bitwarden

10. Bitwarden 开源密码管理器，安全又可靠。 免费版本功能已经足够完整。 bitwarden/server

ずっと悩まされていた問題が近く解決するらしい clients#21032

BitwardenのAgent Accessで、クラウドのClaude Codeから安全に認証情報を受け取る この記事は何 最近、1PasswordからAIエージェント向けの連携機能「1Password for Agents」が出ました。 1password.com ClaudeやChatGPTなどのエージェントがログイン画面にたどり着くと、1Passwordに認証情報を要求し、ユーザーが自分のデバイスで承認するとパスワードやワンタイムコードをフォームに自動入力してくれる、という機能です。 エージェントはパスワード自体を受け取らないようになっています。 エージェントにブラウザ操作を任せていると、ログインのところで毎回止まってしまうので、これは便利そうだなと思いました。 ただ、僕はプライベートではBitwardenを使っています。 「Bitwardenでも同じことができないのか...！？」と思って調べてみたところ、Bitwardenから「Agent Access SDK」というものが公開されていました。 bitwarden.com この記事では、 1. Agent Access SDKを使って、ウェブ上のClaude Code（クラウド環境）から手元のBitwardenの認証情報を安全に受け取れるか試した 2. 試した内容をもとに、Playwright MCPでログインするためのSkillを作った という話を紹介します。 :::note warn Agent Accessは執筆時点（2026年10月）でearly previewの段階で、APIやプロトコルは今後変わる可能性があります。この記事はaac v0.11.0で試した内容です。 公式も本番の認証情報をそのまま使うことは推奨していないので、試す場合はご注意ください。 ::: Agent Access SDKとは Agent Accessは、パスワードマネージャーの認証情報を、保管庫全体を渡さずにリモートのシステムへ渡すためのプロトコルと、そのCLI・SDKです。 bitwarden/agent-access 仕組みは以下のような形です。 - 手元のPCでaac listenを起動しておく（Bitwarden CLIのbwを使って保管庫を読む側） - エージェント側ではaac connectやaac runで認証情報を要求する - 両者は中継サーバーを経由した、エンドツーエンドで暗号化されたトンネル（Noise Protocol）でつながる - 要求が来るたびに手元のCLIに承認画面が出て、承認したものだけが返る sequenceDiagram participant Agent as クラウドのClaude Code<br/>(aac run) participant Relay as 中継サーバー participant Local as 手元のPC<br/>(aac listen + bw) participant User as ユーザー Agent->>Relay: 認証情報を要求（暗号化） Relay->>Local: 転送 Local->>User: 承認画面を表示 User->>Local: 承認 Local->>Relay: 認証情報（暗号化） Relay->>Agent: 転送 Agent->>Agent: 子プロセスの環境変数に注入 特に便利なのがaac runというサブコマンドです。 取得した認証情報を標準出力に出さず、子プロセスの環境変数として渡してくれます。 aac run --domain example.com --env DB_USER=username --env DB_PASSWORD=password -- psql エージェントがechoなどで中身を出してしまうと、その時点でパスワードが会話のコンテキストに残ってしまいます。 aac runを使えば、エージェントはパスワードを見ずに、パスワードを使ったコマンドだけを実行できます。 クラウドのClaude Codeから試してみる 1Password for Agentsは対応しているエージェント向けの連携で、ウェブ上のClaude Codeのようなクラウド環境のコーディングエージェントは対応先に入っていません。 一方でAgent Accessは中継サーバー経由でつながるので、クラウドからでも使えるのでは？と思い、試してみました。 code.claude.com 今回は以下のようなステップで進めます。 1. クラウド環境にaacを入れる 2. 手元でaac listenを起動する 3. ペアリングして認証情報を受け取る 1. クラウド環境にaacを入れる まずはクラウドのセッションにaacを入れます。 リリースされているバイナリを持ってくるだけです。 curl -sSL https://github.com/bitwarden/agent-access/releases/download/v0.11.0/aac-linux-x86_64.tar.gz | tar xz -C ~/.local/bin aac --version なお、後で紹介するSkillではダウンロードしたファイルのSHA-256を検証してから展開するようにしています。 ウェブ上のClaude Codeは外向きの通信がプロキシ経由になっています。 aacはWebSocketで中継サーバー（wss://ap.lesspassword.dev）に接続するので、プロキシ越しでつながるか少し心配でしたが、特に何も設定せずにつながりました。 2. 手元でaac listenを起動する 次に手元のPCでaac listenを起動します。 いきなり本物の保管庫で試すのは怖かったので、まずはサンプルの認証情報だけを返す--provider exampleで試しました。 aac listen --provider example 起動すると、ABC-DEF-GHIのような形のペアリングトークンが表示されます。 3. ペアリングして認証情報を受け取る クラウド側で、ペアリングトークンを使って接続します。 aac connect --token <ペアリングトークン> --output json 一度ペアリングすると接続情報が~/.access-protocol/に保存されるので、以降はトークンなしで要求できます。 あとはaac runで認証情報を要求します。 今回は中身を出さずに、文字数だけを出して取得できたかを確認しました。 aac run --domain example.com --env-all -- \ sh -c 'echo "username_len=${#AAC_USERNAME} password_len=${#AAC_PASSWORD}"' --env-allを付けると、AAC_USERNAME、AAC_PASSWORD、AAC_TOTPなどがAAC_付きの環境変数として渡されます。 その後、本物の保管庫（--providerなしでaac listenを起動）に切り替えて試したところ、以下のように取得できました。 username_len=27 password_len=14 totp=no 手元で承認するとクラウド側に認証情報が届き、パスワードは会話にもファイルにも残りません。 クラウドのClaude Codeから、手元のBitwardenの認証情報を受け取ることができました！ 詰まった点 ここまでさらっと書いていますが、実際は結構詰まりました。 どのサイトを要求しても「Request denied」になる 本物の保管庫に切り替えたところ、どのドメインを要求しても数秒でRequest deniedが返ってくるようになりました。 手元に承認画面も出てきません。 aacのソースを読んでみると、手元のaac listenは要求を受け取るとまずbw get item <ドメイン>で保管庫を検索し、見つかったときだけ承認画面を出す作りになっていました。 見つからなかったときは承認画面を出さずに自動で拒否するのですが、リモート側にはどちらも同じRequest deniedで返ってきます。 原因は2つありました。 1つ目はbw get itemが「ちょうど1件だけ一致したとき」しか成功しないことです。 同じサービスのログインを複数登録していると、以下のようなエラーになります。 More than one result was found. Try getting a specific object by `id` instead. この場合は、ドメインではなく保管庫の項目IDで要求すれば大丈夫です。 aac run --id <保管庫の項目ID> --env-all -- ./deploy.sh 項目IDは、ブラウザ版のBitwarden（ウェブ保管庫）でアイテムを選択したときのURLから確認できます。 URLに含まれるitemId=の後ろの値が項目IDです。 https://vault.bitwarden.com/#/vault?itemId=<保管庫の項目ID> 2つ目はaac listenが持っている保管庫のセッションキーが古くなっていたことです。 この状態のbwは「保管庫がロックされている」ではなくNot foundを返すので、aacも「該当する項目がない」と判断していました。 ID指定でも拒否されたことで、ようやくこの原因に気づきました。 手元で保管庫をロック解除し直したら、無事に取得できるようになりました。 aac listenは以下のように、BW_SESSIONを設定した同じターミナルで起動しておくのが確実です。 export BW_SESSION=$(bw unlock --raw) aac listen なお、Request deniedが返ってくるまでの時間で、原因をある程度切り分けられます。 | 症状 | 原因 | |:---|:---| | 数秒でRequest denied | 手元のbw get itemが失敗して自動で拒否された | | 約120秒でタイムアウト | 手元で承認されていない | パスキーは取れない Agent Accessでやり取りできるのはusername、password、totp、uri、notesなどで、パスキーは扱えません。 ちなみにtotpにはワンタイムコードそのものではなく、コードを生成するためのシークレットが入っています。 Playwright MCPでログインする 認証情報を受け取れるようになったので、次はPlaywright MCPでブラウザを操作しているときに、ログインでどう使うかを考えました。 browser_typeでパスワードを入力するのはNG 一番素直なのは、Playwright MCPのbrowser_typeツールでパスワードを入力する方法です。 ただ、この方法だとツールの引数としてパスワードが会話に残ってしまいます。 せっかくaac runでパスワードを見ないようにしたのに、これでは台無しです。 同じブラウザをCDPで共有する そこで、以下のように役割を分けることにしました。 - ログインだけをaac runの中のスクリプトで行う - Playwright MCPはChrome DevTools Protocol（CDP）で同じブラウザにつないで、ログイン済みのタブを操作する graph LR A[Chromium<br/>remote-debugging-port=9222] B[aac run + cdp-login.cjs] -->|ログインフォームを入力| A C[Playwright MCP<br/>cdp-endpoint] -->|ログイン済みのタブを操作| A まず、CDPを有効にしてChromiumを起動しておきます。 "$CHROME" --headless=new --remote-debugging-port=9222 \ --user-data-dir="${TMPDIR:-/tmp}/agent-access-cdp-profile" about:blank & 次に、aac runの中でログイン用のスクリプトを実行します。 スクリプトはCDPでブラウザにつなぎ、ログインフォームを埋めて送信したら切断するだけです。タブはブラウザに残ります。 const browser = await chromium.connectOverCDP(CDP_ENDPOINT); const context = browser.contexts()[0] ?? await browser.newContext(); const page = await context.newPage(); try { await page.goto(url); await page.fill(userSel, AAC_USERNAME); await page.fill(passSel, AAC_PASSWORD); await submit(page, submitSel); const { origin, pathname } = new URL(page.url()); console.log(`after login: ${origin}${pathname}`); } finally { await clearPassword(page); await browser.close(); } aac run --domain www.example.com --env-all -- \ node cdp-login.cjs https://www.example.com/login '#username' '#password' 'button[type=submit]' ここでやっていることは以下の2つです。 - ログイン後のURLはoriginとpathnameだけを出す（クエリにトークンが入っていることがあるため） - 成功しても失敗しても、最後にパスワード欄を空にする（MCPのスナップショットにパスワードが写らないようにするため） 最後に、Playwright MCPをこのChromiumにつなぎます。 Playwright MCPはPLAYWRIGHT_MCP_CDP_ENDPOINTという環境変数でも接続先を指定できるので、MCPサーバーの設定はいじらずに、環境変数を渡すだけで済みます。 { "env": { "PLAYWRIGHT_MCP_CDP_ENDPOINT": "http://localhost:9222" } } 僕が公開しているclaude-task-workerというプラグインでもPlaywright MCP（--headless --browser chromium）を入れているのですが、この起動引数のままでも、環境変数だけでログイン済みのタブを操作できました。 getty104/claude-task-worker :::note warn CDPのポートにつなげるプロセスは、ブラウザを完全に操作でき、ログイン済みのセッションも使えます。 localhostに限定していても同じホストの別プロセスからはつなげるので、共有ホストでは使わず、使い捨てのコンテナなどで実行してください。 ::: TOTPやメールの認証コード 二段階認証にも対応させました。 TOTPの場合は、AAC_TOTPのシークレットからRFC 6238に従ってワンタイムコードを作り、スクリプトの中で入力します。Node.js標準のcryptoだけで実装できたので、ライブラリは追加していません。 メールやSMSで届く認証コードはAgent Accessでは受け取れないので、以下のようにしました。 - Gmailなどのメール用MCPが使える場合は、送信元と時刻で絞ってメールを検索し、最新の1通からコードを取り出す - 使えない場合は、届いたコードをユーザーに教えてもらう 認証コードは数分で使えなくなる使い捨ての値なので、こちらはMCPのツールで入力してOKということにしています。 Skillも作りました 今回の内容をもとに、Playwright MCPでAgent Access SDKを使うためのSkillも作成しました。 よければ使ってみてください。 getty104/claude-code-marketplace 1Password for Agentsとの違い 最後に、1Password for Agentsとの違いを簡単にまとめておきます。 | | 1Password for Agents | Bitwarden Agent Access | |:---|:---|:---| | 使えるエージェント | 対応しているエージェント（Claude、ChatGPT Workなど） | aacのCLIやSDKを呼べるもの（クラウド環境も可） | | 認証情報の渡し方 | ログインフォームに自動入力 | 子プロセスの環境変数に注入 | | 承認 | ユーザーのデバイスで承認 | 手元のターミナル（aac listen）で承認 | | 承認の通知 | 1Passwordが承認を求めてくれる | 仕組みはないので、自分で用意する必要がある | | 提供状況 | 一部のエージェントで提供開始、ほかは準備中 | early preview | 対応しているエージェントで使うなら、1Password for Agentsの方が手軽です。 一方でAgent AccessはCLIやSDKから使えるので、クラウド環境のエージェントからでも使えるのが強みだと思います。 ただ、Agent Accessは承認を手元のターミナルでしないといけないのが少し面倒です。 要求が来ても通知などは特に飛んでこないので、ターミナルを開いていないと気づけず、そのまま120秒でタイムアウトしてしまいます。 エージェントに作業を任せて放置する使い方をするなら、承認待ちの通知などは自分で仕組みを用意する必要があります。 最後に 今回は、BitwardenのAgent Access SDKを使って、クラウドのClaude Codeから手元の保管庫の認証情報を受け取ってみました。 early previewなので詰まるところも多かったですが、パスワードを見せずにエージェントに使わせることができました！ エージェントにいろいろな作業を任せるようになると、認証情報をどう安全に渡すかはどんどん大事になってくると思います。 Bitwardenを使っている方は、ぜひAgent Accessを試してみてください。 最後までお読みいただきありがとうございました。

7) It locks up your passwords Bitwarden is an open-source password manager. One strong password, a different one for every site, synced across all your devices. bitwarden/clients

@1Password @Muse @bot @AnthropicAI @claudeai @OpenAI @TownAI @browserbase @browser_use @heydana_ai @usekernel @perplexity_ai @tryramp @tomo @wajo_ai Give me a break, bitwarden open sourced this with the agent layer and it does everything this does locally. It’s barely a few MBs. What do you have that a Claude agent can’t match with the exact same vault system? github.com/orgs/bitwarden/repositories

@T1doo_AI 密码总在不同网站重复用？ Bitwarden 的浏览器扩展和桌面端能保存登录信息、生成强密码。账号多的人用得上。 https:// bitwarden/clie nts … #PasswordManager #浇朋友 #蓝朋友 #互关 #fo

Bitwarden Server: infrastructure/backend (API, database, Docker, etc) (20k stars) What it does All text below is quoted directly from the project README. >The Bitwarden Server project contains the APIs, database, and other core infrastructure items needed for the "backend" of all bitwarden client applications. Deploy: - The server project is written in C# using .NET Core with ASP.NET Core. The database is written in T-SQL/SQL Server. - The codebase can be developed, built, run, and deployed cross-platform on Windows, macOS, and Linux distributions. - You can deploy Bitwarden using Docker containers on Windows, macOS, and Linux distributions. Use the provided PowerShell and Bash scripts to get started quickly. - Find all of the Bitwarden images on GitHub Container Registry. - Requirements: Docker, Docker Compose (already included with some Docker installations) - Code contributions are welcome! Please commit any pull requests against the main branch. - Security audits and feedback are welcome. Please open an issue or email us privately if the report is sensitive in nature. >Full documentation for deploying Bitwarden with Docker can be found in our help center at: help.bitwarden.com Repository bitwarden/server Repository stats |Metric|Value| |:-|:-| |Stars|20,409| |Forks|1,805| |Last release|v2026.10.0 (2026-10-14)| |Languages|C# 84.1%, TSQL 9.9%, Handlebars 4.1%| |Contributors|245| |AI contributor accounts (Claude / Codex / Cursor / Copilot)|claude: 17, claude[bot]: 19| |AI co-authored commits|Claude: 35, Copilot: 4| Main contributor |Field|Value| |:-|:-| |Name|Kyle Spearrin| |GitHub|@kspearrin| |Commits to this repo|2,570 (top contributor)| |Bio|Founder @bitwarden.| |Company / Location|@bitwarden / USA| |Website|kylespearrin.com| |X / Twitter|@KyleSpearrin| |Followers|919| |Public repos|91| |On GitHub since|2011-11-12| ────────────────────────────── 📌 How many great GitHub repos have you discovered and completely forgotten about? Don't let another useful tool disappear into your Reddit feed. Get the community's best repos, organized by category, plus key takeaways from real developer discussions, delivered to your inbox twice a week. 📬 Never lose track of great repos again. Subscribe free.

@juancarloschvz @Wehbs @melvindvivas Bitwarden has an official MCP server you can pass to your Bot. Works perfectly well for me bitwarden/mcp-server

Concerned About Bitwarden's Performance and Long-Term Reliability I've been following Bitwarden's GitHub issues for a while, and I'm becoming increasingly concerned about the product's stability and development priorities. >There are over 700 open issues, including reports of memory leaks and high CPU usage. Some similar problems have been reported for more than two years and still seem unresolved. What's even more concerning is that these are basic performance issues in a production release. Some users have reported RAM usage (Memory Leak) exceeding 1GB just by opening the extension popup, even with a completely new account and an empty vault. You can try it yourself. Open the current Bitwarden extension on Chromium, leave the popup open for about two minutes, and watch its RAM and CPU usage. What frustrates me most is how these bugs are prioritized. Serious performance issues have remained in production for weeks, yet Bitwarden is still promoting UI updates and asking for feedback on beta designs. I understand that different teams work on different things, but shouldn't basic stability come first? With each update, it feels like more patches are being added while older problems remain. Over time, this only makes me more worried about the product's reliability. Looking at the issue backlog, I also wonder whether Bitwarden is understaffed. Of course, I don't know the internal situation, but I can't help questioning whether limited resources, heavy workloads, or compensation that doesn't adequately support employees might be affecting motivation and development quality. If that's the case, I wouldn't blame the developers. These are management issues. I'm also concerned about the long-term direction. As the user base grows and people become more dependent on the product, price increases or licensing changes can become ways to keep the business running. We've already seen recent pricing changes, and I worry about where things might go from here. Ultimately, everyone chooses which password manager to trust. Personally, I'm seriously considering moving away from Bitwarden to something more stable, with a clearer long-term vision, before these problems become even harder to fix. I genuinely hope Bitwarden improves, but right now, it's difficult to feel confident in a product when fundamental issues keep piling up without clear solutions

Bitwarden licensing: store builds change, GPL continues on GitHub Bitwarden says the next release of its store-distributed apps will use commercially licensed builds. The GPLv3 version will continue getting updates on GitHub. Developers choosing a password manager now have a specific distribution boundary to inspect, alongside a staff reply that leaves room for future features to diverge. This edition follows the information available on October 11, 2026. {% embed youtube.com %} TL;DR - Upcoming store builds use the commercial license, according to Bitwarden's announcement. A staff clarification also includes direct downloads. - Bitwarden says all current features are available in both versions, and its free plan commitment remains. - The client repository already separates GPLv3 code and Bitwarden License v1.0 code. Mixed licensing predates this announcement. - A staff reply reserves some future components for the commercial build. It names no feature or delivery date. - Check the package you actually install and the notices that apply to your workflow. Source availability alone cannot answer a redistribution question. What changes in Bitwarden licensing The October 9 announcement describes a change beginning with the next release. Apps published to the various stores will be commercially licensed builds. The company says users need take no action and the apps will work exactly as they do today. That timing matters. This announcement describes upcoming releases. It does not establish a specific version number or delivery date for every store. A headline about the license change therefore needs the future-facing qualifier, even if the interface remains familiar when the update arrives. Bitwarden is a password manager. Its security whitepaper describes logins stored in an encrypted vault, and the product provides autofill into websites. A developer may encounter it as an app-store download, a browser extension, or code in the public client repository. Those encounters have different practical purposes, so it helps to identify the particular package under discussion before drawing conclusions from the brand name. The initial post says the GPLv3 open-source version will continue to be updated and published on GitHub. Reply 8 adds that direct downloads will also use the commercial license. Downloading from the website therefore supplies no automatic shortcut around the distribution distinction described by the company. There is also an important limit to this analysis. I have reviewed the published statements and license files. I have performed no independent binary-to-source comparison of the store apps. The company's clarification that store clients are built directly from publicly auditable GitHub code remains a company statement here. An audit would require its own scope and evidence. Current feature parity leaves a future question The announcement contains a reassuring sentence worth reading in full: > All current features are available in both versions That statement describes the present feature set. It gives a user a reason to expect continuity while this distribution change happens. Its word “current” also gives the statement a time boundary. A future product decision would need its own explanation. A volunteer moderator asked what differences would exist between the parallel versions. In reply 4, Bitwarden employee RyanL answered: > Some future components will be published under the commercial license and will exist only in that build. Newly developed features will be evaluated on a case-by-case basis for which license applies to them. This is the specific future boundary supported by the source. The reply allows commercial-only components and describes a case-by-case evaluation process. It supplies no named component, feature list, or implementation date. Predicting which future feature will land on which side would add information the staff reply never provided. For a developer, the useful question is whether a capability central to their workflow continues to exist in the build they use. That can be reviewed release by release. A list of today's matching features cannot finish tomorrow's review for you. Equally, the possibility of future divergence supplies no evidence that a particular current feature has already been removed. The announcement retains the free-forever plan commitment. It also clarifies that the code remains publicly auditable and that self-hosting is unchanged. Those statements deserve to remain attached to the discussion. An upcoming licensing change by itself establishes neither an announced price increase nor an instruction to abandon the vault immediately. The repository already had two license categories The clients repository license map says its source code is covered by one of two licenses: GNU GPL v3.0 and Bitwarden License v1.0. GPL is the default unless a header specifies another license. It identifies the /bitwarden_license directory as the location for Bitwarden-licensed code. The commercial source-module agreement carries the header “Version 1, 4 September 2020.” The repository's mixed licensing structure therefore predates this October announcement. Treating the event as the birth of dual licensing loses the actual change developers need to inspect: which license accompanies a distributed build. This also explains why a quick glance at a repository's top-level license can leave a question unfinished. A file may sit under a separately specified license. Reviewing the header and directory context matters when evaluating the component you want to modify or distribute. The source-module agreement describes a grant for internal development and testing with restrictions on transfer and competing products. Applying its wording directly to an ordinary downloaded-app user's production use would require a separate review of the distributed application's applicable terms. I have not reviewed a complete app EULA here, and I make no claim that normal password-manager use is prohibited. That distinction keeps the analysis useful. A user deciding whether to continue using an app and a developer planning to redistribute a component are answering different questions. Each needs the relevant package, activity, and terms. General licensing advice cannot substitute for identifying those inputs. A practical review for your actual build Start with the installation route. Write down which store or download supplied the app and which version you have. Then review the license notices attached to that package. For the upcoming release, the company explicitly identifies store builds and direct downloads as commercial distribution routes. If your workflow depends on the GPL version, follow the releases the company publishes on GitHub and examine the instructions and notices for that path. The announcement promises ongoing updates there. It gives no reason to assume a familiar download button elsewhere selects that version. For modification or redistribution work, examine the files and components involved. The repository license map supplies the default rule and the separate category. A publicly viewable file remains useful evidence for inspection, while the applicable license supplies the permission terms for a proposed use. Finally, keep the current feature list separate from future requirements. Identify the capabilities you rely on, and revisit the comparison when a release introduces a relevant feature. The staff reply explicitly describes future decisions made case by case. Recording the requirement now makes that later comparison easier than reconstructing it from memory. This is a review checklist rather than legal advice. The point is to ask a bounded question that the published evidence can answer. “Which build and terms apply to my use?” gives you a tractable starting point. A password manager's familiar logo gives you product recognition; the notices and release information complete the licensing part of the decision. Also today: a literal PATH entry and paid README testing Disconnect3d's October 2 demonstration resurfaced in the October 11 Hacker News discussion. Its quoted assignment appends ~/.local/bin/ to PATH. Inside that quoted form, the tilde stays literal, so the entry is relative to the current directory. The author's demo finds a program beneath a directory actually named tilde and reports hello. Home is unused by that literal entry; other PATH entries retain their own behavior. The Bash manual corroborates unquoted tilde expansion. The blog's correction uses $HOME inside the quotes. Unquoted assignment semantics can also expand a tilde in Bash, so removing quotes indiscriminately misses the context of this example. Inspect the actual entry before changing shared-machine configuration. The account demonstrates lookup behavior and supplies no evidence of victims or a newly discovered shell vulnerability. Terence Eden's README experiment cost around €150, with €25 paid for an hour of ActivityBot first-run testing. Testers shared screens and spoke aloud; Eden revised the README between sessions. Findings included a wrong demo link, confusing hidden-file instructions, and a missing explanation of what the software would do. These were informal sessions with no controlled success-rate improvement. The useful takeaway is to watch a fresh reader and fix the point where they hesitate. Verdict: NEEDS REVIEW I'd keep using the app while checking which build and license my workflow depends on, then watch future feature parity. Bitwarden's present assurances and its future-component statement can coexist. My verdict reflects the additional review required by that boundary. FAQ Will Bitwarden's GPL version continue? The announcement says the GPLv3 open-source version will continue getting updates on GitHub. This article reports that commitment; it cannot audit future delivery. Does Bitwarden name a commercial-only future feature? Reply 4 names none. It says some future components will exist only in the commercial build and newly developed features will be evaluated case by case. Does the announcement remove the free plan? It retains the free-forever plan commitment. No removal or price increase is inferred here. Are ordinary downloaded-app users forbidden from using it? No such claim is established by this review. The repository source-module agreement and a distributed application's applicable terms need to be examined in their own context. Sources - Bitwarden announcement - RyanL on future components - Direct-download clarification - Client repository license map - Commercial source-module license - Bitwarden security whitepaper - Quoted tilde demonstration - GNU Bash tilde expansion - Paid README testing --- *This article expands on an episode of The Daily Diff, a five-minute daily video on what shipped and what broke in tech. Watch the episode · Subscribe on YouTube · the written diff lands in your inbox every morning at thedailydiff.dev.* Video transcript and primary sources