Bitwarden أم Vaultwarden أم Passbolt؟ مدير كلمات مرور لفريقك

في المقال السابق إدارة كلمات المرور في المؤسسة وصلنا إلى أن الحسابات الشخصية والحسابات المشتركة مكانها مدير كلمات مرور Password Manager للفريق، بمجموعات وصلاحيات وسجل وخطة طوارئ، وبقي السؤال الذي يسأله كل مدير تقنية بعد ذلك: أي أداة؟ وهل أشتري خدمة سحابية لكل موظف، أم أستضيف الأداة على سيرفر الشركة؟ وإذا استضفتها، فهل آخذ Bitwarden الرسمي أم Vaultwarden أم Passbolt، أم يكفي ملف KeePassXC مشترك كما تفعل فرق كثيرة؟

المواضيع في السلسلة:

1. إدارة كلمات المرور في المؤسسة: من ملف Excel إلى خزنة
2. Bitwarden أم Vaultwarden أم Passbolt؟ مدير كلمات مرور لفريقك (الموضوع الحالي)
3. Vaultwarden: مدير كلمات مرور للفريق على سيرفرك

دليلVaultwarden: مدير كلمات مرور للفريق على سيرفرككيف تثبت Vaultwarden بأمان وتنقل إليه كلمات مرور فريقك من ملف Excel، ثم تتأكد أن نسخته الاحتياطية تستعاد فعلاً.دليلإدارة كلمات المرور في المؤسسة: من ملف Excel إلى خزنةلماذا لا يصلح ملف Excel لكلمات مرور الشركة، وكيف تنقل الحسابات المشتركة إلى خزنة بصلاحيات وسجل وخطة طوارئ.

وسوف نناقش في هذا المقال ما يلي:

• المزايا التي تحتاجها الشركة من مدير كلمات المرور Password Manager، وتفرقه عن تطبيق شخصي.
• الطرق الثلاث لمشاركة كلمة مرور مع فريق، لأنها تحدد ما يحدث عندما تسحب وصول موظف.
• Bitwarden وخططه وترخيص سيرفره، وVaultwarden وما ينقصه ووضع الدخول الموحد SSO فيه، وPassbolt بنسختيه، وKeePassXC مع ملف مشترك، وPsono.
• الخدمات السحابية 1Password وKeeper وDashlane وأسعارها.
• جدول المقارنة ودليل قرار مختصر.

والأسعار والإصدارات في هذا المقال كما كانت في صفحاتها الرسمية ومستودعاتها يوم 14 أكتوبر 2026، وهي تتغير، فراجعها قبل أي قرار شراء.

ماذا تحتاج من مدير كلمات المرور Password Manager في الشركة؟

كل مدير كلمات مرور Password Manager يحفظ كلمات المرور ويولدها ويملؤها في المتصفح، وهذا يكفي للفرد، أما في الشركة فالمهم هو ما يحدث حول كلمة المرور: من يراها، ومن أعطاه الوصول، وماذا يحدث عندما يغادر. والمزايا التي تفرق أداة الفريق عن التطبيق الشخصي هي التالية:

• المشاركة بالمجموعات Collections والفرق Groups: تضع حسابات كل فريق في مجموعة، وتعطي الفريق صلاحية عليها مرة واحدة، بدلاً من مشاركة كل كلمة مرور مع كل شخص.
• الدخول الموحد Single Sign-On واختصاراً SSO: يدخل الموظف إلى الخزنة Vault بحساب الشركة من مزود الهوية، ولاحظ أن أغلب الأدوات تبقي كلمة المرور الرئيسية Master Password مع SSO، لأن كلمة المرور الرئيسية هي التي يشتق منها مفتاح التشفير.
• مزامنة الدليل Directory Sync وSCIM: الموظف الجديد يضاف إلى الخزنة ومجموعاته من الدليل تلقائياً، والمغادر يخرج منها تلقائياً، كما في دورة حياة حساب الموظف.
• السياسات Policies: قواعد تفرضها على كل الأعضاء، مثل التحقق الثنائي الإجباري، وطول كلمة المرور الرئيسية، ومنع التصدير.
• سجل الأحداث Event Logs: من عرض كلمة مرور، ومن عدلها، ومن أضاف عضواً، وهو ما يسأل عنه المدقق، وما تحتاجه في التحقيق.
• الوصول الطارئ Emergency Access: شخص موثوق يطلب الوصول إلى خزنة زميله إذا غاب، ويحصل عليه بعد مدة انتظار أو بموافقة صاحبها.
• استعادة الحساب Account Recovery: إذا نسي الموظف كلمة مروره الرئيسية، يستطيع المدير أن يعيد تعيينها دون أن يرى محتوى الخزنة Vault، وبدونها يخسر الموظف خزنته الشخصية.
• التطبيقات Clients: إضافات المتصفح وتطبيقات الجوال وسطر الأوامر، لأن الأداة التي لا تملأ كلمة المرور في المتصفح لا يستخدمها أحد.

ثلاث طرق لمشاركة كلمة مرور مع فريق

قبل الأسماء والأسعار يجب أن تفهم كيف تشارك كل أداة السر، والسبب أن هذا يحدد ما يحدث عندما تسحب وصول موظف، وما يراه من يسرق قاعدة بيانات السيرفر. والصورة التالية تبين الطرق الثلاث:

• مفتاح للمؤسسة Organization Key: في Bitwarden وVaultwarden كل مؤسسة لها مفتاح تشفير، والتطبيق يشفر به عناصر المؤسسة قبل أن يرسلها إلى السيرفر، وكل عضو يحصل على نسخة من هذا المفتاح مشفرة بمفتاحه العام، ولذلك يجب أن يؤكد Confirm مدير المؤسسة كل عضو جديد بعد قبوله الدعوة، وعندها فقط يصله المفتاح.
• نسخة لكل عضو بمعيار OpenPGP: في Passbolt لكل مستخدم زوج مفاتيح، والمفتاح الخاص في إضافة المتصفح محمي بعبارة مرور، والسر يشفر مرة لكل من يملك الوصول إليه، وبحسب توثيق Passbolt فكل التشفير وفك التشفير في الإضافة أو تطبيق الجوال وليس على السيرفر.
• ملف مشترك: في KeePassXC لا يوجد سيرفر، وإنما ملف قاعدة بيانات بصيغة KDBX على مجلد مشترك، يعرف كل عضو كلمة مرور الملف، وكل عضو يحمل نسخة كاملة منه.

وفي الطريقتين الأوليين لا يرى السيرفر كلمات المرور، ولكن انتبه إلى أن سحب الوصول يمنع العضو من المستقبل ولا يمحو ما رآه في الماضي، فإذا كان الموظف يعرف كلمة مرور حساب البنك فسحب وصوله لا يجعله ينساها، ولذلك تبقى خطوة تغيير كلمات المرور عند المغادرة في كل الأدوات.

Bitwarden: الخدمة السحابية والسيرفر الرسمي

Bitwarden مدير كلمات مرور Password Manager من شركة Bitwarden، له خدمة سحابية بخطط للأفراد والشركات، ويمكن استضافة سيرفره بنفسك، وتطبيقاته متوفرة لكل المتصفحات وأنظمة التشغيل والجوال. والجدول التالي يلخص الخطط من صفحتي أسعار الشركات وأسعار الأفراد، بالدولار وبالدفع السنوي ودون الضريبة:

وفي الجدول أعلاه لاحظ أن السياسات Policies، ومنها فرض التحقق الثنائي، والاستضافة الذاتية، كلاهما في خطة Enterprise فقط بحسب جدول المقارنة في الصفحة نفسها، فإذا كان سبب اختيارك هو أن تستضيف الخزنة Vault على سيرفرك فالسعر المقارن هو 6 دولارات للمستخدم وليس 4.

الاستضافة الذاتية وترخيص السيرفر

للسيرفر الرسمي طريقتان للتثبيت، والفرق بينهما مهم:

• التثبيت القياسي على Linux: عبر سكربت bitwarden.sh وعدة Containers، ويطلب بحسب دليل التثبيت معرف تثبيت Installation ID ومفتاحاً من bitwarden.com/host، وحداً أدنى 2 GB من الذاكرة و12 GB من التخزين، والموصى به 4 GB و25 GB، مع Docker Engine 26 أو أحدث.
• Bitwarden Lite: Container واحد يكفيه 200 MB من الذاكرة ويعمل على ARM، ويدعم قواعد SQLite وPostgreSQL وMySQL وMSSQL، ولكن صفحته تقول إنه مخصص للاستخدام الشخصي والمختبرات المنزلية وليس للشركات، ويطلب أيضاً معرف التثبيت ومفتاحه.

وأما الترخيص، فملف LICENSE.txt في مستودع السيرفر يقول إن الكود تحت رخصتين: AGPL v3.0 وهي الأصل في كل المستودع، وBitwarden License v1.0 للكود الموجود في المجلد bitwarden_license فقط. وهذه الرخصة الثانية ليست مفتوحة المصدر، فالبند 2.1 من نصها يسمح باستخدام هذه الوحدات التجارية Commercial Modules للتطوير والاختبار الداخلي فقط وفي بيئة غير إنتاجية، أي أن المزايا التي فيها، مثل SSO والسياسات المتقدمة، تحتاج اشتراكاً لتستخدمها في الإنتاج. أما التطبيقات فمستودع clients تحت GPL v3.0 مع مجلد bitwarden_license أيضاً، ومكتبة sdk-internal التي تعتمد عليها التطبيقات تحت خيارك بين GPL v3.0 وBitwarden Software Development Kit License v2.0.

نقاط القوة:

• تطبيقات ناضجة على كل منصة، وتقييمات أمنية من جهات خارجية تنشرها الشركة كل سنة، ودعم رسمي.
• السيرفر الرسمي نفسه متاح للاستضافة، فتحصل على كل المزايا التجارية على سيرفرك مع الاشتراك.
• SCIM ومزامنة الدليل وسجل الأحداث من خطة Teams.

نقاط الضعف:

• الاستضافة الذاتية للشركات في خطة Enterprise، والتثبيت القياسي يحتاج 2 GB ذاكرة على الأقل وعدة Containers.
• المزايا المهمة للشركة في كود بترخيص تجاري، فالاستضافة الذاتية لا تعني أنك تستغني عن الاشتراك.

Vaultwarden: سيرفر متوافق مع تطبيقات Bitwarden

Vaultwarden سيرفر بديل مكتوب بلغة Rust، ينفذ واجهة Bitwarden التي تتصل بها التطبيقات Client API، فتستخدم معه تطبيقات Bitwarden الرسمية نفسها وإضافات المتصفح وسطر الأوامر. وترخيصه AGPL-3.0 دون أي جزء تجاري، ويعمل في Container واحد بقاعدة SQLite في الحالة الافتراضية، أو PostgreSQL وMySQL. ويجدر الإشارة هنا إلى أنه مشروع مجتمعي، وصفحته تقول إنه لا يرتبط بشركة Bitwarden، وتطلب أن تبلغ عن مشاكله في قنواته هو وليس في دعم Bitwarden، حتى لو كانت المشكلة تظهر في تطبيق Bitwarden.

والمزايا التي تذكرها صفحة المشروع هي التالية، وكلها دون خطة أو ترخيص:

• الخزنة الشخصية: مع المرفقات وSend ومفتاح API الشخصي.
• المؤسسات Organizations: بالمجموعات والأدوار والفرق Groups وسجل الأحداث والسياسات واستعادة الحساب من المدير ودعم Directory Connector.
• التحقق الثنائي: بالتطبيق المصادق والبريد وFIDO2 وYubiKey وDuo.
• الوصول الطارئ Emergency Access: كما في التطبيقات الرسمية.
• صفحة إدارة للسيرفر: لدعوة المستخدمين وضبط الإعدادات.

فالسياسات التي يبيعها Bitwarden في Enterprise تجدها هنا مجاناً. ولاحظ أن الفرق Groups ما زالت تحت عنوان ميزة تجريبية BETA FEATURE في ملف الإعدادات، ولا تعمل حتى تفعلها بالمتغير ORG_GROUPS_ENABLED=true.

وأما الدخول الموحد SSO، فقد أضافه الإصدار 1.35.0 في 27 ديسمبر 2025 عبر OpenID Connect، وما زالت الإصدارات بعده تصلح فيه، وبحسب صفحة SSO في الويكي تبقى كلمة المرور الرئيسية مطلوبة ولا يتحكم فيها مزود الهوية، فيكون SSO طريقة للتحكم في من يدخل، وليس دخولاً دون كلمة مرور كما في SSO الذي يبيعه Bitwarden في Enterprise. وآخر إصدار وقت الكتابة هو 1.37.4 في 5 أكتوبر 2026، وفيه إصلاحات لسبع ثغرات، أعلاها بدرجة High تتعلق بسحب عضوية أعضاء المؤسسة، وهذا وحده سبب كاف لأن تتابع إصداراته.

نقاط القوة:

• كل مزايا الفريق مجاناً: المؤسسات والفرق والسياسات وسجل الأحداث والوصول الطارئ، بترخيص AGPL-3.0 كامل.
• خفيف جداً: Container واحد بقاعدة SQLite، يكفيه سيرفر صغير، والنسخ الاحتياطي مجلد واحد.
• يستخدم تطبيقات Bitwarden الرسمية، فالموظف لا يتعلم شيئاً جديداً.

نقاط الضعف:

• لا توجد شركة تدعمه أو تتحمل مسؤوليته، ولا تدقيق أمني رسمي له، وأنت من يتابع الثغرات ويحدث.
• يعتمد على تطبيقات شركة أخرى، فكل تغيير في تطبيقات Bitwarden ينتظر أن يلحق به المشروع، كما في ملاحظات الإصدار 1.37.4 عن أوامر Send القديمة.
• SSO موجود ولكن مع كلمة مرور رئيسية، ولا يوجد SCIM في قائمة مزاياه.

Passbolt: OpenPGP ونسخة لكل عضو

Passbolt مدير كلمات مرور Password Manager مصمم للفرق من البداية، وليس تطبيقاً شخصياً أضيفت إليه المشاركة، وكوده في مستودع passbolt_api بترخيص AGPL-3.0، وآخر إصدار وقت الكتابة v5.16.0 في 17 سبتمبر 2026. وطريقته كما في الصورة أعلاه: لكل مستخدم مفتاح OpenPGP في إضافة المتصفح، والسر يشفر لكل عضو على حدة، ويقول التوثيق إن الخادم لا يستقبل إلا النص المشفر، وإن مجموعة الاسترداد Recovery Kit هي الطريقة الوحيدة لاستعادة الحساب في النسخة المجانية. والجدول التالي يقارن النسختين من صفحة الأسعار:

نقاط القوة:

• نموذج تشفير واضح بمعيار مفتوح، ونسخة مستقلة لكل عضو، فسحب الوصول يحذف نسخته فعلاً.
• مصمم للفرق، والنسخة المجانية تكفي لفريق صغير لا يحتاج SSO.

نقاط الضعف:

• سجل النشاط واستعادة الحساب وSSO في Pro، وهذه مزايا يطلبها المدقق في أغلب الشركات.
• المفتاح الخاص في إضافة المتصفح، فإذا ضاعت مجموعة الاسترداد في النسخة المجانية ضاع الحساب.
• تجربة المستخدم تختلف عن تطبيقات Bitwarden التي يعرفها كثير من الموظفين من حياتهم الشخصية.

KeePassXC مع ملف مشترك: متى يكفي؟

KeePassXC تطبيق مكتبي بترخيص GPL الإصدار 2 أو 3 بحسب ملف COPYING، وآخر إصدار له 2.7.12 في 10 مارس 2026، ولا يوجد له سيرفر، وإنما يحفظ كل شيء في ملف KDBX مشفر. والفرق الصغيرة تضع هذا الملف على مجلد مشترك أو خدمة مزامنة، ويفتحه كل عضو بكلمة مرور الملف. وهذا يعمل لشخص أو شخصين، ولكنه يتعب مع الفريق، والسبب في نقطتين يذكرهما دليل المستخدم نفسه:

• الدمج Merge: عندما يعدل شخصان الملف في وقت واحد تصنع خدمة المزامنة نسخة متعارضة، ويدمجها KeePassXC بمقارنة المعرف UUID ووقت التعديل، فيأخذ الأحدث ويضع القديم في تاريخ العنصر، وهذا يعني أن أحداً يجب أن يتذكر الدمج.
• المشاركة بـ KeeShare: يشارك مجموعات من الملف عبر ملفات تصدير واستيراد، ويقول الدليل إن نقل عنصر خارج مجموعة التصدير يمنع تصديره مرة أخرى ولكنه لا يضمن حذف البيانات التي شوركت من أي جهاز، وإنه لا يستطيع أن يكتشف إذا استبدل أحدهم الملف المشترك بنسخة أقدم من موقع صحيح.

وفوق ذلك لا يوجد سجل لمن فتح الملف، وسحب الوصول يعني أن تغير كلمة مرور الملف وتوزعها من جديد، ثم تغير كل كلمة مرور فيه لأن المغادر يحمل نسخة كاملة.

نقاط القوة:

• لا يوجد سيرفر يحتاج تحديثاً أو حماية، والملف مشفر ويعمل دون إنترنت.
• مناسب جداً كنسخة طوارئ خارج السيرفر لعدد قليل من الأسرار الحرجة، مثل كلمة مرور حساب الطوارئ للخزنة Vault نفسها.

نقاط الضعف:

• لا توجد صلاحيات داخل الملف، ولا سجل، ولا سحب حقيقي للوصول.
• تعارض النسخ عند التعديل في وقت واحد، والدمج يدوي.

Psono: خيار آخر للاستضافة الذاتية

Psono مدير كلمات مرور Password Manager للشركات يستضاف ذاتياً أو كخدمة، وسيرفره على GitLab بترخيص Apache-2.0، وما زال يتطور بانتظام، فآخر إصدار له v7.5.1 في 13 أكتوبر 2026. وبحسب صفحته الرئيسية فالنسخة المجانية مفتوحة المصدر لعدد غير محدود من المستخدمين، ونسخة الأعمال مجانية حتى 10 مستخدمين بكل مزاياها، ومنها LDAP وSAML وOIDC وسجل التدقيق والسياسات، ثم 3 دولارات للمستخدم شهرياً بالدفع السنوي وبحد أدنى 25 مستخدماً. وهو خيار يستحق التجربة إذا أردت SSO وسجلاً دون اشتراك لفريق صغير، ولكن مجتمعه أصغر بكثير من Bitwarden وVaultwarden، وتطبيقاته خاصة به.

الخدمات السحابية وأسعارها

إذا لم يكن لديك من يشغل سيرفراً ويحدثه ويختبر نسخه الاحتياطية، فالخدمة السحابية أكثر أماناً من سيرفر مهمل، والجدول التالي يلخص أسعار خطط الشركات كما ظهرت في صفحاتها، بالدولار وبالدفع السنوي:

وقد قارنا في حلول الأمن التجارية وبدائلها مفتوحة المصدر هذه الفئة مع غيرها من حلول الأمن، وفي المصادر المفتوحة في الشركة الناشئة لماذا يكون مدير كلمات المرور Password Manager من أول ما تستضيفه بنفسك عندما يتوفر من يشغله.

جدول المقارنة

الجدول التالي يجمع ما سبق، والكلمة «يذكره» تعني أن الميزة موجودة في التوثيق أو صفحة الأسعار الرسمية، ولم نختبرها كلها بأنفسنا، أما ما اختبرناه على Vaultwarden فهو في دليله:

دليل القرار

الصورة التالية تختصر القرار في أربعة أسئلة، وأولها أهمها:

• لا يوجد من يشغل السيرفر: خذ خدمة سحابية، فالخزنة المهملة التي لم تحدث منذ سنة أخطر من الخدمة السحابية، وBitwarden Teams بسعر 4 دولارات للمستخدم نقطة بداية معقولة.
• تحتاج دعماً رسمياً أو SCIM أو استعادة الحساب: Bitwarden Enterprise مستضاف على سيرفرك، أو Passbolt Pro.
• فريق صغير أو متوسط، ومعك من يشغل سيرفراً: Vaultwarden، لأن الموظفين يستخدمون تطبيقات Bitwarden المألوفة، وتحصل على السياسات والفرق والوصول الطارئ دون ترخيص.
• تفضل نموذج OpenPGP ونسخة لكل عضو: Passbolt CE، ثم Pro عندما تحتاج SSO وسجل النشاط.
• شخص واحد أو اثنان: KeePassXC يكفي، وهو أيضاً مكان جيد لنسخة الطوارئ من مفاتيح الخزنة Vault نفسها.

الخلاصة

وصلنا لنهاية الموضوع، وأهم ما فيه:

• ما يفرق أداة الشركة عن التطبيق الشخصي هو المجموعات والفرق والسياسات وسجل الأحداث والوصول الطارئ واستعادة الحساب.
• Bitwarden وVaultwarden يشفران بمفتاح للمؤسسة، وPassbolt بنسخة OpenPGP لكل عضو، وKeePassXC ملف واحد، وفي كل الحالات سحب الوصول لا يمحو ما رآه الموظف، فغير كلمات المرور عند المغادرة.
• سيرفر Bitwarden الرسمي AGPL مع وحدات بترخيص تجاري، والاستضافة الذاتية والسياسات في خطة Enterprise بسعر 6 دولارات للمستخدم.
• Vaultwarden مجاني بترخيص AGPL كامل ويعطي مزايا الفريق كلها، ويدعم SSO عبر OIDC منذ الإصدار 1.35.0 مع بقاء كلمة المرور الرئيسية، ولكنه مشروع مجتمعي دون دعم رسمي، فتابع تحديثاته الأمنية.
• Passbolt CE مجاني، وSSO وLDAP وسجل النشاط واستعادة الحساب في Pro.
• السؤال الأول في القرار: هل لديك من يشغل السيرفر ويختبر نسخه الاحتياطية؟

وفي المقال القادم نثبت Vaultwarden خطوة بخطوة، ونرحل إليه ملف Excel كاملاً، ونختبر الاستعادة من النسخة الاحتياطية.

دليلVaultwarden: مدير كلمات مرور للفريق على سيرفرككيف تثبت Vaultwarden بأمان وتنقل إليه كلمات مرور فريقك من ملف Excel، ثم تتأكد أن نسخته الاحتياطية تستعاد فعلاً.دليلإدارة كلمات المرور في المؤسسة: من ملف Excel إلى خزنةلماذا لا يصلح ملف Excel لكلمات مرور الشركة، وكيف تنقل الحسابات المشتركة إلى خزنة بصلاحيات وسجل وخطة طوارئ.دليلحلول الأمن التجارية وبدائلها مفتوحة المصدر: متى توفر فعلاً؟لكل فئة من حلول الأمن التجارية الشائعة في السعودية بديل مفتوح المصدر، وهنا تعرف متى يوفر عليك فعلاً ومتى يكون التجاري أفضل.دليلالمصادر المفتوحة في الشركة الناشئة: ماذا تستضيف بنفسك ومتى؟دليل للمدير التقني في الشركة الناشئة يبين ما تستضيفه بنفسك من اليوم الأول، وما تتركه للخدمات المدارة حتى يكبر الفريق.

سجل التحديثات

• أكتوبر 2026: كتابة المقال، وقراءة الأسعار يوم 14 أكتوبر 2026 من صفحات Bitwarden و1Password وKeeper وDashlane وPassbolt وPsono، والتحقق من ترخيص كل مشروع وآخر إصدار له من مستودعه الرسمي في اليوم نفسه، وبيان LastPass عن حادثة ديسمبر 2022 من مدونتها الرسمية.