Hostovat Vaultwarden na Managed VPS: vaše hesla na vašem serveru

Co Vaultwarden umí

Vaultwarden je server pro správu hesel napsaný v Rustu, určený pro vlastní hosting. Jeho wiki ho určuje jednotlivcům, rodinám a organizacím lidské velikosti. Webový trezor je součástí jeho obrazů Docker.

Implementuje API kompatibilní s oficiálními klienty Bitwarden v prohlížeči, na počítači i v telefonu. README upřesňuje, že projekt není spojen s Bitwarden ani s Bitwarden, Inc., a žádá, aby se jakýkoli problém, ať už se používá kterýkoli klient, hlásil přímo jemu, nikoli oficiálním kanálům podpory.

• Trezor: osobní trezor, přílohy, ikony webů, osobní klíč API a Send pro předání textu nebo souboru.
• Organizace: kolekce, sdílení hesel, role, skupiny, protokoly událostí a zásady.
• Dvoufázové ověření: aplikace pro ověřování, e-mail, FIDO2 WebAuthn, YubiKey a Duo.
• Záchranné cesty: nouzový přístup a obnova účtu, přičemž obnova účtu vyžaduje nastavený e-mail.
• Správa: stránka /admin pro nastavení, účty a diagnostiku.

Wiki uvádí také to, co oproti oficiálnímu serveru chybí, například přihlášení pomocí přístupového klíče, vlastní role a některé podnikové zásady. Upřesňuje, že funkce užitečné hlavně velkým organizacím nejsou pro projekt prioritou: pokud je potřebujete, přečtěte si tento seznam.

Co dovoluje licence AGPL-3.0

Vaultwarden je vydáván pod GNU Affero General Public License, verze 3. Text stanoví neomezené oprávnění program v nezměněné podobě provozovat. Obraz zveřejněný projektem tedy můžete používat pro svou firmu a svůj tým, aniž byste kupovali licenci.

Článek 13 přidává podmínku specifickou pro AGPL: pokud program upravíte, musí vaše verze všem, kdo ji používají na dálku přes síť, nabídnout možnost získat její zdrojový kód zdarma.

Instalace pomocí Docker Compose

README doporučuje obrazy kontejnerů. Na serveru s nainstalovaným Dockerem vytvořte složku a umístěte do ní tento compose.yaml, převzatý z README a wiki:

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.example.com"
      SIGNUPS_ALLOWED: "true"
    volumes:
      - ./vw-data/:/data/
    ports:
      - 127.0.0.1:8000:80

docker compose up -d

• Port publikovaný na 127.0.0.1: jako v README je Vaultwarden dostupný jen přes reverzní proxy na stejném serveru.
• DOMAIN: základní adresa vaší instance, v https. Wiki upozorňuje, že bez ní se rozbijí některé funkce, mimo jiné přílohy a odkazy na pozvánky.
• Složka vw-data na lokálním disku: uchovává všechna data. Wiki upozorňuje na potíže SQLite na svazku CIFS nebo Samba, který zamykání nezvládá.
• Značka latest sleduje poslední zveřejněnou verzi a wiki ji doporučuje pro většinu použití. Značka jako 1.37.5 verzi pevně určí a latest-alpine dává totéž na základu Alpine.

Vaše doménové jméno ukazuje na server záznamy A a AAAA a návštěvníci přicházejí na porty 80 a 443. Dokud reverzní proxy není nasazená, webový trezor zůstává nepoužitelný: přejděte rovnou k další části.

Projekt neuvádí nároky na paměť ani procesor; představuje se jen jako řešení pro případy, kdy se oficiální služba, náročná na prostředky, nehodí. Velikost závisí na počtu účtů a objemu příloh. Na Managed VPS nám popište své využití a doporučíme vám vhodnou velikost.

HTTPS a WebSocket: reverzní proxy

Webový trezor využívá API Web Crypto, které prohlížeče vyhrazují zabezpečeným kontextům: README uvádí, že funguje, až když je zapnuté HTTPS, a wiki považuje HTTPS za „pretty much required“, tedy téměř povinné. Projekt doporučuje reverzní proxy před Vaultwardenem a nedoporučuje TLS vestavěné v jeho frameworku Rocket.

Použijte uznávaný certifikát, například od Let's Encrypt, který wiki doporučuje: s certifikátem podepsaným svým držitelem některé platformy připojení odmítnou. Certifikát musí obsahovat celý svůj řetězec, jinak se zařízení Android nepřipojí.

Oznámení přes WebSocket, ve výchozím nastavení zapnutá, dávají prohlížeči, desktopové aplikaci a rozšíření vědět, že se položka změnila. Vedou přes hlavní port HTTP a proxy musí předávat hlavičky Upgrade a Connection. Mobilní aplikace používají nativní oznámení svého systému, která se nastavují zvlášť.

S Caddy

Wiki radí podívat se na Caddy jako první, pokud nemáte preference: zapíná HTTPS samo, získává certifikát Let's Encrypt a podporuje WebSocket. Nastavení z wiki předává Vaultwardenu také skutečnou adresu návštěvníka, pro jeho protokoly:

vault.example.com {
  reverse_proxy 127.0.0.1:8000 {
    header_up X-Real-IP {remote_host}
  }
}

S Nginx a Certbotem

Tento blok vychází z příkladu Nginx na wiki, zkráceného na port 80, aby HTTPS nasadil Certbot:

upstream vaultwarden-default {
  zone vaultwarden-default 64k;
  server 127.0.0.1:8000;
  keepalive 2;
}

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      "";
}

server {
    listen 80;
    listen [::]:80;
    server_name vault.example.com;

    client_max_body_size 525M;

    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $connection_upgrade;

    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;

    location / {
      proxy_pass http://vaultwarden-default;
    }
}

Certbot pak nainstaluje certifikát a postará se o jeho obnovu:

sudo certbot --nginx

Ověření WebSocketu

Otevřete vývojářské nástroje prohlížeče, kartu Síť, filtr WS, a znovu se přihlaste do trezoru: odpověď 101 na /notifications/hub potvrzuje připojení. Další test z wiki: otevřete trezor ve dvou prohlížečích, v jednom přejmenujte položku a změna se okamžitě objeví ve druhém.

Uzavření registrací

Ve výchozím nastavení si může na vaší instanci vytvořit účet každý, kdo se k ní dostane. Pro váš první účet je to užitečné a wiki doporučuje poté registrace uzavřít, aby je útočník nemohl využít.

1. Otevřete svou adresu HTTPS, vytvořte si účet a pak k této adrese připojte své aplikace.
2. Přepněte SIGNUPS_ALLOWED na "false" v souboru compose.yaml.
3. Spusťte znovu pomocí docker compose up -d: proměnná prostředí je vázána na kontejner, který je třeba znovu vytvořit, aby se projevila.

SIGNUPS_ALLOWED: "false"

• Pozvánky zůstávají otevřené i po uzavření: vlastníci a správci organizace mohou zvát nové lidi. INVITATIONS_ALLOWED nastavené na "false" tuto možnost odebere a wiki volbu ponechává na důvěře, kterou k uživatelům máte.
• Seznam domén: SIGNUPS_DOMAINS_WHITELIST omezuje registraci na některé e-mailové domény a SIGNUPS_VERIFY nastavené na true pak vyžaduje ověření adresy. Když je tento seznam nastaven, SIGNUPS_ALLOWED se ignoruje.
• Stránka správy umožňuje pozvat kohokoli, bez ohledu na tato omezení.

Jakmile uložíte konfiguraci ze stránky správy, vznikne ve složce s daty soubor config.json, který má přednost před proměnnými prostředí. Dotčená nastavení se pak mění z této stránky: úprava compose.yaml už nestačí.

Stránka správy a její token

Stránka /admin slouží k nastavení Vaultwardenu, k zobrazení a mazání účtů a organizací, k odebrání dvoufázového ověření uživateli, k zvaní lidí a ke čtení diagnostiky. Bez ADMIN_TOKEN zůstává vypnutá: pokud ji nepotřebujete, nechte ji tak.

Wiki důrazně doporučuje před touto stránkou zapnout HTTPS. Token slouží jako heslo a lze ho uchovávat v hašované podobě, argon2id, místo čitelného zápisu v konfiguraci. Vaultwarden k tomu nabízí příkaz: dvakrát se zeptá na heslo a vrátí řetězec PHC.

docker run --rm -it vaultwarden/server /vaultwarden hash

Tento řetězec umístěte do souboru .env vedle compose.yaml, mezi apostrofy, a pak ho ze služby zavolejte:

VAULTWARDEN_ADMIN_TOKEN='$argon2id$...'

ADMIN_TOKEN: ${VAULTWARDEN_ADMIN_TOKEN}

Zkontrolujte výsledek, spusťte znovu a přihlaste se na /admin svým heslem, nikoli řetězcem PHC:

docker compose config
docker compose up -d

• Relace trvá ve výchozím nastavení 20 minut, upravitelně pomocí ADMIN_SESSION_LIFETIME. Otevřená relace zůstává platná i po změně tokenu. Chcete-li ukončit všechny, smažte rsa_key.pem ve složce s daty a restartujte, čímž se odhlásí i uživatelé a zruší se rozpracované pozvánky.
• Omezený přístup: příklady proxy na wiki ukazují, jak otevřít /admin jen z určitých adres, nebo k němu přidat ověření HTTP.
• DISABLE_ADMIN_TOKEN odstraňuje jakoukoli kontrolu: je určen pro samostatnou vrstvu ověření umístěnou před ním a wiki ho vyhrazuje těm, kdo vědí, co dělají.

Co chrání trezor

První ochranou je hlavní heslo. Data trezoru jsou šifrována osobními nebo organizačními klíči: kdo získá kopii databáze nebo ovládne relaci, musí stále prolomit toto heslo, aby je přečetl. Na jeho síle tedy záleží především. Sama relace správy umožňuje smazat účet nebo odebrat dvoufázové ověření, aniž by dávala přístup k datům trezoru.

Na zapomenuté hlavní heslo se připravte dřív, než k tomu dojde: zapněte nouzový přístup ke svému účtu a v organizaci obnovu účtu, která vyžaduje nastavený e-mail.

Tři další nastavení z průvodce zabezpečením

• Účet bez práv root: obraz ve výchozím nastavení běží jako root a wiki považuje za lepší dát mu minimum práv. Přidejte ke službě user: 1000:1000, přičemž složka vw-data patří tomuto uživateli.
• Protokoly proxy: připojení WebSocket předává token v adrese, v access_token. Pokud vaše proxy uchovává protokoly nebo je posílá externí službě, wiki doporučuje tuto hodnotu v nich skrýt.
• Minimum připojených složek: připojte složku s daty a nic jiného, ani svou osobní složku, ani /var/run/docker.sock.

SQLite, MariaDB, nebo PostgreSQL

Stejný obraz podporuje všechny tři databáze. Wiki popisuje SQLite jako nejpoužívanější a nejlépe otestovanou a doporučuje ji pro většinu použití, pokud nepotřebujete konkrétně jinou.

DATABASE_URL: "postgresql://user_name:user_password@db_host:5432/vaultwarden"

Vytvořte prázdnou databázi a jejího uživatele: při spuštění si Vaultwarden vytvoří schéma sám. Heslo se speciálními znaky se v této adrese zapisuje procentuálním kódováním.

Tuto volbu udělejte dřív, než trezor naplníte. Wiki popisuje přechod z SQLite na PostgreSQL pomocí pgloader a upřesňuje, že tuto cestu projekt nepodporuje, že se dělá na vlastní riziko a že začíná zálohou.

E-maily: konfigurace SMTP

Vaultwarden se spustí bez e-mailu, ale závisí na něm několik funkcí: pozvánky, ověření adres, zasílání nápověd k heslu, dvoufázové ověření e-mailem a obnova účtu.

Na VPS Simafri vede odesílání přes ověřené relé SMTP na portu 587: adresa poštovního účtu, který už máte, nebo Simafri Suite. Heslo patří do souboru .env, stejně jako administrátorský token:

SMTP_HOST: "smtp.example.com"
SMTP_FROM: "vault@example.com"
SMTP_PORT: "587"
SMTP_SECURITY: "starttls"
SMTP_USERNAME: "vault@example.com"
SMTP_PASSWORD: ${VAULTWARDEN_SMTP_PASSWORD}

• Odkazy v pozvánkách se skládají z DOMAIN a zůstávají platné 5 dní.
• Microsoft: wiki uvádí, že Hotmail, Outlook a Office 365 nově vyžadují OAuth2, které Vaultwarden zatím nepodporuje. Chyba, kterou je třeba poznat, zní No compatible authentication mechanism was found.
• Gmail: podle wiki počítejte s heslem aplikace.
• Zkouška: stránka správy odešle testovací e-mail. Pokud tam změníte nastavení SMTP, nejdřív uložte, protože test používá uložená nastavení a toto uložení vytvoří config.json.

Pokud nic neodchází, wiki navrhuje vyzkoušet z serveru připojení k relé. Příkaz vrátí 0, když relé odpoví:

timeout 5 bash -c 'cat < /dev/null > /dev/tcp/smtp.example.com/587'; echo $?

Zálohy

README připomíná, že projekt nemůže nést odpovědnost za ztrátu dat, a důrazně doporučuje pravidelné zálohy. Wiki je radí automatické, s alespoň jednou kopií jinde. Takto vypadá složka s daty při použití SQLite:

Databáze za běhu služby

Od verze 1.32.1 umí Vaultwarden zálohovat svou databázi SQLite sám, bez zastavení služby:

docker exec -it vaultwarden /vaultwarden backup

Příkaz zapíše soubor db_AAAAMMJJ_HHMMSS.sqlite3 vedle databáze, do vw-data. Obraz neobsahuje sqlite3 ani cron: wiki radí naplánovat úlohu na serveru, alespoň jednou denně. Vynechte pak -it, protože naplánovaná úloha nemá terminál, a tyto soubory, které se hromadí, třiďte.

Celá složka při zastavené službě

Když se databáze nepoužívá, stačí prostá kopie všech jejích souborů. Je to metoda při zastavené službě, kterou wiki uvádí jako příklad pro Docker, a přenáší i přílohy:

docker compose down
tar -czf vaultwarden-$(date +%F).tar.gz vw-data
docker compose up -d

Wiki považuje vrstvu šifrování za užitečnou, zvlášť když záloha obsahuje administrátorský token a přístupové údaje SMTP, a pro odesílání kopií na dálku jmenuje rclone, restic a rustic. S MariaDB nebo PostgreSQL přidejte ke složce vw-data export databáze.

Wiki žádá, aby se člověk nespoléhal jen na snímky disku, které se hůř obnovují. Uchovávejte proto tyto kopie vlastní aplikaci: umístěné na disku serveru se dostanou i do jeho nočních záloh.

Obnova

1. Zastavte Vaultwarden.
2. Nahraďte každý soubor nebo složku v vw-data jeho zálohovanou verzí.
3. Pokud databáze pochází z /vaultwarden backup, pojmenujte ji db.sqlite3 a nejdřív smažte každý stávající soubor db.sqlite3-wal: nesouhodný žurnál může databázi poškodit. Pokud pochází z přímé kopie, obnovte společně db.sqlite3 a jeho db.sqlite3-wal.
4. Spusťte znovu a ověřte, že trezor otevřete.

Wiki radí toto cvičení čas od času zopakovat a ponechat si kopii původních dat: tak ověříte, že záloha funguje.

Aktualizace

Wiki uvádí dva příkazy, ze složky se souborem compose.yaml. Složka s daty zůstává na místě:

docker compose pull
docker compose up -d

Tyto aktualizace záleží víc než jinde. Mobilní aplikace a rozšíření prohlížečů se aktualizují samy a wiki upozorňuje, že rozdíl verzí vůči serveru může způsobit náhlé výpadky. Webový trezor, dodávaný v obrazu, zůstává se svým serverem vždy sladěný.

Projekt nemá kalendář vydání: sledujte jeho poznámky k vydání a těsně před každou aktualizací spusťte zálohu. Některé obsahují bezpečnostní opravy, například verze 1.37.5 z 1. listopadu 2026, jejíž poznámky doporučují aktualizovat co nejdříve. Tyto poznámky také upozorňují, že od verze 1.37.5 brání neplatná hodnota konfigurace spuštění Vaultwardenu: před aktualizací si znovu projděte svůj soubor s proměnnými prostředí. Stránka diagnostiky na /admin ukazuje, zda existuje novější verze.

Kdo co dělá na Managed VPS

Vlastní hosting vyžaduje, abyste kromě aplikace udržovali i server. Na Managed VPS se serveru ujímají naše týmy a vaši instanci proaktivně sledují; Vaultwarden zůstává vaším softwarem, s jeho nastavením a daty.

Pokud dáváte přednost tomu, aby naše týmy zasáhly přímo v aplikaci, tato služba se účtuje po hodinách nebo paušálem, s cenovou nabídkou sdělenou před zásahem.