Vaultwarden op engem Managed VPS hosten: Är Passwierder op Ärem Server

Wat Vaultwarden mécht

Vaultwarden ass e Server fir d’Passwuertverwaltung, a Rust geschriwwen a fir d’Selwerhosten geduecht. Säi Wiki riicht en u Privatpersounen, Familljen an Organisatioune mat mënschlecher Gréisst. De Web-Tresor kënnt a senge Docker-Images mat.

Et implementéiert eng API, déi mat den offiziellen Bitwarden-Clienten kompatibel ass, um Browser, um Computer an um Handy. De README seet, datt de Projet weder mat Bitwarden nach mat Bitwarden, Inc. verbonne ass, a verlaangt, datt een him all Problem direkt mellt, egal wéi ee Client benotzt gëtt, amplaz an den offiziellen Ënnerstëtzungskanäl.

• Den Tresor: perséinlechen Tresor, Unhäng, Ikonen vun de Siten, perséinleche API-Schlëssel, a Send, fir en Text oder e Fichier weiderzeginn.
• D’Organisatiounen: Collectiounen, Deele vu Passwierder, Rollen, Gruppen, Evenementlogbicher a Politiken.
• D’Zwee-Faktor-Authentifiséierung: Authentifiséierungs-App, E-Mail, FIDO2 WebAuthn, YubiKey an Duo.
• D’Ausweeër: Noutzougang a Kont-Recuperatioun, déi lescht verlaangt, datt d’E-Mail konfiguréiert ass.
• D’Administratioun: eng Säit /admin fir d’Astellungen, d’Konten an d’Diagnos.

De Wiki lëscht och op, wat am Verglach mam offiziellen Server feelt, wéi d’Umeldung mat engem Passkey, personaliséiert Rollen an e puer Politike fir Entreprisen. Hie seet, datt d’Funktiounen, déi virun allem fir grouss Organisatiounen nëtzlech sinn, keng Prioritéit vum Projet sinn: liest dës Lëscht, wann Dir se braucht.

Wat d’AGPL-3.0-Lizenz erlaabt

Vaultwarden gëtt ënner der GNU Affero General Public License, Versioun 3 publizéiert. Den Text erkläert eng onbegrenzt Erlaabnes, de net geänkerte Programm lafe ze loossen. Dir kënnt also d’Image notzen, déi de Projet publizéiert, fir Är Entreprise an Äert Team, ouni eng Lizenz ze kafen.

Den Artikel 13 setzt eng Bedingung derbäi, déi dem AGPL eegen ass: wann Dir de Programm ännert, muss Är Versioun all deenen, déi se iwwer d’Netz um Distanz notzen, d’Méiglechkeet ginn, säi Quellcode gratis ze kréien.

D’Installatioun mat Docker Compose

De README recommandéiert d’Container-Images. Op engem Server, wou Docker installéiert ass, erstellt Dir en Dossier a leet dës compose.yaml dran of, aus dem README an dem Wiki geholl:

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.example.com"
      SIGNUPS_ALLOWED: "true"
    volumes:
      - ./vw-data/:/data/
    ports:
      - 127.0.0.1:8000:80

docker compose up -d

• E Port, deen op 127.0.0.1 publizéiert ass: wéi am README ass Vaultwarden nëmmen iwwer de Reverse Proxy z’erreechen, deen um selwechte Server steet.
• DOMAIN: d’Basisadress vun Ärer Instanz, a https. De Wiki warnt, datt ouni si Funktioune futti ginn, ënner anerem d’Unhäng an d’Invitatiounslinken.
• E Dossier vw-data op engem lokalen Disk: en hält all Donnéeën. De Wiki weist op d’Probleemer vu SQLite op engem CIFS- oder Samba-Volume hin, dat d’Spären net verwalt.
• Den Tag latest follegt der leschter publizéierter Versioun, an de Wiki recommandéiert en fir déi meescht Gebrauchsfäll. E Tag wéi 1.37.5 fixéiert eng Versioun, an latest-alpine gëtt dat selwecht op enger Alpine-Basis.

Äre Domainnumm weist mat A- an AAAA-Enregistremente op de Server, an d’Besucher kommen op de Ports 80 an 443 un. Soulaang de Reverse Proxy net op der Plaz ass, bleift de Web-Tresor onbenotzbar: gitt direkt an de nächste Sektioun weider.

De Projet gëtt weder Aarbechtsspäicher nach Prozessor un; hie stellt sech just als Léisung fir d’Fäll duer, wou den offiziellen Service, deen vill Ressourcen verbraucht, net passt. D’Gréisst hänkt vun der Zuel vun de Konten an dem Volumen vun den Unhäng of. Op engem Managed VPS beschreift eis Äre Gebrauch, a mir recommandéieren Iech déi passend Gréisst.

HTTPS a WebSocket: de Reverse Proxy

De Web-Tresor baséiert op der Web-Crypto-API, déi d’Browser fir sécher Kontexter reservéieren: de README seet, datt en nëmme funktionéiert, wann HTTPS aktivéiert ass, an de Wiki hält HTTPS fir „pretty much required“, also bal obligatoresch. De Projet recommandéiert e Reverse Proxy virun Vaultwarden, a rit vum integréierten TLS vu sengem Framework Rocket of.

Hëlt e Zertifikat, dat unerkannt ass, wéi déi vu Let’s Encrypt, déi de Wiki recommandéiert: mat engem selbstsignéierte Zertifikat refuséieren e puer Plattformen d’Verbindung. D’Zertifikat muss seng komplett Kette droen, soss verbannen sech d’Android-Apparater net.

D’WebSocket-Notifikatioune, standardméisseg aktiv, soen dem Browser, der Desktop-App an der Extensioun, datt en Entrée geännert gouf. Si ginn iwwer den Haapt-HTTP-Port, an de Proxy muss d’Header Upgrade an Connection weiderginn. D’Mobil-Appen notze nativ Notifikatioune vun hirem System, déi sech separat konfiguréieren.

Mat Caddy

De Wiki rit, als éischt Caddy unzekucken, wann Dir keng Preferenz hutt: hie schalt HTTPS vu sech aus an, kritt d’Zertifikat vu Let’s Encrypt an ënnerstëtzt WebSocket. D’Astellung aus dem Wiki gëtt Vaultwarden och déi richteg Adress vum Besucher weider, fir seng Logbicher:

vault.example.com {
  reverse_proxy 127.0.0.1:8000 {
    header_up X-Real-IP {remote_host}
  }
}

Mat Nginx a Certbot

Dëse Block hëlt d’Nginx-Beispill aus dem Wiki op, op de Port 80 reduzéiert, fir Certbot HTTPS ariichte ze loossen:

upstream vaultwarden-default {
  zone vaultwarden-default 64k;
  server 127.0.0.1:8000;
  keepalive 2;
}

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      "";
}

server {
    listen 80;
    listen [::]:80;
    server_name vault.example.com;

    client_max_body_size 525M;

    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $connection_upgrade;

    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;

    location / {
      proxy_pass http://vaultwarden-default;
    }
}

Certbot setzt duerno d’Zertifikat a këmmert sech drëms, et ze erneieren:

sudo certbot --nginx

WebSocket kontrolléieren

Mécht d’Entwécklerwerkzäicher vum Browser op, Reiter Netzwierk, Filter WS, a verbannt Iech dann nei mam Tresor: eng Äntwert 101 op /notifications/hub bestätegt d’Verbindung. En anert Test aus dem Wiki: mécht den Tresor an zwee Browser op, benennt en Entrée an engem em, an d’Ännerung erschéngt direkt am anere.

D’Registréierungen zoumaachen

Standardméisseg kann jidder, deen Är Instanz erreecht, do e Kont erstellen. Dat ass nëtzlech fir Äre éischte Kont, an de Wiki recommandéiert, duerno zouzemaachen, fir ze verhënneren, datt en Ugräifer een erstellt.

1. Mécht Är HTTPS-Adress op an erstellt Äre Kont, a verbënnt dann Är Appen mat dëser Adress.
2. Stellt SIGNUPS_ALLOWED an der compose.yaml op "false".
3. Start mat docker compose up -d nei: eng Ëmfeldvariabel ass un de Container gebonnen, deen nei erstallt muss ginn, fir se z’ënnerhuelen.

SIGNUPS_ALLOWED: "false"

• D’Invitatioune bleiwen op nom Zoumaachen: d’Proprietären an d’Administrateure vun enger Organisatioun kënnen nei Leit invitéieren. INVITATIONS_ALLOWED op "false" hëlt dës Méiglechkeet ewech, an de Wiki léisst dës Wiel no dem Vertrauen, dat Dir Äre Benotzer schenkt.
• Eng Lëscht vun Domainen: SIGNUPS_DOMAINS_WHITELIST limitéiert d’Registréierung op bestëmmten E-Mail-Domainen, an SIGNUPS_VERIFY op true verlaangt dann, d’Adress ze verifizéieren. Wann dës Lëscht gesat ass, gëtt SIGNUPS_ALLOWED ignoréiert.
• D’Administratiounssäit erlaabt et, jidderengem z’invitéieren, egal wéi eng vun dëse Restriktiounen.

Soubal Dir d’Konfiguratioun vun der Administratiounssäit aus späichert, entsteet e Fichier config.json am Dossier fir d’Donnéeën, deen d’Ëmfeldvariabele verdrängt. Déi betraffen Astellunge ginn dann vun dëser Säit aus geännert: d’compose.yaml z’änneren duer net méi.

D’Administratiounssäit an hiren Token

D’Säit /admin déngt dozou, Vaultwarden ze konfiguréieren, d’Konten an d’Organisatiounen ze gesinn an ze läschen, d’Zwee-Faktor-Authentifiséierung vun engem Benotzer ewechzehuelen, ze invitéieren an d’Diagnos ze liesen. Ouni ADMIN_TOKEN bleift si desaktivéiert: wann Dir se net braucht, loosst se esou.

De Wiki recommandéiert dréngend, HTTPS virun dëser Säit z’aktivéieren. Den Token déngt als Passwuert, a kann a gehashter Form, mat argon2id, amplaz am Klartext an der Konfiguratioun opbewahrt ginn. Vaultwarden liwwert de Befehl: en freet zweemol no dem Passwuert, an gëtt dann eng PHC-Zeechekette zeréck.

docker run --rm -it vaultwarden/server /vaultwarden hash

Leet dës Zeechekette an engem Fichier .env of, niewent der compose.yaml, tëscht Apostrophen, a rufft se dann aus dem Service of:

VAULTWARDEN_ADMIN_TOKEN='$argon2id$...'

ADMIN_TOKEN: ${VAULTWARDEN_ADMIN_TOKEN}

Kontrolléiert d’Resultat, start nei, a mellt Iech dann op /admin mat Ärem Passwuert un, an net mat der PHC-Zeechekette:

docker compose config
docker compose up -d

• D’Sessioun dauert standardméisseg 20 Minutten, astellbar mat ADMIN_SESSION_LIFETIME. Eng oppe Sessioun bleift no engem Wiessel vum Token gëlteg. Fir se all ze ënnerbriechen, läscht rsa_key.pem aus dem Dossier fir d’Donnéeën a start nei, wat och d’Benotzer ofmellt an déi lafend Invitatiounen annuléiert.
• E reduzéierten Zougang: d’Proxy-Beispiller aus dem Wiki weisen, wéi een /admin nëmmen fir bestëmmten Adresse opmécht, oder do eng HTTP-Authentifiséierung dobäisetzt.
• DISABLE_ADMIN_TOKEN hëlt all Kontroll ewech: et ass fir eng separat Authentifiséierungsschicht virgesinn, déi dervirgesat gëtt, an de Wiki reservéiert en deenen, déi wëssen, wat se maachen.

Wat den Tresor schützt

Den éischte Schutz ass d’Masterpasswuert. D’Donnéeën vum Tresor si mat perséinleche Schlësselen oder Schlësselen vun der Organisatioun verschlësselt: wien eng Kopie vun der Datebank kritt oder eng Sessioun forcéiert, muss dëst Passwuert nach knacken, fir se ze liesen. Seng Stäerkt zielt also virun allem. Eng Administratiounssessioun selwer erlaabt et, e Kont ze läschen oder eng Zwee-Faktor-Authentifiséierung ewechzehuelen, ouni Zougang zu den Donnéeën vum Tresor ze ginn.

Bereet de Vergiessen vum Masterpasswuert vir, ier et geschitt: aktivéiert den Noutzougang vun Ärem Kont an, an enger Organisatioun, d’Kont-Recuperatioun, déi d’konfiguréiert E-Mail verlaangt.

Dräi weider Astellungen, aus dem Haertungsguide

• E Kont ouni root: d’Image leeft standardméisseg als root, an de Wiki hält et fir besser, hir de Minimum u Rechter ze ginn. Setzt user: 1000:1000 beim Service dobäi, mat engem Dossier vw-data, deen zu dësem Benotzer gehéiert.
• D’Logbicher vum Proxy: d’WebSocket-Verbindung schéckt en Token an der Adress mat, an access_token. Wann Äre Proxy seng Logbicher opbewahrt oder un e Service vu baussen schéckt, recommandéiert de Wiki, dëse Wäert do ze verstoppen.
• De Minimum u Montagen: mountt den Dossier fir d’Donnéeën an näischt anescht, weder Äre perséinlechen Dossier nach /var/run/docker.sock.

SQLite, MariaDB oder PostgreSQL

Déiselwecht Image ënnerstëtzt déi dräi Datebanken. De Wiki beschreift SQLite als déi am meeschte benotzt an am beschten getest, a recommandéiert se fir déi meescht Gebrauchsfäll, ausser et gëtt e besonneschte Bedarf u engem aneren.

DATABASE_URL: "postgresql://user_name:user_password@db_host:5432/vaultwarden"

Erstellt eng eidel Datebank a säi Benotzer: beim Start leet Vaultwarden säi Schema selwer do of. E Passwuert mat Spezialzeechen gëtt an dëser Adress an der Prozent-Kodéierung geschriwwen.

Maacht dës Wiel, ier Dir den Tresor fëllt. De Wiki beschreift e Wiessel vu SQLite op PostgreSQL mat pgloader, a preziséiert, datt dëse Wee net vum Projet ënnerstëtzt gëtt, datt en op Är eege Gefor geet an datt en mat enger Backup ufänkt.

D’E-Mailen: d’SMTP-Konfiguratioun

Vaultwarden fänkt ouni E-Mail un, awer e puer Funktioune hänken dovun of: d’Invitatiounen, d’Verifikatioun vun den Adressen, d’Schécken vun de Passwuert-Hiweiser, d’Zwee-Faktor-Authentifiséierung per E-Mail an d’Kont-Recuperatioun.

Op engem Simafri-VPS geet de Versand iwwer e authentifizéierte SMTP-Relais, um Port 587: d’Adress vun engem E-Mail-Kont, deen Dir schonn hutt, oder Simafri Suite. D’Passwuert kënnt an de Fichier .env, wéi den Admin-Token:

SMTP_HOST: "smtp.example.com"
SMTP_FROM: "vault@example.com"
SMTP_PORT: "587"
SMTP_SECURITY: "starttls"
SMTP_USERNAME: "vault@example.com"
SMTP_PASSWORD: ${VAULTWARDEN_SMTP_PASSWORD}

• D’Invitatiounslinken ginn ausgoend vun DOMAIN opgebaut, a bleiwen 5 Deeg gëlteg.
• Microsoft: de Wiki seet, datt Hotmail, Outlook an Office 365 elo OAuth2 verlaangen, wat Vaultwarden nach net ënnerstëtzt. De Feeler, deen een erkennt, ass No compatible authentication mechanism was found.
• Gmail: plangt e Passwuert fir d’App, laut dem Wiki.
• De Test: d’Administratiounssäit schéckt eng Test-E-Mail. Wann Dir do eng SMTP-Astellung ännert, späichert fir d’éischt, well de Test déi gespäichert Astellungen notzt, an dës Späicherung config.json erstellt.

Wann näischt ofgeet, schléit de Wiki vir, d’Verbindung zum Relais um Server ze testen. De Befehl gëtt 0 zeréck, wann de Relais äntwert:

timeout 5 bash -c 'cat < /dev/null > /dev/tcp/smtp.example.com/587'; echo $?

D’Backups

De README erënnert, datt de Projet net fir e Verloscht vun Donnéeën haftbar gemaach ka ginn, a recommandéiert dréngend regelméisseg Backups. De Wiki rit zu automatesche, mat op d’mannst enger Kopie anzwousch anescht. Hei ass, wat den Dossier fir d’Donnéeën mat SQLite enthält:

D’Datebank, wärend de Service leeft

Zënter der Versioun 1.32.1 kann Vaultwarden seng SQLite-Datebank selwer séchere, ouni de Service ze stoppen:

docker exec -it vaultwarden /vaultwarden backup

De Befehl schreift e Fichier db_AAAAMMJJ_HHMMSS.sqlite3 niewent d’Datebank, an vw-data. D’Image enthält weder sqlite3 nach cron: de Wiki rit, d’Aufgab um Server ze plangen, op d’mannst eemol am Dag. Hëlt dann -it ewech, well eng geplangten Aufgab keen Terminal huet, a sortéiert dës Fichieren, déi sech opstapelen.

Den ganzen Dossier, bei gestoppte Service

Wann d’Datebank net benotzt gëtt, duer eng einfach Kopie vun alle senge Fichieren. Dat ass d’Method mat gestoppte Service, déi de Wiki als Beispill fir Docker gëtt, an si hëlt och d’Unhäng mat:

docker compose down
tar -czf vaultwarden-$(date +%F).tar.gz vw-data
docker compose up -d

De Wiki hält eng Verschlësselungsschicht fir nëtzlech, besonnesch wann d’Backup den Admin-Token an d’SMTP-Zougäng enthält, an hien nennt rclone, restic an rustic, fir d’Kopien an d’Distanz ze schécken. Mat MariaDB oder PostgreSQL setzt en Export vun der Datebank beim Dossier vw-data derbäi.

De Wiki freet, sech net nëmmen op Disk-Snapshots ze verloossen, déi méi heikel ze restauréieren sinn. Behaalt also dës Kopien, déi der Applikatioun eegen sinn: um Disk vum Server geluecht, kommen si och an seng Backups vun der Nuecht.

Restauréieren

1. Stoppt Vaultwarden.
2. Ersetzt all Fichier oder Dossier vun vw-data duerch seng gesécherte Versioun.
3. Wann d’Datebank vun /vaultwarden backup kënnt, nennt se db.sqlite3 a läscht fir d’éischt all bestehende Fichier db.sqlite3-wal: e Journal, deen net passt, kann d’Datebank beschiedegen. Wann si vun enger direkter Kopie kënnt, restauréiert db.sqlite3 an säin db.sqlite3-wal zesummen.
4. Start nei, a kontrolléiert dann, datt Dir den Tresor opmaache kënnt.

De Wiki rit, dësen Exercice vun Zäit zu Zäit ze widderhuelen, mat enger Kopie vun den Donnéeën op der Plaz: esou kontrolléiert Dir, datt eng Backup funktionéiert.

D’Aktualiséierungen

De Wiki gëtt zwee Befeeler, aus dem Dossier vun der compose.yaml. Den Dossier fir d’Donnéeën bleift op senger Plaz:

docker compose pull
docker compose up -d

Dës Aktualiséierunge si méi wichteg wéi anzwousch anescht. D’Mobil-Appen an d’Browser-Extensioune aktualiséieren sech selwer, an de Wiki warnt, datt en Ënnerscheed vun der Versioun mam Server op eemol Pannen ausléise kann. De Web-Tresor, an der Image mat geliwwert, bleift ëmmer mat sengem Server ofgestëmmt.

De Projet huet keen Zäitplang fir Versiounen: verfollegt seng Release Notes, a lancéiert eng Backup direkt virun all Aktualiséierung. E puer enthalen Sécherheetskorrekturen, wéi d’1.37.5 vum 1. November 2026, där hir Notize recommandéieren, esou séier wéi méiglech z’aktualiséieren. Déi Notize warnen och, datt zënter der 1.37.5 en ongëltege Konfiguratiounswäert de Start vu Vaultwarden verhënnert: liest Är Ëmfeldsdatei nach eng Kéier duerch, ier Dir aktualiséiert. D’Diagnossäit vun /admin weist un, ob et eng méi nei Versioun gëtt.

Wien mécht wat op engem Managed VPS

Selwer hosten heescht, de Server zousätzlech zur Applikatioun ze halen. Op engem Managed VPS huelen eis Equippen de Server an d’Hand a verfollegen Är Instanz proaktiv; Vaultwarden bleift Är Software, mat senge Astellungen an Donnéeën.

Wann Dir léiwer wëllt, datt eis Equippen an der Applikatioun selwer intervenéieren, gëtt dës Prestatioun op Stonnebasis oder pauschal verrechent, mat engem Käschtevirschlag, deen Iech virun der Interventioun matgedeelt gëtt.