Test & Avis Expert
AliasVault est un gestionnaire de mots de passe chiffré de bout en bout qui embarque son propre serveur de messagerie pour générer des adresses e-mail jetables. Il est publié sous licence AGPL-3.0 et fondé en 2024 par Leendert de Borst. Il existe en version hébergée par le projet, en auto-hébergement Docker, en extensions de navigateur et en applications Android et iOS. La version 0.30.6 date du 15 septembre 2026 : le projet n’a pas encore atteint la 1.0.
Comment ça marche
Le mot de passe maître est passé localement dans Argon2id, une fonction de dérivation coûteuse en mémoire. La clé obtenue sert à deux choses : l’authentification auprès du serveur par SRP — un protocole qui prouve la connaissance du mot de passe sans jamais le transmettre — et le chiffrement du coffre en AES-256-GCM avant envoi. Le serveur ne stocke que des blocs chiffrés.
La partie originale est la messagerie. Plutôt que de déléguer les alias à un service tiers, AliasVault exploite son propre serveur SMTP : chaque site reçoit une adresse distincte. Un message entrant est chiffré avec une clé symétrique générée par le serveur, elle-même chiffrée avec la clé publique RSA de l’utilisateur ; seul le client peut ensuite le lire. Le service hébergé par le projet tourne sur des serveurs dédiés en Allemagne, en Finlande, aux Pays-Bas et en France, sous RGPD. L’offre actuelle est gratuite, avec des limites d’usage raisonnable sur le nombre d’alias et le volume de stockage ; des offres payantes sont annoncées après la 1.0.
Ce que ça ne protège pas
Le chiffrement du courrier entrant intervient à l’arrivée, pas avant : un message adressé à un alias atteint le serveur en clair, puisque c’est lui qui le reçoit par SMTP. L’expéditeur, l’objet et le corps transitent donc par une machine que l’utilisateur ne contrôle pas, sauf en auto-hébergement. C’est structurel à tout service d’alias, mais cela contredit l’idée d’un « bout en bout » intégral.
La maturité est la seconde réserve. Une version 0.30 signifie que les formats de données et les fonctions bougent encore — la feuille de route annonce elle-même une refonte du modèle de données. Confier à un logiciel pré-1.0 l’intégralité de ses identifiants suppose d’accepter des migrations et d’entretenir ses propres exports.
Enfin, un domaine d’alias partagé est un identifiant en soi : une adresse reconnaissable comme provenant d’AliasVault signale l’usage de l’outil au destinataire, et un domaine d’alias peut être filtré en bloc par un service.
Face aux alternatives
SimpleLogin et addy.io font les alias mieux et depuis plus longtemps, mais ne gèrent pas les mots de passe ; DuckDuckGo Email Protection fait la même chose gratuitement en relayant vers une boîte existante. Bitwarden et Proton Pass gèrent les mots de passe avec une maturité supérieure et intègrent des alias en s’appuyant sur un service tiers. L’argument d’AliasVault est de réunir les deux dans un même logiciel auto-hébergeable ; c’est aussi ce qui explique son jeune âge.
