Φιλοξενήστε το Vaultwarden σε Managed VPS: οι κωδικοί σας σε δικό σας διακομιστή

Τι κάνει το Vaultwarden

Το Vaultwarden είναι ένας διακομιστής διαχείρισης κωδικών πρόσβασης γραμμένος σε Rust, σχεδιασμένος για self-hosting. Το wiki του το προορίζει για ιδιώτες, οικογένειες και οργανισμούς ανθρώπινου μεγέθους. Το web θησαυροφυλάκιο παραδίδεται μέσα στις εικόνες Docker του.

Υλοποιεί ένα API συμβατό με τους επίσημους πελάτες Bitwarden, στον περιηγητή, στον υπολογιστή και στο κινητό. Το README διευκρινίζει ότι το έργο δεν σχετίζεται με το Bitwarden ούτε με την Bitwarden, Inc., και ζητά να αναφέρετε κάθε πρόβλημα απευθείας σε αυτό, όποιος κι αν είναι ο πελάτης που χρησιμοποιείτε, και όχι στα επίσημα κανάλια υποστήριξης.

• Το θησαυροφυλάκιο: προσωπικό θησαυροφυλάκιο, συνημμένα, εικονίδια των ιστότοπων, προσωπικό κλειδί API, και Send για τη μεταφορά ενός κειμένου ή ενός αρχείου.
• Οι οργανισμοί: συλλογές, κοινή χρήση κωδικών πρόσβασης, ρόλοι, ομάδες, αρχεία καταγραφής γεγονότων και πολιτικές.
• Ο έλεγχος ταυτότητας δύο παραγόντων: εφαρμογή ελέγχου ταυτότητας, email, FIDO2 WebAuthn, YubiKey και Duo.
• Τα μέσα ανάκτησης: πρόσβαση έκτακτης ανάγκης και ανάκτηση λογαριασμού, η δεύτερη με την προϋπόθεση ότι έχει ρυθμιστεί το email.
• Η διαχείριση: μια σελίδα /admin για τις ρυθμίσεις, τους λογαριασμούς και τη διάγνωση.

Το wiki απαριθμεί επίσης όσα λείπουν σε σχέση με τον επίσημο διακομιστή, όπως η σύνδεση με passkey, οι προσαρμοσμένοι ρόλοι και ορισμένες εταιρικές πολιτικές. Διευκρινίζει ότι οι λειτουργίες που χρειάζονται κυρίως οι μεγάλοι οργανισμοί δεν αποτελούν προτεραιότητα του έργου: διαβάστε τη λίστα αυτή αν τις χρειάζεστε.

Τι επιτρέπει η άδεια AGPL-3.0

Το Vaultwarden δημοσιεύεται με την GNU Affero General Public License, έκδοση 3. Το κείμενο δηλώνει απεριόριστη άδεια εκτέλεσης του αμετάβλητου προγράμματος. Μπορείτε λοιπόν να χρησιμοποιείτε την εικόνα που δημοσιεύει το έργο για την επιχείρηση και την ομάδα σας, χωρίς να αγοράσετε άδεια.

Το άρθρο 13 προσθέτει έναν όρο ιδιαίτερο της AGPL: αν τροποποιήσετε το πρόγραμμα, η έκδοσή σας πρέπει να προσφέρει σε όσους τη χρησιμοποιούν εξ αποστάσεως, μέσω δικτύου, τη δυνατότητα να αποκτήσουν δωρεάν τον πηγαίο κώδικά της.

Εγκατάσταση με Docker Compose

Το README συνιστά τις εικόνες κοντέινερ. Σε έναν διακομιστή όπου είναι εγκατεστημένο το Docker, δημιουργήστε έναν φάκελο και τοποθετήστε σε αυτόν το παρακάτω compose.yaml, παρμένο από το README και το wiki:

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.example.com"
      SIGNUPS_ALLOWED: "true"
    volumes:
      - ./vw-data/:/data/
    ports:
      - 127.0.0.1:8000:80

docker compose up -d

• Μια θύρα δημοσιευμένη στο 127.0.0.1: όπως στο README, το Vaultwarden είναι προσβάσιμο μόνο μέσω του reverse proxy, που τοποθετείται στον ίδιο διακομιστή.
• Το DOMAIN: η βασική διεύθυνση του στιγμιοτύπου σας, σε https. Το wiki προειδοποιεί ότι χωρίς αυτήν χαλάνε λειτουργίες, μεταξύ των οποίων τα συνημμένα και οι σύνδεσμοι πρόσκλησης.
• Ένας φάκελος vw-data σε τοπικό δίσκο: κρατά όλα τα δεδομένα. Το wiki επισημαίνει τα προβλήματα της SQLite σε έναν τόμο CIFS ή Samba, που δεν χειρίζεται το κλείδωμα αρχείων.
• Η ετικέτα latest ακολουθεί την τελευταία δημοσιευμένη έκδοση, και το wiki τη συνιστά για τις περισσότερες χρήσεις. Μια ετικέτα όπως η 1.37.5 καθηλώνει μια έκδοση, και η latest-alpine δίνει το ίδιο πράγμα σε βάση Alpine.

Το όνομα τομέα σας δείχνει στον διακομιστή με εγγραφές A και AAAA, και οι επισκέπτες φτάνουν στις θύρες 80 και 443. Όσο ο reverse proxy δεν έχει στηθεί, το web θησαυροφυλάκιο μένει αχρησιμοποίητο: περάστε απευθείας στην επόμενη ενότητα.

Το έργο δεν δίνει αριθμούς για τη μνήμη ή τον επεξεργαστή· παρουσιάζεται μόνο ως λύση για τις περιπτώσεις όπου η επίσημη υπηρεσία, που καταναλώνει πολλούς πόρους, δεν ταιριάζει. Το μέγεθος εξαρτάται από τον αριθμό των λογαριασμών και τον όγκο των συνημμένων. Σε ένα Managed VPS, περιγράψτε μας τη χρήση σας και σας προτείνουμε το μέγεθος που ταιριάζει.

HTTPS και WebSocket: ο reverse proxy

Το web θησαυροφυλάκιο στηρίζεται στο Web Crypto API, που οι περιηγητές επιφυλάσσουν για ασφαλή περιβάλλοντα: το README αναφέρει ότι λειτουργεί μόνο όταν είναι ενεργό το HTTPS, και το wiki θεωρεί το HTTPS «pretty much required», σχεδόν υποχρεωτικό. Το έργο συνιστά έναν reverse proxy μπροστά από το Vaultwarden, και αποθαρρύνει το TLS που ενσωματώνει το framework Rocket.

Διαλέξτε ένα αναγνωρισμένο πιστοποιητικό, όπως αυτά του Let’s Encrypt, που συνιστά το wiki: με αυτο-υπογεγραμμένο πιστοποιητικό, ορισμένες πλατφόρμες αρνούνται τη σύνδεση. Το πιστοποιητικό πρέπει να φέρει ολόκληρη την αλυσίδα του, αλλιώς οι συσκευές Android δεν συνδέονται.

Οι ειδοποιήσεις WebSocket, ενεργές εξ ορισμού, ενημερώνουν τον περιηγητή, την εφαρμογή υπολογιστή και την επέκταση ότι μια εγγραφή άλλαξε. Περνούν από την κύρια θύρα HTTP, και ο proxy πρέπει να προωθεί τις κεφαλίδες Upgrade και Connection. Οι εφαρμογές κινητών χρησιμοποιούν τις εγγενείς ειδοποιήσεις του συστήματός τους, που ρυθμίζονται ξεχωριστά.

Με Caddy

Το wiki συμβουλεύει να δείτε πρώτα το Caddy αν δεν έχετε προτίμηση: ενεργοποιεί μόνο του το HTTPS, αποκτά το πιστοποιητικό Let’s Encrypt και υποστηρίζει το WebSocket. Η ρύθμιση του wiki μεταβιβάζει επίσης στο Vaultwarden την πραγματική διεύθυνση του επισκέπτη, για τα αρχεία καταγραφής του:

vault.example.com {
  reverse_proxy 127.0.0.1:8000 {
    header_up X-Real-IP {remote_host}
  }
}

Με Nginx και Certbot

Το μπλοκ αυτό παίρνει το παράδειγμα Nginx του wiki, περιορισμένο στη θύρα 80 ώστε να αφήσει το Certbot να στήσει το HTTPS:

upstream vaultwarden-default {
  zone vaultwarden-default 64k;
  server 127.0.0.1:8000;
  keepalive 2;
}

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      "";
}

server {
    listen 80;
    listen [::]:80;
    server_name vault.example.com;

    client_max_body_size 525M;

    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $connection_upgrade;

    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;

    location / {
      proxy_pass http://vaultwarden-default;
    }
}

Το Certbot εγκαθιστά έπειτα το πιστοποιητικό και φροντίζει να το ανανεώνει:

sudo certbot --nginx

Έλεγχος του WebSocket

Ανοίξτε τα εργαλεία ανάπτυξης του περιηγητή, καρτέλα δικτύου, φίλτρο WS, και συνδεθείτε ξανά στο θησαυροφυλάκιο: μια απάντηση 101 στο /notifications/hub επιβεβαιώνει τη σύνδεση. Άλλη δοκιμή του wiki: ανοίξτε το θησαυροφυλάκιο σε δύο περιηγητές, μετονομάστε μια εγγραφή στον έναν, και η αλλαγή εμφανίζεται αμέσως στον άλλον.

Κλείσιμο των εγγραφών

Εξ ορισμού, όποιος φτάνει στο στιγμιότυπό σας μπορεί να δημιουργήσει λογαριασμό. Αυτό βολεύει για τον πρώτο σας λογαριασμό, και το wiki συνιστά να κλείσετε έπειτα τις εγγραφές, ώστε να μην μπορεί ένας επιτιθέμενος να δημιουργήσει δικό του.

1. Ανοίξτε τη διεύθυνσή σας HTTPS και δημιουργήστε τον λογαριασμό σας, και έπειτα συνδέστε τις εφαρμογές σας σε αυτήν τη διεύθυνση.
2. Αλλάξτε το SIGNUPS_ALLOWED σε "false" στο compose.yaml.
3. Επανεκκινήστε με docker compose up -d: μια μεταβλητή περιβάλλοντος δένεται στο κοντέινερ, που πρέπει να δημιουργηθεί ξανά για να τη λάβει υπόψη.

SIGNUPS_ALLOWED: "false"

• Οι προσκλήσεις μένουν ανοιχτές και μετά το κλείσιμο: οι ιδιοκτήτες και οι διαχειριστές ενός οργανισμού μπορούν να προσκαλούν νέα άτομα. Το INVITATIONS_ALLOWED στο "false" αφαιρεί αυτή τη δυνατότητα, και το wiki αφήνει την επιλογή στην εμπιστοσύνη που δείχνετε στους χρήστες σας.
• Μια λίστα τομέων: το SIGNUPS_DOMAINS_WHITELIST περιορίζει την εγγραφή σε ορισμένους τομείς email, και το SIGNUPS_VERIFY στο true επιβάλλει τότε την επαλήθευση της διεύθυνσης. Όταν ορίζεται αυτή η λίστα, το SIGNUPS_ALLOWED αγνοείται.
• Η σελίδα διαχείρισης επιτρέπει να προσκαλέσετε οποιονδήποτε, ανεξάρτητα από αυτούς τους περιορισμούς.

Μόλις αποθηκεύσετε τη διαμόρφωση από τη σελίδα διαχείρισης, δημιουργείται στον φάκελο δεδομένων ένα αρχείο config.json που υπερισχύει των μεταβλητών περιβάλλοντος. Οι ρυθμίσεις που αφορά αλλάζουν τότε από τη σελίδα αυτή: δεν αρκεί πια να τροποποιήσετε το compose.yaml.

Η σελίδα διαχείρισης και το token της

Η σελίδα /admin χρησιμεύει για να ρυθμίσετε το Vaultwarden, να βλέπετε και να διαγράφετε λογαριασμούς και οργανισμούς, να αφαιρείτε τον έλεγχο ταυτότητας δύο παραγόντων ενός χρήστη, να προσκαλείτε και να διαβάζετε τη διάγνωση. Χωρίς ADMIN_TOKEN, μένει απενεργοποιημένη: αν δεν τη χρειάζεστε, αφήστε την έτσι.

Το wiki συνιστά ανεπιφύλακτα να ενεργοποιήσετε το HTTPS πριν από τη σελίδα αυτή. Το token λειτουργεί ως κωδικός πρόσβασης, και μπορεί να φυλάσσεται σε κατακερματισμένη μορφή, με argon2id, αντί για καθαρό κείμενο στη διαμόρφωση. Το Vaultwarden παρέχει την εντολή: ζητά τον κωδικό δύο φορές και επιστρέφει μια συμβολοσειρά PHC.

docker run --rm -it vaultwarden/server /vaultwarden hash

Τοποθετήστε τη συμβολοσειρά αυτή σε ένα αρχείο .env, δίπλα στο compose.yaml, μέσα σε απλά εισαγωγικά, και καλέστε την έπειτα από την υπηρεσία:

VAULTWARDEN_ADMIN_TOKEN='$argon2id$...'

ADMIN_TOKEN: ${VAULTWARDEN_ADMIN_TOKEN}

Ελέγξτε το αποτέλεσμα, επανεκκινήστε και συνδεθείτε στο /admin με τον κωδικό σας, και όχι με τη συμβολοσειρά PHC:

docker compose config
docker compose up -d

• Η συνεδρία διαρκεί εξ ορισμού 20 λεπτά, ρυθμιζόμενα με το ADMIN_SESSION_LIFETIME. Μια ανοιχτή συνεδρία παραμένει έγκυρη μετά από αλλαγή του token. Για να τις κόψετε όλες, διαγράψτε το rsa_key.pem από τον φάκελο δεδομένων και επανεκκινήστε, πράγμα που αποσυνδέει και τους χρήστες και ακυρώνει τις εκκρεμείς προσκλήσεις.
• Περιορισμένη πρόσβαση: τα παραδείγματα proxy του wiki δείχνουν πώς να ανοίγετε το /admin μόνο σε ορισμένες διευθύνσεις, ή να προσθέτετε σε αυτό έλεγχο ταυτότητας HTTP.
• Το DISABLE_ADMIN_TOKEN αφαιρεί κάθε έλεγχο: προορίζεται για ένα ξεχωριστό επίπεδο ελέγχου ταυτότητας τοποθετημένο μπροστά, και το wiki το επιφυλάσσει για όσους ξέρουν τι κάνουν.

Τι προστατεύει το θησαυροφυλάκιο

Η πρώτη προστασία είναι ο κύριος κωδικός πρόσβασης. Τα δεδομένα του θησαυροφυλακίου κρυπτογραφούνται με προσωπικά κλειδιά ή κλειδιά οργανισμού: όποιος αποκτήσει αντίγραφο της βάσης ή παραβιάσει μια συνεδρία πρέπει ακόμη να σπάσει αυτόν τον κωδικό για να τα διαβάσει. Η ισχύς του μετρά λοιπόν πάνω απ’ όλα. Ακόμη και μια συνεδρία διαχείρισης επιτρέπει να διαγράψετε έναν λογαριασμό ή να αφαιρέσετε έναν έλεγχο ταυτότητας δύο παραγόντων, χωρίς να δίνει πρόσβαση στα δεδομένα του θησαυροφυλακίου.

Προετοιμαστείτε για τη λήθη του κύριου κωδικού πριν συμβεί: ενεργοποιήστε την πρόσβαση έκτακτης ανάγκης του λογαριασμού σας και, σε έναν οργανισμό, την ανάκτηση λογαριασμού, που απαιτεί ρυθμισμένο email.

Τρεις ακόμη ρυθμίσεις, παρμένες από τον οδηγό ενίσχυσης της ασφάλειας

• Ένας λογαριασμός χωρίς root: η εικόνα τρέχει εξ ορισμού ως root, και το wiki θεωρεί προτιμότερο να της δίνετε το ελάχιστο των δικαιωμάτων. Προσθέστε user: 1000:1000 στην υπηρεσία, με έναν φάκελο vw-data που ανήκει στον χρήστη αυτόν.
• Τα αρχεία καταγραφής του proxy: η σύνδεση WebSocket περνά ένα token μέσα στη διεύθυνση, στο access_token. Αν ο proxy σας κρατά αρχεία καταγραφής ή τα στέλνει σε εξωτερική υπηρεσία, το wiki συνιστά να κρύβετε την τιμή αυτή.
• Ελάχιστες προσαρτήσεις: προσαρτήστε τον φάκελο δεδομένων και τίποτε άλλο, ούτε τον προσωπικό σας φάκελο, ούτε το /var/run/docker.sock.

SQLite, MariaDB ή PostgreSQL

Η ίδια εικόνα υποστηρίζει και τις τρεις βάσεις. Το wiki περιγράφει την SQLite ως την πιο χρησιμοποιημένη και πιο δοκιμασμένη, και τη συνιστά για τις περισσότερες χρήσεις, εκτός αν υπάρχει συγκεκριμένη ανάγκη για άλλη.

DATABASE_URL: "postgresql://user_name:user_password@db_host:5432/vaultwarden"

Δημιουργήστε μια κενή βάση και τον χρήστη της: κατά την εκκίνηση, το Vaultwarden στήνει μόνο του εκεί το σχήμα του. Ένας κωδικός πρόσβασης που περιέχει ειδικούς χαρακτήρες γράφεται με κωδικοποίηση ποσοστού (percent-encoding) σε αυτή τη διεύθυνση.

Κάντε αυτή την επιλογή πριν γεμίσετε το θησαυροφυλάκιο. Το wiki περιγράφει τη μετάβαση από την SQLite στην PostgreSQL με το pgloader, διευκρινίζοντας ότι η διαδρομή αυτή δεν υποστηρίζεται από το έργο, ότι γίνεται με δική σας ευθύνη και ότι ξεκινά με ένα αντίγραφο ασφαλείας.

Τα email: η διαμόρφωση SMTP

Το Vaultwarden ξεκινά χωρίς email, αλλά αρκετές λειτουργίες εξαρτώνται από αυτό: οι προσκλήσεις, η επαλήθευση των διευθύνσεων, η αποστολή των υποδείξεων κωδικού πρόσβασης, ο έλεγχος ταυτότητας δύο παραγόντων μέσω email και η ανάκτηση λογαριασμού.

Σε ένα VPS της Simafri, η αποστολή περνά από ένα πιστοποιημένο relay SMTP, στη θύρα 587: τη διεύθυνση ενός λογαριασμού email που έχετε ήδη, ή το Simafri Suite. Ο κωδικός πρόσβασης μπαίνει στο αρχείο .env, όπως το token διαχείρισης:

SMTP_HOST: "smtp.example.com"
SMTP_FROM: "vault@example.com"
SMTP_PORT: "587"
SMTP_SECURITY: "starttls"
SMTP_USERNAME: "vault@example.com"
SMTP_PASSWORD: ${VAULTWARDEN_SMTP_PASSWORD}

• Οι σύνδεσμοι πρόσκλησης φτιάχνονται από το DOMAIN, και παραμένουν έγκυροι για 5 ημέρες.
• Microsoft: το wiki αναφέρει ότι τα Hotmail, Outlook και Office 365 απαιτούν πλέον OAuth2, που το Vaultwarden δεν υποστηρίζει ακόμη. Το σφάλμα που πρέπει να αναγνωρίσετε είναι το No compatible authentication mechanism was found.
• Gmail: προβλέψτε έναν κωδικό εφαρμογής, σύμφωνα με το wiki.
• Η δοκιμή: η σελίδα διαχείρισης στέλνει ένα δοκιμαστικό email. Αν αλλάξετε εκεί μια ρύθμιση SMTP, αποθηκεύστε πρώτα, γιατί η δοκιμή χρησιμοποιεί τις αποθηκευμένες ρυθμίσεις, και η αποθήκευση αυτή δημιουργεί το config.json.

Αν δεν φεύγει τίποτα, το wiki προτείνει να δοκιμάσετε τη σύνδεση με το relay από τον διακομιστή. Η εντολή επιστρέφει 0 όταν το relay απαντά:

timeout 5 bash -c 'cat < /dev/null > /dev/tcp/smtp.example.com/587'; echo $?

Τα αντίγραφα ασφαλείας

Το README υπενθυμίζει ότι το έργο δεν μπορεί να θεωρηθεί υπεύθυνο για απώλεια δεδομένων και συνιστά ανεπιφύλακτα τακτικά αντίγραφα ασφαλείας. Το wiki τα συμβουλεύει αυτόματα, με τουλάχιστον ένα αντίγραφο αλλού. Ακολουθεί το περιεχόμενο του φακέλου δεδομένων με SQLite:

Η βάση, με την υπηρεσία σε λειτουργία

Από την έκδοση 1.32.1, το Vaultwarden μπορεί να δημιουργεί μόνο του αντίγραφο ασφαλείας της βάσης SQLite του, χωρίς να σταματήσει η υπηρεσία:

docker exec -it vaultwarden /vaultwarden backup

Η εντολή γράφει ένα αρχείο db_AAAAMMJJ_HHMMSS.sqlite3 δίπλα στη βάση, μέσα στο vw-data. Η εικόνα δεν περιέχει ούτε sqlite3 ούτε cron: το wiki συμβουλεύει να προγραμματίσετε την εργασία στον διακομιστή, τουλάχιστον μία φορά την ημέρα. Αφαιρέστε τότε το -it, γιατί μια προγραμματισμένη εργασία δεν έχει τερματικό, και κάντε διαλογή ανάμεσα στα αρχεία αυτά, που συσσωρεύονται.

Ολόκληρος ο φάκελος, με την υπηρεσία σταματημένη

Όταν η βάση δεν χρησιμοποιείται, αρκεί μια απλή αντιγραφή όλων των αρχείων της. Είναι η μέθοδος με σταματημένη υπηρεσία που δίνει το wiki ως παράδειγμα για το Docker, και παίρνει μαζί και τα συνημμένα:

docker compose down
tar -czf vaultwarden-$(date +%F).tar.gz vw-data
docker compose up -d

Το wiki θεωρεί χρήσιμο ένα επίπεδο κρυπτογράφησης, ιδίως όταν το αντίγραφο περιέχει το token διαχείρισης και τα στοιχεία πρόσβασης SMTP, και αναφέρει τα rclone, restic και rustic για την αποστολή των αντιγράφων μακριά. Με MariaDB ή PostgreSQL, προσθέστε μια εξαγωγή της βάσης στον φάκελο vw-data.

Το wiki ζητά να μην βασίζεστε μόνο σε στιγμιότυπα δίσκου, που είναι πιο δύσκολο να επαναφερθούν. Κρατήστε λοιπόν και αυτά τα αντίγραφα που αφορούν την ίδια την εφαρμογή: αν τοποθετηθούν στον δίσκο του διακομιστή, μπαίνουν και στα νυχτερινά αντίγραφα ασφαλείας του.

Επαναφορά

1. Σταματήστε το Vaultwarden.
2. Αντικαταστήστε κάθε αρχείο ή φάκελο του vw-data με την αντιγραμμένη του εκδοχή.
3. Αν η βάση προέρχεται από το /vaultwarden backup, ονομάστε την db.sqlite3 και διαγράψτε πρώτα κάθε υπάρχον αρχείο db.sqlite3-wal: ένα ημερολόγιο που δεν αντιστοιχεί μπορεί να καταστρέψει τη βάση. Αν προέρχεται από άμεση αντιγραφή, επαναφέρετε μαζί το db.sqlite3 και το db.sqlite3-wal του.
4. Επανεκκινήστε και ελέγξτε ότι μπορείτε να ανοίξετε το θησαυροφυλάκιο.

Το wiki συμβουλεύει να επαναλαμβάνετε την άσκηση αυτή κατά διαστήματα, κρατώντας αντίγραφο των δεδομένων που βρίσκονται στη θέση τους: έτσι βεβαιώνεστε ότι ένα αντίγραφο ασφαλείας λειτουργεί.

Οι ενημερώσεις

Το wiki δίνει δύο εντολές, από τον φάκελο του compose.yaml. Ο φάκελος δεδομένων μένει στη θέση του:

docker compose pull
docker compose up -d

Οι ενημερώσεις αυτές μετρούν περισσότερο από αλλού. Οι εφαρμογές κινητών και οι επεκτάσεις περιηγητή ενημερώνονται μόνες τους, και το wiki προειδοποιεί ότι μια απόκλιση έκδοσης από τον διακομιστή μπορεί να προκαλέσει ξαφνικές βλάβες. Το web θησαυροφυλάκιο, που παραδίδεται μέσα στην εικόνα, μένει πάντα ευθυγραμμισμένο με τον διακομιστή του.

Το έργο δεν έχει χρονοδιάγραμμα εκδόσεων: παρακολουθείτε τις σημειώσεις έκδοσής του και κρατάτε ένα αντίγραφο ασφαλείας λίγο πριν από κάθε ενημέρωση. Ορισμένες περιέχουν διορθώσεις ασφαλείας, όπως η 1.37.5 της 1ης Νοεμβρίου 2026, των οποίων οι σημειώσεις συνιστούν ενημέρωση το συντομότερο. Οι ίδιες σημειώσεις προειδοποιούν επίσης ότι, από την 1.37.5, μια μη έγκυρη τιμή ρύθμισης εμποδίζει την εκκίνηση του Vaultwarden: ξαναδιαβάστε το αρχείο περιβάλλοντός σας πριν από την ενημέρωση. Η σελίδα διάγνωσης του /admin δείχνει αν υπάρχει νεότερη έκδοση.

Ποιος κάνει τι σε ένα Managed VPS

Το self-hosting απαιτεί να φροντίζετε τον διακομιστή εκτός από την εφαρμογή. Σε ένα Managed VPS, οι ομάδες μας αναλαμβάνουν τον διακομιστή και παρακολουθούν προληπτικά το στιγμιότυπό σας· το Vaultwarden μένει δικό σας λογισμικό, με τις ρυθμίσεις και τα δεδομένα του.

Αν προτιμάτε να παρεμβαίνουν οι ομάδες μας μέσα στην ίδια την εφαρμογή, η υπηρεσία αυτή χρεώνεται ανά ώρα ή κατ’ αποκοπή, με κοστολόγηση που σας ανακοινώνεται πριν από την παρέμβαση.