Vaultwarden hosten op een Managed VPS: uw wachtwoorden op uw eigen server

Wat Vaultwarden doet

Vaultwarden is een server voor wachtwoordbeheer, geschreven in Rust en bedoeld voor self-hosting. De wiki richt het op particulieren, gezinnen en organisaties van menselijke omvang. De webkluis wordt meegeleverd in de Docker-images.

Het implementeert een API die compatibel is met de officiële Bitwarden-clients, in de browser, op de computer en op de telefoon. De README preciseert dat het project niet verbonden is met Bitwarden of Bitwarden, Inc., en vraagt elk probleem, welke client u ook gebruikt, rechtstreeks aan het project te melden in plaats van bij de officiële supportkanalen.

• De kluis: persoonlijke kluis, bijlagen, pictogrammen van websites, persoonlijke API-sleutel, en Send om een tekst of bestand door te geven.
• De organisaties: verzamelingen, het delen van wachtwoorden, rollen, groepen, gebeurtenislogboeken en beleidsregels.
• De tweestapsverificatie: authenticator-app, e-mail, FIDO2 WebAuthn, YubiKey en Duo.
• De noodoplossingen: noodtoegang en accountherstel, waarvan het laatste vraagt dat e-mail is ingesteld.
• Het beheer: een pagina /admin voor de instellingen, de accounts en de diagnose.

De wiki somt ook op wat ontbreekt ten opzichte van de officiële server, zoals aanmelden met een passkey, aangepaste rollen en bepaalde bedrijfsbeleidsregels. Ze preciseert dat functies die vooral voor grote organisaties nuttig zijn geen prioriteit van het project zijn: lees die lijst als u ze nodig hebt.

Wat de AGPL-3.0-licentie toestaat

Vaultwarden wordt gepubliceerd onder de GNU Affero General Public License, versie 3. De tekst kent een onbeperkte toestemming toe om het ongewijzigde programma te draaien. U kunt de image die het project publiceert dus gebruiken voor uw bedrijf en uw team, zonder een licentie te kopen.

Artikel 13 voegt een voorwaarde toe die eigen is aan de AGPL: als u het programma wijzigt, moet uw versie iedereen die het op afstand, via het netwerk, gebruikt de mogelijkheid bieden de broncode gratis te verkrijgen.

De installatie met Docker Compose

De README beveelt de containerimages aan. Maak op een server waar Docker is geïnstalleerd een map aan en plaats daarin dit compose.yaml, overgenomen uit de README en de wiki:

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.example.com"
      SIGNUPS_ALLOWED: "true"
    volumes:
      - ./vw-data/:/data/
    ports:
      - 127.0.0.1:8000:80

docker compose up -d

• Een poort gepubliceerd op 127.0.0.1: zoals in de README is Vaultwarden alleen bereikbaar via de reverse proxy op dezelfde server.
• DOMAIN: het basisadres van uw instantie, in https. De wiki waarschuwt dat functies zonder dat stukgaan, waaronder de bijlagen en de uitnodigingslinks.
• Een map vw-data op een lokale schijf: ze bewaart alle gegevens. De wiki wijst op de problemen van SQLite op een CIFS- of Samba-volume, dat geen bestandsvergrendeling ondersteunt.
• De tag latest volgt de laatst gepubliceerde versie, en de wiki beveelt haar aan voor de meeste toepassingen. Een tag zoals 1.37.5 legt een versie vast, en latest-alpine geeft hetzelfde op een Alpine-basis.

Uw domeinnaam wijst met A- en AAAA-records naar de server, en de bezoekers komen binnen op de poorten 80 en 443. Zolang de reverse proxy er niet staat, blijft de webkluis onbruikbaar: ga rechtstreeks naar de volgende sectie.

Het project noemt geen cijfers voor geheugen of processor; het presenteert zich alleen als oplossing voor de gevallen waarin de officiële, resource-hongerige dienst niet past. De grootte hangt af van het aantal accounts en het volume aan bijlagen. Beschrijf op een managed VPS uw gebruik aan ons, dan raden wij u de passende grootte aan.

HTTPS en WebSocket: de reverse proxy

De webkluis steunt op de Web Crypto API, die browsers voorbehouden aan beveiligde contexten: de README zegt dat ze pas werkt als HTTPS is ingeschakeld, en de wiki noemt HTTPS “pretty much required”, ongeveer verplicht. Het project beveelt een reverse proxy voor Vaultwarden aan en raadt de TLS af die in zijn framework Rocket is ingebouwd.

Neem een erkend certificaat, zoals die van Let's Encrypt, dat de wiki aanbeveelt: met een zelfondertekend certificaat weigeren sommige platformen de verbinding. Het certificaat moet zijn volledige keten bevatten, anders maken Android-apparaten geen verbinding.

De WebSocket-meldingen, standaard actief, laten de browser, de desktopapp en de extensie weten dat een item is gewijzigd. Ze lopen via de hoofdpoort voor HTTP, en de proxy moet de headers Upgrade en Connection doorgeven. De mobiele apps gebruiken de native meldingen van hun systeem, die apart worden ingesteld.

Met Caddy

De wiki raadt aan eerst naar Caddy te kijken als u geen voorkeur hebt: het schakelt HTTPS zelf in, verkrijgt het Let's Encrypt-certificaat en ondersteunt WebSocket. De instelling uit de wiki geeft ook het echte adres van de bezoeker door aan Vaultwarden, voor zijn logboeken:

vault.example.com {
  reverse_proxy 127.0.0.1:8000 {
    header_up X-Real-IP {remote_host}
  }
}

Met Nginx en Certbot

Dit blok neemt het Nginx-voorbeeld uit de wiki over, teruggebracht tot poort 80 zodat Certbot HTTPS kan plaatsen:

upstream vaultwarden-default {
  zone vaultwarden-default 64k;
  server 127.0.0.1:8000;
  keepalive 2;
}

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      "";
}

server {
    listen 80;
    listen [::]:80;
    server_name vault.example.com;

    client_max_body_size 525M;

    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $connection_upgrade;

    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;

    location / {
      proxy_pass http://vaultwarden-default;
    }
}

Certbot plaatst daarna het certificaat en zorgt voor de vernieuwing ervan:

sudo certbot --nginx

WebSocket controleren

Open de ontwikkelaarstools van de browser, tabblad netwerk, filter WS, en meld u daarna opnieuw aan bij de kluis: een antwoord 101 op /notifications/hub bevestigt de verbinding. Een andere test uit de wiki: open de kluis in twee browsers, hernoem een item in de ene, en de wijziging verschijnt meteen in de andere.

De registraties sluiten

Standaard kan iedereen die uw instantie bereikt er een account aanmaken. Dat is handig voor uw eerste account, en de wiki raadt aan daarna te sluiten, zodat een aanvaller er geen kan aanmaken.

1. Open uw HTTPS-adres en maak uw account aan, koppel daarna uw apps aan dat adres.
2. Zet SIGNUPS_ALLOWED op "false" in compose.yaml.
3. Start opnieuw met docker compose up -d: een omgevingsvariabele is aan de container gekoppeld, die opnieuw moet worden aangemaakt om haar toe te passen.

SIGNUPS_ALLOWED: "false"

• De uitnodigingen blijven open na het sluiten: eigenaars en beheerders van een organisatie kunnen nieuwe mensen uitnodigen. INVITATIONS_ALLOWED op "false" haalt die mogelijkheid weg, en de wiki laat die keuze aan u, naargelang het vertrouwen dat u in uw gebruikers hebt.
• Een lijst met domeinen: SIGNUPS_DOMAINS_WHITELIST beperkt de registratie tot bepaalde e-maildomeinen, en SIGNUPS_VERIFY op true verplicht dan het controleren van het adres. Zodra die lijst is ingesteld, wordt SIGNUPS_ALLOWED genegeerd.
• De beheerpagina laat toe iedereen uit te nodigen, ongeacht deze beperkingen.

Zodra u de configuratie vanaf de beheerpagina opslaat, ontstaat er een bestand config.json in de gegevensmap, dat voorrang krijgt op de omgevingsvariabelen. De betreffende instellingen wijzigt u dan vanaf die pagina: compose.yaml aanpassen volstaat niet meer.

De beheerpagina en haar token

De pagina /admin dient om Vaultwarden te configureren, accounts en organisaties te bekijken en te verwijderen, de tweestapsverificatie van een gebruiker te verwijderen, uit te nodigen en de diagnose te lezen. Zonder ADMIN_TOKEN blijft ze uitgeschakeld: hebt u er geen gebruik voor, laat haar dan zo.

De wiki raadt sterk aan HTTPS in te schakelen vóór deze pagina. Het token dient als wachtwoord, en het kan in gehashte vorm, met argon2id, worden bewaard in plaats van leesbaar in de configuratie. Vaultwarden levert de opdracht: ze vraagt het wachtwoord twee keer en geeft dan een PHC-tekenreeks terug.

docker run --rm -it vaultwarden/server /vaultwarden hash

Plaats die tekenreeks in een bestand .env, naast compose.yaml, tussen enkele aanhalingstekens, en roep haar daarna aan vanuit de dienst:

VAULTWARDEN_ADMIN_TOKEN='$argon2id$...'

ADMIN_TOKEN: ${VAULTWARDEN_ADMIN_TOKEN}

Controleer het resultaat, start opnieuw en meld u daarna aan op /admin met uw wachtwoord, en niet met de PHC-tekenreeks:

docker compose config
docker compose up -d

• De sessie duurt standaard 20 minuten, instelbaar met ADMIN_SESSION_LIFETIME. Een geopende sessie blijft geldig na een wijziging van het token. Wilt u ze allemaal afsluiten, verwijder dan rsa_key.pem uit de gegevensmap en start opnieuw, wat ook de gebruikers afmeldt en lopende uitnodigingen annuleert.
• Beperkte toegang: de proxyvoorbeelden van de wiki laten zien hoe u /admin alleen voor bepaalde adressen opent, of er een HTTP-authenticatie aan toevoegt.
• DISABLE_ADMIN_TOKEN haalt elke controle weg: het is bedoeld voor een aparte authenticatielaag die ervoor staat, en de wiki behoudt het voor wie weet wat hij doet.

Wat de kluis beschermt

De eerste bescherming is het hoofdwachtwoord. De gegevens van de kluis zijn versleuteld met persoonlijke sleutels of sleutels van de organisatie: wie een kopie van de database bemachtigt of een sessie afdwingt, moet dat wachtwoord nog kraken om ze te lezen. Zijn sterkte telt dus vóór alles. Een beheersessie zelf laat toe een account te verwijderen of een tweestapsverificatie weg te halen, zonder toegang te geven tot de gegevens van de kluis.

Bereid u voor op het vergeten van het hoofdwachtwoord voordat het gebeurt: schakel de noodtoegang van uw account in en, in een organisatie, het accountherstel, dat een ingestelde e-mail vraagt.

Drie extra instellingen, uit de beveiligingsgids

• Een niet-rootaccount: de image draait standaard als root, en de wiki vindt het beter haar zo min mogelijk rechten te geven. Voeg user: 1000:1000 toe aan de dienst, met een map vw-data die van die gebruiker is.
• De logboeken van de proxy: de WebSocket-verbinding geeft een token mee in het adres, in access_token. Bewaart uw proxy zijn logboeken of stuurt hij ze naar een externe dienst, dan raadt de wiki aan die waarde daar te maskeren.
• Zo weinig mogelijk koppelingen: koppel de gegevensmap en niets anders, ook niet uw persoonlijke map of /var/run/docker.sock.

SQLite, MariaDB of PostgreSQL

Dezelfde image ondersteunt alle drie de databases. De wiki beschrijft SQLite als de meest gebruikte en best geteste, en beveelt haar aan voor de meeste toepassingen, tenzij u een andere specifiek nodig hebt.

DATABASE_URL: "postgresql://user_name:user_password@db_host:5432/vaultwarden"

Maak een lege database en gebruiker aan: bij het opstarten legt Vaultwarden er zelf zijn schema in aan. Een wachtwoord met speciale tekens schrijft u in dit adres met procentcodering.

Maak deze keuze voordat u de kluis vult. De wiki beschrijft een overstap van SQLite naar PostgreSQL met pgloader, en preciseert dat deze weg niet door het project wordt ondersteund, dat u hem op eigen risico bewandelt en dat hij begint met een back-up.

E-mails: de SMTP-configuratie

Vaultwarden start zonder e-mail, maar verschillende functies hangen ervan af: de uitnodigingen, de controle van adressen, het versturen van wachtwoordhints, tweestapsverificatie per e-mail en het accountherstel.

Op een Simafri-VPS loopt het verzenden via een geauthenticeerde SMTP-relay, op poort 587: het adres van een e-mailaccount dat u al hebt, of Simafri Suite. Het wachtwoord komt in het bestand .env, net als het beheerderstoken:

SMTP_HOST: "smtp.example.com"
SMTP_FROM: "vault@example.com"
SMTP_PORT: "587"
SMTP_SECURITY: "starttls"
SMTP_USERNAME: "vault@example.com"
SMTP_PASSWORD: ${VAULTWARDEN_SMTP_PASSWORD}

• De uitnodigingslinks worden opgebouwd uit DOMAIN en blijven 5 dagen geldig.
• Microsoft: de wiki geeft aan dat Hotmail, Outlook en Office 365 voortaan OAuth2 vragen, dat Vaultwarden nog niet ondersteunt. De fout om te herkennen is No compatible authentication mechanism was found.
• Gmail: voorzie een app-wachtwoord, volgens de wiki.
• De test: de beheerpagina verstuurt een test-e-mail. Wijzigt u daar een SMTP-instelling, sla dan eerst op, want de test gebruikt de opgeslagen instellingen, en dat opslaan maakt config.json aan.

Gaat er niets de deur uit, dan stelt de wiki voor de verbinding met de relay te testen vanaf de server. De opdracht geeft 0 terug wanneer de relay antwoordt:

timeout 5 bash -c 'cat < /dev/null > /dev/tcp/smtp.example.com/587'; echo $?

De back-ups

De README herinnert eraan dat het project niet aansprakelijk kan worden gesteld voor gegevensverlies en raadt regelmatige back-ups sterk aan. De wiki adviseert ze automatisch te maken, met minstens één kopie elders. Dit bevat de gegevensmap met SQLite:

De database, terwijl de dienst draait

Sinds versie 1.32.1 kan Vaultwarden zijn SQLite-database zelf back-uppen, zonder de dienst te stoppen:

docker exec -it vaultwarden /vaultwarden backup

De opdracht schrijft een bestand db_JJJJMMDD_UUMMSS.sqlite3 naast de database, in vw-data. De image bevat noch sqlite3 noch cron: de wiki raadt aan de taak op de server in te plannen, minstens één keer per dag. Haal dan -it weg, want een geplande taak heeft geen terminal, en ruim die bestanden, die zich opstapelen, regelmatig op.

De hele map, met de dienst gestopt

Wanneer de database niet in gebruik is, volstaat een eenvoudige kopie van al haar bestanden. Dit is de methode met gestopte dienst die de wiki als voorbeeld voor Docker geeft, en ze neemt ook de bijlagen mee:

docker compose down
tar -czf vaultwarden-$(date +%F).tar.gz vw-data
docker compose up -d

De wiki vindt een versleutelingslaag nuttig, vooral wanneer de back-up het beheerderstoken en de SMTP-gegevens bevat, en noemt rclone, restic en rustic om de kopieën naar elders te sturen. Voeg bij MariaDB of PostgreSQL een export van de database toe aan de map vw-data.

De wiki vraagt niet uitsluitend op schijfsnapshots te vertrouwen, die lastiger terug te zetten zijn. Bewaar daarom ook deze eigen kopieën van de applicatie: staan ze op de schijf van de server, dan vallen ze ook onder de nachtelijke back-ups.

Terugzetten

1. Stop Vaultwarden.
2. Vervang elk bestand of elke map van vw-data door de geback-upte versie.
3. Komt de database uit /vaultwarden backup, geef haar dan de naam db.sqlite3 en verwijder eerst elk bestaand bestand db.sqlite3-wal: een journaal dat niet past, kan de database beschadigen. Komt ze uit een directe kopie, zet dan db.sqlite3 en zijn db.sqlite3-wal samen terug.
4. Start opnieuw en controleer dat u de kluis kunt openen.

De wiki raadt aan deze oefening af en toe te herhalen, met behoud van een kopie van de bestaande gegevens: zo controleert u of een back-up werkt.

De updates

De wiki geeft twee opdrachten, vanuit de map van compose.yaml. De gegevensmap blijft ongemoeid:

docker compose pull
docker compose up -d

Deze updates tellen zwaarder dan elders. De mobiele apps en de browserextensies werken zichzelf bij, en de wiki waarschuwt dat een versieverschil met de server plotselinge storingen kan veroorzaken. De webkluis, meegeleverd in de image, blijft altijd afgestemd op zijn server.

Het project heeft geen releasekalender: volg zijn release-opmerkingen en start vlak voor elke update een back-up. Sommige bevatten beveiligingsfixes, zoals 1.37.5 van 1 november 2026, waarvan de opmerkingen aanraden zo snel mogelijk bij te werken. Die opmerkingen waarschuwen ook dat sinds 1.37.5 een ongeldige configuratiewaarde verhindert dat Vaultwarden start: lees uw omgevingsbestand na voordat u bijwerkt. De diagnosepagina van /admin geeft aan of er een nieuwere versie bestaat.

Wie doet wat op een managed VPS

Self-hosting vraagt dat u naast de applicatie ook de server beheert. Op een managed VPS neemt ons team de server voor zijn rekening en houdt het uw instantie proactief in de gaten; Vaultwarden blijft uw software, met zijn instellingen en gegevens.

Wilt u liever dat ons team in de applicatie zelf ingrijpt, dan wordt die dienstverlening per uur of tegen een vast bedrag gefactureerd, met een offerte voordat het werk begint.