace sans affecter les autres), des plugins de déverrouillage automatique via des services de gestion de clés, des « workflows » côté serveur pour proposer des interfaces simplifiées, une génération du jeton racine authentifiée, et une image de conteneur minimale (« distroless »). Les namespaces, longtemps réservés à l’offre Enterprise de Vault, sont disponibles gratuitement dans OpenBao.
Installer un premier serveur
Pour un test, l’image officielle suffit :
docker run --rm --cap-add=IPC_LOCK -p 8200:8200 -e BAO_DEV_ROOT_TOKEN_ID=essai openbao/openbao server -devLe mode « dev » garde tout en mémoire : il ne doit jamais servir en production. Pour une installation réelle, l’architecture type comprend :
- Trois nœuds avec le stockage intégré Raft (haute disponibilité sans base externe), ou un seul nœud sauvegardé pour une petite structure ;
- TLS obligatoire sur l’API ;
- Déverrouillage automatique (auto-unseal) via un service de gestion de clés ou un module matériel, plutôt que des clés Shamir saisies à la main ;
- Journal d’audit activé dès le départ ;
- Instantanés Raft sauvegardés régulièrement et testés.
Premières commandes avec la CLI bao :
export BAO_ADDR='https://bao.entreprise.local:8200'
bao operator init
bao login
bao secrets enable -path=apps kv-v2
bao kv put apps/facturation db_password='...'
bao audit enable file file_path=/var/log/openbao/audit.logMigrer depuis HashiCorp Vault
- Compatibilité : l’API et la plupart des moteurs sont compatibles ; les outils qui parlent à Vault (Terraform/OpenTofu, External Secrets Operator, bibliothèques clientes) fonctionnent en changeant l’adresse et parfois le préfixe des variables d’environnement.
- Fonctions Enterprise : certaines fonctions propres à Vault Enterprise n’ont pas d’équivalent exact. Inventoriez celles que vous utilisez.
- Méthode : déploiement d’OpenBao en parallèle, réplication des politiques et méthodes d’authentification, migration des secrets par lots (des outils existent pour cela), bascule application par application.
- Tests : rotation des secrets dynamiques, renouvellement des certificats, procédure de déverrouillage et de restauration.
Les bonnes pratiques
- Aucune application ne s’authentifie avec un jeton racine ; révoquez-le après l’initialisation.
- Politiques au moindre privilège, une par application.
- Préférez les secrets dynamiques aux secrets statiques partout où c’est possible.
- Protégez les accès humains par OIDC et double authentification, par exemple via Authentik.
- Supprimez les secrets des dépôts Git et des pipelines : voir sécuriser GitHub Actions et GitLab CI/CD et sécurité des conteneurs Docker.
Questions fréquentes
OpenBao est-il adapté à une petite entreprise ?
Oui dès que plusieurs serveurs ou applications partagent des secrets. Pour quelques mots de passe d’administration, un gestionnaire de mots de passe d’équipe reste plus simple.
Faut-il quitter Vault ?
Pas nécessairement. Vault reste maintenu par IBM. OpenBao intéresse ceux qui veulent une licence open source, les namespaces sans surcoût, ou une gouvernance communautaire.
Que se passe-t-il si le serveur tombe ?
Les applications ne peuvent plus lire leurs secrets. D’où l’importance d’un cluster de trois nœuds ou, a minima, d’instantanés testés et d’une procédure de remise en service documentée.
OpenBao remplace-t-il un gestionnaire de mots de passe ?
Non. Il sert les applications et l’automatisation. Les mots de passe des personnes restent dans un gestionnaire dédié.
Sources
- OpenBao, notes de version 2.6.0 (juillet 2026).
- TechTarget, « Nvidia adopts OpenBao, open source fork of HashiCorp’s Vault » (juin 2026).
- OpenBao, documentation.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous vous accompagnons dans la mise en place d’une gestion des secrets lors d’un audit de sécurité. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
