Näin hostaatte Vaultwardenin Managed VPS:llä: salasanat omalla palvelimellanne

Mitä Vaultwarden tekee

Vaultwarden on Rustilla kirjoitettu salasanojen hallintapalvelin, joka on tehty omaan hostaukseen. Sen wiki suuntaa sen yksityishenkilöille, perheille ja inhimillisen kokoisille organisaatioille. Web-holvi toimitetaan sen Docker-imageissa.

Se toteuttaa rajapinnan, joka on yhteensopiva Bitwardenin virallisten asiakasohjelmien kanssa selaimessa, tietokoneella ja puhelimessa. README täsmentää, ettei projekti ole sidoksissa Bitwardeniin eikä Bitwarden, Inc. -yhtiöön, ja pyytää ilmoittamaan ongelmista suoraan sille asiakasohjelmasta riippumatta, ei virallisiin tukikanaviin.

• Holvi: henkilökohtainen holvi, liitteet, sivustojen kuvakkeet, henkilökohtainen API-avain sekä Send tekstin tai tiedoston lähettämiseen.
• Organisaatiot: kokoelmat, salasanojen jakaminen, roolit, ryhmät, tapahtumalokit ja käytännöt.
• Kaksivaiheinen tunnistautuminen: todennussovellus, sähköposti, FIDO2 WebAuthn, YubiKey ja Duo.
• Apukeinot: hätäkäyttö ja tilin palautus, joista jälkimmäinen vaatii sähköpostin määrittämistä.
• Ylläpito: /admin-sivu asetuksille, tileille ja diagnostiikalle.

Wiki luettelee myös, mitä virallisesta palvelimesta puuttuu, kuten kirjautuminen pääsyavaimella, mukautetut roolit ja jotkin yrityskäytännöt. Se täsmentää, että ominaisuudet, joista on hyötyä lähinnä suurille organisaatioille, eivät ole projektin prioriteetti: lukekaa tämä luettelo, jos tarvitsette niitä.

Mitä AGPL-3.0-lisenssi sallii

Vaultwarden julkaistaan GNU Affero General Public License, versio 3 -lisenssillä. Teksti vahvistaa rajoittamattoman luvan ajaa muokkaamatonta ohjelmaa. Voitte siis käyttää projektin julkaisemaa imagea yrityksessänne ja tiimissänne ilman ostettavaa lisenssiä.

Pykälä 13 lisää AGPL:lle ominaisen ehdon: jos muokkaatte ohjelmaa, versionne on tarjottava kaikille, jotka käyttävät sitä etäyhteydellä verkon kautta, keino saada sen lähdekoodi maksutta.

Asennus Docker Composella

README suosittelee konttimageja. Luokaa palvelimelle, jolle Docker on asennettu, kansio ja sijoittakaa sinne tämä compose.yaml, joka on poimittu READMEstä ja wikistä:

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.example.com"
      SIGNUPS_ALLOWED: "true"
    volumes:
      - ./vw-data/:/data/
    ports:
      - 127.0.0.1:8000:80

docker compose up -d

• Portti julkaistaan osoitteessa 127.0.0.1: kuten READMEssä, Vaultwardeniin pääsee vain samalle palvelimelle asetetun käänteisen välityspalvelimen kautta.
• DOMAIN: instanssinne perusosoite https-muodossa. Wiki varoittaa, että ilman sitä toimintoja menee rikki, muun muassa liitteet ja kutsulinkit.
• Paikallisella levyllä oleva vw-data-kansio: se säilyttää kaikki tiedot. Wiki mainitsee SQLiten ongelmat CIFS- tai Samba-levyllä, joka ei hallitse tiedostolukitusta.
• Tunniste latest seuraa viimeksi julkaistua versiota, ja wiki suosittelee sitä useimpiin käyttötarkoituksiin. Tunniste, kuten 1.37.5, kiinnittää version, ja latest-alpine antaa saman Alpine-pohjalla.

Verkkotunnuksenne osoittaa palvelimeen A- ja AAAA-tietueilla, ja kävijät saapuvat portteihin 80 ja 443. Kunnes käänteinen välityspalvelin on paikallaan, web-holvi on käyttökelvoton: siirtykää suoraan seuraavaan osioon.

Projekti ei ilmoita muistin eikä suorittimen tarvetta; se esittäytyy vain ratkaisuna tapauksiin, joihin resursseja vaativa virallinen palvelu ei sovi. Koko riippuu tilien määrästä ja liitteiden määrästä. Managed VPS -palvelimella kertokaa meille käyttötarkoituksenne, niin suosittelemme sopivaa kokoa.

HTTPS ja WebSocket: käänteinen välityspalvelin

Web-holvi nojaa Web Crypto API:in, jonka selaimet varaavat suojatuille yhteyksille: README toteaa, että se toimii vasta, kun HTTPS on käytössä, ja wiki pitää HTTPS:ää sanoilla ”pretty much required”, eli lähes pakollisena. Projekti suosittelee käänteistä välityspalvelinta Vaultwardenin edessä ja neuvoo välttämään sen Rocket-kehyksen sisäistä TLS:ää.

Ottakaa tunnustettu varmenne, kuten Let’s Encryptin, jota wiki suosittelee: itse allekirjoitetulla varmenteella jotkin alustat kieltäytyvät yhteydestä. Varmenteen on sisällettävä koko ketjunsa, muuten Android-laitteet eivät yhdistä.

WebSocket-ilmoitukset, jotka ovat oletuksena käytössä, kertovat selaimelle, työpöytäsovellukselle ja laajennukselle, että merkintä on muuttunut. Ne kulkevat HTTP-pääportin kautta, ja välityspalvelimen on välitettävä otsakkeet Upgrade ja Connection. Mobiilisovellukset käyttävät järjestelmänsä natiileja ilmoituksia, jotka määritetään erikseen.

Caddyllä

Wiki neuvoo katsomaan Caddya ensimmäisenä, jos ei ole mieltymystä: se ottaa HTTPS:n käyttöön itse, hankkii Let’s Encrypt -varmenteen ja tukee WebSocketia. Wikin asetus välittää myös kävijän todellisen osoitteen Vaultwardenille lokeja varten:

vault.example.com {
  reverse_proxy 127.0.0.1:8000 {
    header_up X-Real-IP {remote_host}
  }
}

Nginxillä ja Certbotilla

Tämä lohko noudattaa wikin Nginx-esimerkkiä, supistettuna porttiin 80, jotta Certbot voi asentaa HTTPS:n:

upstream vaultwarden-default {
  zone vaultwarden-default 64k;
  server 127.0.0.1:8000;
  keepalive 2;
}

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      "";
}

server {
    listen 80;
    listen [::]:80;
    server_name vault.example.com;

    client_max_body_size 525M;

    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $connection_upgrade;

    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;

    location / {
      proxy_pass http://vaultwarden-default;
    }
}

Certbot asentaa sen jälkeen varmenteen ja huolehtii sen uusimisesta:

sudo certbot --nginx

WebSocketin tarkistaminen

Avatkaa selaimen kehittäjätyökalut, verkkovälilehti, suodatin WS, ja kirjautukaa holviin uudelleen: vastaus 101 osoitteessa /notifications/hub vahvistaa yhteyden. Toinen wikin testi: avatkaa holvi kahdessa selaimessa, nimetkää merkintä uudelleen toisessa, ja muutos näkyy heti toisessa.

Rekisteröitymisten sulkeminen

Oletuksena kuka tahansa, joka pääsee instanssiinne, voi luoda siihen tilin. Se on hyödyllistä ensimmäiselle tilillenne, ja wiki suosittelee sulkemaan rekisteröitymiset sen jälkeen, jotta hyökkääjä ei voi luoda sellaista.

1. Avatkaa HTTPS-osoitteenne ja luokaa tilinne, ja yhdistäkää sitten sovelluksenne tähän osoitteeseen.
2. Asettakaa SIGNUPS_ALLOWED arvoon "false" tiedostossa compose.yaml.
3. Käynnistäkää uudelleen komennolla docker compose up -d: ympäristömuuttuja on sidottu konttiin, joka on luotava uudelleen, jotta se tulee huomioon.

SIGNUPS_ALLOWED: "false"

• Kutsut pysyvät avoimina sulkemisen jälkeen: organisaation omistajat ja ylläpitäjät voivat kutsua uusia ihmisiä. INVITATIONS_ALLOWED arvoon "false" poistaa tämän mahdollisuuden, ja wiki jättää valinnan sen mukaan, kuinka paljon luotatte käyttäjiinne.
• Verkkotunnusluettelo: SIGNUPS_DOMAINS_WHITELIST rajaa rekisteröitymisen tiettyihin sähköpostiverkkotunnuksiin, ja SIGNUPS_VERIFY arvoon true vaatii silloin osoitteen vahvistamisen. Kun tämä luettelo on asetettu, SIGNUPS_ALLOWED ohitetaan.
• Ylläpitosivulta voi kutsua kenet tahansa näistä rajoituksista riippumatta.

Heti kun tallennatte asetukset ylläpitosivulta, datakansioon syntyy tiedosto config.json, joka ohittaa ympäristömuuttujat. Kyseiset asetukset muutetaan silloin tältä sivulta: tiedoston compose.yaml muokkaus ei enää riitä.

Ylläpitosivu ja sen tunnus

Sivua /admin käytetään Vaultwardenin määrittämiseen, tilien ja organisaatioiden katseluun ja poistamiseen, käyttäjän kaksivaiheisen tunnistautumisen poistamiseen, kutsumiseen ja diagnostiikan lukemiseen. Ilman muuttujaa ADMIN_TOKEN se pysyy pois käytöstä: jos ette tarvitse sitä, jättäkää se sellaiseksi.

Wiki suosittelee painokkaasti ottamaan HTTPS:n käyttöön ennen tätä sivua. Tunnus toimii salasanana, ja se voidaan säilyttää tiivisteenä, argon2id-muodossa, selkotekstin sijaan asetuksissa. Vaultwarden tarjoaa komennon: se kysyy salasanan kahdesti ja palauttaa PHC-merkkijonon.

docker run --rm -it vaultwarden/server /vaultwarden hash

Sijoittakaa tämä merkkijono tiedostoon .env, compose.yaml-tiedoston viereen, heittomerkkien väliin, ja kutsukaa sitä palvelusta:

VAULTWARDEN_ADMIN_TOKEN='$argon2id$...'

ADMIN_TOKEN: ${VAULTWARDEN_ADMIN_TOKEN}

Tarkistakaa tulos, käynnistäkää uudelleen ja kirjautukaa sitten osoitteessa /admin salasanallanne, älkääkä PHC-merkkijonolla:

docker compose config
docker compose up -d

• Istunto kestää oletuksena 20 minuuttia, säädettävissä muuttujalla ADMIN_SESSION_LIFETIME. Avoin istunto pysyy voimassa tunnuksen vaihtamisen jälkeen. Katkaistaksenne kaikki, poistakaa rsa_key.pem datakansiosta ja käynnistäkää uudelleen, mikä kirjaa myös käyttäjät ulos ja mitätöi käynnissä olevat kutsut.
• Rajattu pääsy: wikin välityspalvelinesimerkit näyttävät, miten /admin avataan vain tietyille osoitteille tai miten siihen lisätään HTTP-todennus.
• DISABLE_ADMIN_TOKEN poistaa kaiken valvonnan: se on tarkoitettu erilliselle sen eteen asetetulle todennuskerrokselle, ja wiki varaa sen niille, jotka tietävät, mitä tekevät.

Mikä suojaa holvia

Ensimmäinen suoja on pääsalasana. Holvin tiedot salataan henkilökohtaisilla tai organisaation avaimilla: se, joka saa kopion tietokannasta tai pakottaa istunnon, joutuu silti murtamaan tämän salasanan lukeakseen ne. Sen vahvuus ratkaisee siis ennen kaikkea. Ylläpitoistunto sinänsä mahdollistaa tilin poistamisen tai kaksivaiheisen tunnistautumisen poistamisen, mutta ei anna pääsyä holvin tietoihin.

Varautukaa pääsalasanan unohtamiseen ennen kuin se tapahtuu: ottakaa tilinne hätäkäyttö käyttöön ja organisaatiossa tilin palautus, joka vaatii määritetyn sähköpostin.

Kolme lisäasetusta koventamisoppaasta

• Tili ilman root-oikeuksia: image pyörii oletuksena käyttäjänä root, ja wiki pitää parempana antaa sille mahdollisimman vähän oikeuksia. Lisätkää palveluun user: 1000:1000 ja vw-data-kansio, jonka omistaa tämä käyttäjä.
• Välityspalvelimen lokit: WebSocket-yhteys välittää osoitteessa tunnuksen, muodossa access_token. Jos välityspalvelimenne säilyttää lokinsa tai lähettää ne ulkoiseen palveluun, wiki suosittelee piilottamaan tämän arvon niistä.
• Mahdollisimman vähän liitoksia: liittäkää datakansio eikä mitään muuta, ei kotikansiotanne eikä /var/run/docker.sock.

SQLite, MariaDB vai PostgreSQL

Sama image tukee kaikkia kolmea tietokantaa. Wiki kuvaa SQLiten käytetyimmäksi ja eniten testatuksi ja suosittelee sitä useimpiin käyttötarkoituksiin, ellei tarvita nimenomaan toista.

DATABASE_URL: "postgresql://user_name:user_password@db_host:5432/vaultwarden"

Luokaa tyhjä tietokanta ja sen käyttäjä: käynnistyessään Vaultwarden luo sinne itse skeemansa. Erikoismerkkejä sisältävä salasana kirjoitetaan tähän osoitteeseen prosenttikoodauksella.

Tehkää tämä valinta ennen holvin täyttämistä. Wiki kuvaa siirtymisen SQLitestä PostgreSQL:ään työkalulla pgloader ja täsmentää, ettei projekti tue tätä tietä, että se tehdään omalla vastuulla ja että se alkaa varmuuskopiolla.

Sähköpostit: SMTP-määritys

Vaultwarden käynnistyy ilman sähköpostia, mutta useat toiminnot riippuvat siitä: kutsut, osoitteiden vahvistus, salasanavihjeiden lähetys, sähköpostilla tehtävä kaksivaiheinen tunnistautuminen ja tilin palautus.

Simafrin VPS:llä lähetys kulkee todennetun SMTP-releen kautta portissa 587: käyttöön sopii jo omistamanne sähköpostitilin osoite tai Simafri Suite. Salasana sijoitetaan tiedostoon .env, kuten ylläpitotunnuskin:

SMTP_HOST: "smtp.example.com"
SMTP_FROM: "vault@example.com"
SMTP_PORT: "587"
SMTP_SECURITY: "starttls"
SMTP_USERNAME: "vault@example.com"
SMTP_PASSWORD: ${VAULTWARDEN_SMTP_PASSWORD}

• Kutsulinkit muodostetaan muuttujasta DOMAIN, ja ne pysyvät voimassa 5 päivää.
• Microsoft: wiki kertoo, että Hotmail, Outlook ja Office 365 vaativat nykyään OAuth2:ta, jota Vaultwarden ei vielä tue. Tunnistettava virhe on No compatible authentication mechanism was found.
• Gmail: varatkaa sovelluskohtainen salasana, wikin mukaan.
• Kokeilu: ylläpitosivu lähettää testisähköpostin. Jos muutatte siellä SMTP-asetusta, tallentakaa ensin, sillä testi käyttää tallennettuja asetuksia, ja tämä tallennus luo tiedoston config.json.

Jos mitään ei lähde, wiki ehdottaa testaamaan yhteyttä releeseen palvelimelta. Komento palauttaa 0, kun rele vastaa:

timeout 5 bash -c 'cat < /dev/null > /dev/tcp/smtp.example.com/587'; echo $?

Varmuuskopiot

README muistuttaa, ettei projekti voi olla vastuussa tietojen menetyksestä, ja suosittelee painokkaasti säännöllisiä varmuuskopioita. Wiki neuvoo tekemään ne automaattisesti ja säilyttämään vähintään yhden kopion muualla. Tässä on se, mitä datakansio sisältää SQLitellä:

Tietokanta palvelun ollessa käynnissä

Versiosta 1.32.1 alkaen Vaultwarden osaa varmuuskopioida SQLite-tietokantansa itse ilman palvelun pysäyttämistä:

docker exec -it vaultwarden /vaultwarden backup

Komento kirjoittaa tiedoston db_VVVVKKPP_HHMMSS.sqlite3 tietokannan viereen, kansioon vw-data. Image ei sisällä sqlite3:a eikä cron:ia: wiki neuvoo ajastamaan tehtävän palvelimella, vähintään kerran päivässä. Poistakaa silloin -it, koska ajastetulla tehtävällä ei ole päätettä, ja karsikaa näitä tiedostoja, jotka kasautuvat.

Koko kansio palvelun ollessa pysäytettynä

Kun tietokantaa ei käytetä, kaikkien sen tiedostojen yksinkertainen kopiointi riittää. Tämä on menetelmä palvelun ollessa pysäytettynä, jonka wiki antaa Dockerin esimerkkinä, ja se vie mukanaan myös liitteet:

docker compose down
tar -czf vaultwarden-$(date +%F).tar.gz vw-data
docker compose up -d

Wiki pitää salauskerrosta hyödyllisenä, etenkin kun varmuuskopio sisältää ylläpitotunnuksen ja SMTP-tunnukset, ja se mainitsee työkalut rclone, restic ja rustic kopioiden lähettämiseen kauas. MariaDB:llä tai PostgreSQL:llä lisätkää tietokannan vienti vw-data-kansion rinnalle.

Wiki pyytää olemaan luottamatta pelkkiin levyn tilannevedoksiin, jotka ovat hankalampia palauttaa. Säilyttäkää siksi nämä sovelluskohtaiset kopiot: palvelimen levylle sijoitettuina ne päätyvät myös sen yöllisiin varmuuskopioihin.

Palauttaminen

1. Pysäyttäkää Vaultwarden.
2. Korvatkaa jokainen vw-data-kansion tiedosto tai kansio varmuuskopioidulla versiolla.
3. Jos tietokanta on peräisin komennosta /vaultwarden backup, nimetkää se db.sqlite3:ksi ja poistakaa ensin mahdollinen olemassa oleva tiedosto db.sqlite3-wal: yhteensopimaton lokitiedosto voi vioittaa tietokannan. Jos se on peräisin suorasta kopiosta, palauttakaa db.sqlite3 ja sen db.sqlite3-wal yhdessä.
4. Käynnistäkää uudelleen ja varmistakaa sitten, että voitte avata holvin.

Wiki neuvoo toistamaan tämän harjoituksen silloin tällöin ja säilyttämään kopion käytössä olevista tiedoista: näin varmistatte, että varmuuskopio toimii.

Päivitykset

Wiki antaa kaksi komentoa, ajettavaksi compose.yaml-tiedoston kansiossa. Datakansio pysyy paikallaan:

docker compose pull
docker compose up -d

Nämä päivitykset ovat tärkeämpiä kuin muualla. Mobiilisovellukset ja selainlaajennukset päivittyvät itsestään, ja wiki varoittaa, että versioero palvelimeen voi aiheuttaa äkillisiä katkoksia. Imageen sisältyvä web-holvi pysyy aina palvelimensa mukaisena.

Projektilla ei ole julkaisukalenteria: seuratkaa sen julkaisutietoja ja ottakaa varmuuskopio juuri ennen jokaista päivitystä. Osa sisältää tietoturvakorjauksia, kuten 1. marraskuuta 2026 julkaistu 1.37.5, jonka tiedot suosittelevat päivittämään mahdollisimman pian. Samat tiedot varoittavat myös, että versiosta 1.37.5 alkaen virheellinen asetusarvo estää Vaultwardenin käynnistymisen: lukekaa ympäristötiedostonne läpi ennen päivitystä. Sivun /admin diagnostiikka kertoo, onko uudempaa versiota.

Kuka tekee mitä Managed VPS:llä

Oma hostaus vaatii palvelimen ylläpitoa sovelluksen lisäksi. Managed VPS -palvelimella tiimimme huolehtivat palvelimesta ja seuraavat instanssianne proaktiivisesti; Vaultwarden pysyy teidän ohjelmananne asetuksineen ja tietoineen.

Jos haluatte tiimiemme toimivan itse sovelluksessa, tämä palvelu laskutetaan tuntiveloituksella tai kiinteällä hinnalla, ja arvio annetaan ennen toimenpidettä.