Bitwarden, app con licenza commerciale: cosa cambia per le PMI

Cosa ha annunciato Bitwarden

L'avviso pubblicato sul forum ufficiale di Bitwarden è breve e punta a rassicurare: le app negli store funzioneranno esattamente come oggi, non serve alcuna azione da parte degli utenti, il piano gratuito resta e non cambia nulla per chi installa il server in casa. Tutte le funzioni attuali sono disponibili con entrambe le licenze. La novità sta in due frasi: alcuni componenti futuri saranno pubblicati solo con la licenza commerciale ed esisteranno soltanto in quella build, e per ogni nuova funzione l'azienda deciderà caso per caso quale licenza applicare. Secondo un responsabile di Bitwarden intervenuto nella discussione su Privacy Guides, l'obiettivo è proteggere alcune funzioni da chi riconfeziona e rivende il software, senza impedire i progetti della comunità. La notizia è stata ripresa, tra gli altri, da LinuxNews.de.

Il modello non nasce dal nulla. Già oggi il codice di Bitwarden è diviso: la maggior parte delle applicazioni client è rilasciata con licenza GPLv3 e il nucleo del server con AGPLv3, entrambe approvate OSI, mentre le funzioni pensate per le aziende stanno in una cartella separata coperta dalla Bitwarden License, che permette di leggere il codice ma non è una licenza open source secondo la definizione OSI. Con l'annuncio di ottobre questa logica di doppio binario si estende alle app che la gran parte degli utenti installa davvero, quelle degli store: il codice GPLv3 resta pubblico e riutilizzabile, ma il prodotto ufficiale diventa un software commerciale costruito sopra di esso. È lo stesso tipo di scelta che abbiamo raccontato per la piattaforma IoT ThingsBoard, anche se nel caso di Bitwarden la versione libera non viene abbandonata.

Cosa cambia per le imprese

Per una PMI che usa Bitwarden in cloud con un piano Teams o Enterprise l'impatto immediato è nullo: paga già un abbonamento e riceve le app ufficiali. La questione riguarda il medio periodo. Se le funzioni più utili alle aziende, per esempio nuovi strumenti di amministrazione, report o integrazioni, arrivassero solo nella build commerciale, la versione GPLv3 potrebbe restare indietro, e chi l'aveva scelta per non dipendere dal fornitore si troverebbe con un software sempre meno equivalente. Chi rivende o integra Bitwarden nei propri servizi, come alcuni fornitori IT e MSP, deve invece verificare con attenzione la licenza di ogni componente, perché è proprio a loro che la modifica si rivolge.

Discorso a parte per Vaultwarden, l'implementazione alternativa del server scritta dalla comunità in Rust e rilasciata con licenza AGPLv3, molto diffusa nelle piccole imprese perché leggera e con molte funzioni a pagamento già incluse. Vaultwarden è attivo (l'ultima versione, la 1.37.4, è di ottobre) e per ora non è toccato, ma si appoggia alle app client ufficiali di Bitwarden: se in futuro una funzione esistesse solo nelle app commerciali, potrebbe non essere disponibile o compatibile con un server Vaultwarden. Non è un progetto dell'azienda e non offre assistenza contrattuale: il supporto passa dalla comunità o da un integratore.

Limiti e costi reali

Un gestore di password aziendale non è mai gratuito, anche quando il software lo è. Con Bitwarden in cloud si paga un abbonamento per utente al mese secondo il listino pubblicato sul sito, in dollari, con i dati ospitati nella regione europea se scelta all'attivazione. Con il server ufficiale installato in casa servono comunque una licenza a pagamento per le funzioni aziendali, un server o una macchina virtuale, backup cifrati e qualcuno che segua aggiornamenti e certificati. Con Vaultwarden la licenza costa zero, ma restano le ore di un tecnico per installazione, configurazione dell'HTTPS e dei backup, collegamento a un sistema di accesso unico come Keycloak e manutenzione: un server di password fermo o perso è un problema serio per tutta l'azienda. Va infine messa in conto la formazione dei collaboratori, che è la parte più trascurata e la più decisiva per la sicurezza.

Il commento di PINET

Bitwarden non chiude il codice e chi lo usa oggi non deve migrare, ma l'annuncio cambia la natura del prodotto ufficiale: da software open source con alcune parti commerciali a software commerciale con un nucleo open source. Per una PMI il consiglio pratico è non decidere sull'onda delle polemiche, ma scrivere nel proprio piano IT come verrebbe esportato il vault in caso di necessità, verificare se si usano build ufficiali o Vaultwarden e tenere d'occhio la roadmap che Bitwarden ha promesso di aggiornare. La vera tutela, qui come altrove, è poter cambiare fornitore senza perdere i dati, e il formato di esportazione aperto di Bitwarden per ora lo consente.