Gostovanje Vaultwarden na Managed VPS: vaša gesla na vašem strežniku

Kaj počne Vaultwarden

Vaultwarden je strežnik za upravljanje gesel, napisan v jeziku Rust in zasnovan za samostojno gostovanje. Njegov wiki ga namenja posameznikom, družinam in organizacijam človeške velikosti. Spletni trezor je priložen njegovim slikam Docker.

Izvaja API, združljiv z uradnimi odjemalci Bitwarden, v brskalniku, na računalniku in na telefonu. README pojasnjuje, da projekt ni povezan z Bitwarden ali Bitwarden, Inc., in prosi, naj se vsaka težava, ne glede na uporabljenega odjemalca, sporoči neposredno njemu in ne uradnim kanalom podpore.

• Trezor: osebni trezor, priponke, ikone spletišč, osebni ključ API in Send za pošiljanje besedila ali datoteke.
• Organizacije: zbirke, deljenje gesel, vloge, skupine, dnevniki dogodkov in pravilniki.
• Dvostopenjsko preverjanje pristnosti: aplikacija za preverjanje pristnosti, e-pošta, FIDO2 WebAuthn, YubiKey in Duo.
• Rešitve v sili: nujni dostop in obnovitev računa, pri čemer slednja zahteva nastavljeno e-pošto.
• Upravljanje: stran /admin za nastavitve, račune in diagnostiko.

Wiki navaja tudi, kaj v primerjavi z uradnim strežnikom manjka, na primer prijava s ključem za dostop (passkey), vloge po meri in nekateri pravilniki za podjetja. Pojasnjuje, da funkcije, ki so uporabne predvsem velikim organizacijam, niso prednostna naloga projekta: preberite ta seznam, če jih potrebujete.

Kaj dovoljuje licenca AGPL-3.0

Vaultwarden je objavljen pod licenco GNU Affero General Public License, različica 3. Besedilo določa neomejeno dovoljenje za poganjanje nespremenjenega programa. Sliko, ki jo objavi projekt, torej lahko uporabljate za svoje podjetje in ekipo, ne da bi morali kupiti licenco.

13. člen dodaja pogoj, značilen za AGPL: če program spremenite, mora vaša različica vsem, ki jo uporabljajo na daljavo, prek omrežja, ponuditi možnost brezplačnega prejema izvorne kode.

Namestitev z Docker Compose

README priporoča slike vsebnikov. Na strežniku z nameščenim Dockerjem ustvarite mapo in vanjo postavite ta compose.yaml, povzet po README in wikiju:

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.example.com"
      SIGNUPS_ALLOWED: "true"
    volumes:
      - ./vw-data/:/data/
    ports:
      - 127.0.0.1:8000:80

docker compose up -d

• Vrata, objavljena na 127.0.0.1: kot v README je Vaultwarden dosegljiv le prek obratnega posredniškega strežnika, nameščenega na istem strežniku.
• DOMAIN: osnovni naslov vaše instance, v https. Wiki opozarja, da brez tega nekatere funkcije odpovedo, med njimi priponke in povezave za vabila.
• Mapa vw-data na lokalnem disku: hrani vse podatke. Wiki opozarja na težave SQLite na nosilcu CIFS ali Samba, ki ne podpira zaklepanja.
• Oznaka latest sledi zadnji objavljeni različici, wiki pa jo priporoča za večino rab. Oznaka, kot je 1.37.5, določi različico, latest-alpine pa daje isto na osnovi Alpine.

Ime vaše domene kaže na strežnik z zapisoma A in AAAA, obiskovalci pa prihajajo na vrata 80 in 443. Dokler obratni posredniški strežnik ni vzpostavljen, spletni trezor ostaja neuporaben: pojdite neposredno na naslednji razdelek.

Projekt ne navaja potrebnega pomnilnika in procesorja; predstavlja se le kot rešitev za primere, ko uradna storitev, požrešna za vire, ne ustreza. Velikost je odvisna od števila računov in obsega priponk. Na Managed VPS nam opišite svojo rabo in priporočimo vam ustrezno velikost.

HTTPS in WebSocket: obratni posredniški strežnik

Spletni trezor temelji na API-ju Web Crypto, ki ga brskalniki rezervirajo za varne kontekste: README navaja, da deluje šele, ko je HTTPS vključen, wiki pa HTTPS označuje za „pretty much required“, torej skoraj obvezen. Projekt priporoča obratni posredniški strežnik pred programom Vaultwarden in odsvetuje TLS, vgrajen v ogrodje Rocket.

Vzemite priznano potrdilo, kot so tista od Let’s Encrypt, ki jih wiki priporoča: s samopodpisanim potrdilom nekatere platforme zavrnejo povezavo. Potrdilo mora vsebovati celotno verigo, sicer se naprave Android ne povežejo.

Obvestila WebSocket, privzeto vključena, brskalniku, namizni aplikaciji in razširitvi sporočijo, da se je vnos spremenil. Potekajo prek glavnih vrat HTTP, posredniški strežnik pa mora posredovati glavi Upgrade in Connection. Mobilne aplikacije uporabljajo izvorna obvestila svojega sistema, ki se nastavljajo ločeno.

S Caddyjem

Wiki svetuje, naj najprej pogledate Caddy, če nimate posebne želje: HTTPS vključi sam, pridobi potrdilo Let’s Encrypt in podpira WebSocket. Nastavitev iz wikija programu Vaultwarden posreduje tudi pravi naslov obiskovalca, za njegove dnevnike:

vault.example.com {
  reverse_proxy 127.0.0.1:8000 {
    header_up X-Real-IP {remote_host}
  }
}

Z Nginxom in Certbotom

Ta blok povzema primer Nginx iz wikija, skrajšan na vrata 80, da lahko Certbot vzpostavi HTTPS:

upstream vaultwarden-default {
  zone vaultwarden-default 64k;
  server 127.0.0.1:8000;
  keepalive 2;
}

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      "";
}

server {
    listen 80;
    listen [::]:80;
    server_name vault.example.com;

    client_max_body_size 525M;

    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $connection_upgrade;

    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;

    location / {
      proxy_pass http://vaultwarden-default;
    }
}

Certbot nato namesti potrdilo in poskrbi za njegovo obnavljanje:

sudo certbot --nginx

Preverjanje WebSocket

Odprite razvijalska orodja brskalnika, zavihek omrežje, filter WS, nato se znova povežite s trezorjem: odgovor 101 na /notifications/hub potrjuje povezavo. Drug preizkus iz wikija: odprite trezor v dveh brskalnikih, v enem preimenujte vnos in sprememba se takoj pokaže v drugem.

Zaprtje registracij

Privzeto lahko vsakdo, ki doseže vašo instanco, na njej ustvari račun. To je uporabno za vaš prvi račun, wiki pa priporoča, da registracije nato zaprete, da napadalcu preprečite ustvarjanje računa.

1. Odprite svoj naslov HTTPS in ustvarite račun, nato svoje aplikacije povežite s tem naslovom.
2. SIGNUPS_ALLOWED v datoteki compose.yaml nastavite na "false".
3. Znova zaženite z docker compose up -d: spremenljivka okolja je vezana na vsebnik, ki ga je treba znova ustvariti, da jo upošteva.

SIGNUPS_ALLOWED: "false"

• Vabila ostanejo odprta tudi po zaprtju: lastniki in skrbniki organizacije lahko vabijo nove osebe. INVITATIONS_ALLOWED na "false" to možnost odstrani, wiki pa to izbiro prepušča vaši zaupnosti do uporabnikov.
• Seznam domen: SIGNUPS_DOMAINS_WHITELIST omeji registracijo na nekatere e-poštne domene, SIGNUPS_VERIFY na true pa nato zahteva preverjanje naslova. Ko je ta seznam določen, se SIGNUPS_ALLOWED prezre.
• Skrbniška stran omogoča vabilo kogar koli, ne glede na te omejitve.

Takoj ko konfiguracijo shranite s skrbniške strani, se v mapi s podatki pojavi datoteka config.json, ki ima prednost pred spremenljivkami okolja. Zadevne nastavitve se nato spreminjajo s te strani: sprememba datoteke compose.yaml ne zadošča več.

Skrbniška stran in njen žeton

Stran /admin služi nastavljanju programa Vaultwarden, ogledu in brisanju računov in organizacij, odstranitvi dvostopenjskega preverjanja pristnosti uporabnika, vabljenju in branju diagnostike. Brez ADMIN_TOKEN ostane izklopljena: če je ne potrebujete, jo pustite tako.

Wiki močno priporoča, da pred to stranjo vključite HTTPS. Žeton služi kot geslo in ga je mogoče hraniti v zgoščeni obliki, argon2id, namesto v nezaščiteni obliki v konfiguraciji. Vaultwarden ponuja ukaz: dvakrat zahteva geslo, nato vrne niz PHC.

docker run --rm -it vaultwarden/server /vaultwarden hash

Ta niz postavite v datoteko .env, ob compose.yaml, med enojne narekovaje, nato ga pokličite iz storitve:

VAULTWARDEN_ADMIN_TOKEN='$argon2id$...'

ADMIN_TOKEN: ${VAULTWARDEN_ADMIN_TOKEN}

Preverite rezultat, znova zaženite, nato se prijavite na /admin z geslom, ne z nizom PHC:

docker compose config
docker compose up -d

• Seja privzeto traja 20 minut, nastavljiva z ADMIN_SESSION_LIFETIME. Odprta seja ostane veljavna tudi po spremembi žetona. Če jih želite vse prekiniti, izbrišite rsa_key.pem iz mape s podatki in znova zaženite, kar odjavi tudi uporabnike in prekliče vabila v teku.
• Omejen dostop: primeri posredniškega strežnika v wikiju kažejo, kako /admin odpreti le nekaterim naslovom ali mu dodati overjanje HTTP.
• DISABLE_ADMIN_TOKEN odstrani vsak nadzor: predviden je za ločeno plast overjanja, postavljeno pred njim, wiki pa ga rezervira za tiste, ki vedo, kaj delajo.

Kaj ščiti trezor

Prva zaščita je glavno geslo. Podatki trezorja so šifrirani z osebnimi ali organizacijskimi ključi: kdor pridobi kopijo zbirke ali vdre v sejo, mora za branje še vedno razbiti to geslo. Njegova trdnost je torej najpomembnejša. Skrbniška seja sama omogoča izbris računa ali odstranitev dvostopenjskega preverjanja pristnosti, ne da bi dala dostop do podatkov trezorja.

Pozabo glavnega gesla predvidite, preden se zgodi: vključite nujni dostop svojega računa, v organizaciji pa obnovitev računa, ki zahteva nastavljeno e-pošto.

Še tri nastavitve iz vodnika za utrjevanje

• Uporabnik brez pravic root: slika privzeto teče kot root, wiki pa šteje za boljše, da ji date najmanjše pravice. Storitvi dodajte user: 1000:1000, z mapo vw-data, ki pripada temu uporabniku.
• Dnevniki posredniškega strežnika: povezava WebSocket v naslovu prenaša žeton, v access_token. Če vaš posredniški strežnik hrani dnevnike ali jih pošilja zunanji storitvi, wiki priporoča, da se ta vrednost v njih skrije.
• Najmanj priklopov: priklopite mapo s podatki in nič drugega, ne svoje domače mape ne /var/run/docker.sock.

SQLite, MariaDB ali PostgreSQL

Ista slika podpira vse tri zbirke. Wiki opisuje SQLite kot najbolj uporabljeno in najbolj preizkušeno ter jo priporoča za večino rab, razen če zares potrebujete drugo.

DATABASE_URL: "postgresql://user_name:user_password@db_host:5432/vaultwarden"

Ustvarite prazno zbirko in njenega uporabnika: ob zagonu Vaultwarden vanjo sam vpiše svojo shemo. Geslo s posebnimi znaki se v tem naslovu zapiše v odstotnem kodiranju.

To izbiro opravite, preden napolnite trezor. Wiki opisuje prehod s SQLite na PostgreSQL z orodjem pgloader, pri čemer pojasnjuje, da projekt te poti ne podpira, da gre na lastno odgovornost in da se začne z varnostno kopijo.

E-pošta: nastavitev SMTP

Vaultwarden se zažene brez e-pošte, vendar je od nje odvisnih več funkcij: vabila, preverjanje naslovov, pošiljanje namigov za geslo, dvostopenjsko preverjanje pristnosti po e-pošti in obnovitev računa.

Na VPS Simafri pošiljanje poteka prek overjenega releja SMTP, na vratih 587: z naslovom poštnega računa, ki ga že imate, ali s Simafri Suite. Geslo postavite v datoteko .env, tako kot skrbniški žeton:

SMTP_HOST: "smtp.example.com"
SMTP_FROM: "vault@example.com"
SMTP_PORT: "587"
SMTP_SECURITY: "starttls"
SMTP_USERNAME: "vault@example.com"
SMTP_PASSWORD: ${VAULTWARDEN_SMTP_PASSWORD}

• Povezave za vabila se sestavijo iz DOMAIN in ostanejo veljavne 5 dni.
• Microsoft: wiki navaja, da Hotmail, Outlook in Office 365 zdaj zahtevajo OAuth2, ki ga Vaultwarden še ne podpira. Napaka, ki jo je treba prepoznati, je No compatible authentication mechanism was found.
• Gmail: po wikiju predvidite geslo aplikacije.
• Preizkus: skrbniška stran pošlje preizkusno e-pošto. Če tam spremenite nastavitev SMTP, najprej shranite, ker preizkus uporabi shranjene nastavitve, to shranjevanje pa ustvari config.json.

Če se nič ne pošlje, wiki predlaga preizkus povezave z relejem s strežnika. Ukaz vrne 0, ko releju odgovori:

timeout 5 bash -c 'cat < /dev/null > /dev/tcp/smtp.example.com/587'; echo $?

Varnostne kopije

README opozarja, da projekt ne more odgovarjati za izgubo podatkov, in močno priporoča redne varnostne kopije. Wiki jih svetuje samodejne, z vsaj eno kopijo drugje. Tukaj je, kaj vsebuje mapa s podatki s SQLite:

Zbirka, med delovanjem storitve

Od različice 1.32.1 Vaultwarden svojo zbirko SQLite zna varnostno kopirati sam, brez ustavitve storitve:

docker exec -it vaultwarden /vaultwarden backup

Ukaz zapiše datoteko db_LLLLMMDD_UUMMSS.sqlite3 ob zbirki, v vw-data. Slika ne vsebuje ne sqlite3 ne cron: wiki svetuje, da opravilo načrtujete na strežniku, vsaj enkrat na dan. Nato odstranite -it, ker načrtovano opravilo nima terminala, in med temi datotekami, ki se kopičijo, redno delajte red.

Vsa mapa, z ustavljeno storitvijo

Ko zbirka ni v uporabi, zadošča preprosta kopija vseh njenih datotek. To je metoda z ustavljeno storitvijo, ki jo wiki navaja kot primer za Docker, in odnese tudi priponke:

docker compose down
tar -czf vaultwarden-$(date +%F).tar.gz vw-data
docker compose up -d

Wiki šteje plast šifriranja za koristno, zlasti ko varnostna kopija vsebuje skrbniški žeton in dostope SMTP, za pošiljanje kopij na oddaljeno mesto pa navaja rclone, restic in rustic. Pri MariaDB ali PostgreSQL mapi vw-data dodajte izvoz zbirke.

Wiki prosi, naj se ne zanašate zgolj na posnetke diska, ki jih je teže obnoviti. Zato hranite te kopije, značilne za aplikacijo: postavljene na disk strežnika vstopijo tudi v njegove nočne varnostne kopije.

Obnova

1. Ustavite Vaultwarden.
2. Vsako datoteko ali mapo v vw-data zamenjajte z njeno varnostno kopirano različico.
3. Če zbirka izvira iz /vaultwarden backup, jo poimenujte db.sqlite3 in najprej izbrišite vsako obstoječo datoteko db.sqlite3-wal: neustrezen dnevnik lahko poškoduje zbirko. Če izvira iz neposredne kopije, skupaj obnovite db.sqlite3 in njen db.sqlite3-wal.
4. Znova zaženite, nato preverite, da lahko odprete trezor.

Wiki svetuje, da to vajo občasno ponovite, pri čemer hranite kopijo podatkov na mestu: tako preverite, da varnostna kopija deluje.

Posodobitve

Wiki navaja dva ukaza, ki ju zaženete v mapi datoteke compose.yaml. Mapa s podatki ostane na mestu:

docker compose pull
docker compose up -d

Te posodobitve štejejo bolj kot drugje. Mobilne aplikacije in razširitve brskalnikov se posodabljajo same, wiki pa opozarja, da lahko razlika v različici s strežnikom povzroči nenadne odpovedi. Spletni trezor, priložen sliki, je vedno usklajen s svojim strežnikom.

Projekt nima koledarja izdaj: spremljajte njegove opombe k izdajam in tik pred vsako posodobitvijo zaženite varnostno kopijo. Nekatere vsebujejo varnostne popravke, kot različica 1.37.5 z dne 1. novembra 2026, katere opombe priporočajo čim hitrejšo posodobitev. Te opombe tudi opozarjajo, da od različice 1.37.5 neveljavna vrednost konfiguracije prepreči, da bi se Vaultwarden zagnal: pred posodobitvijo znova preglejte svojo datoteko s spremenljivkami okolja. Diagnostična stran v /admin pokaže, ali obstaja novejša različica.

Kdo kaj dela na Managed VPS

Samostojno gostovanje poleg aplikacije zahteva tudi vzdrževanje strežnika. Na Managed VPS naše ekipe prevzamejo strežnik in proaktivno spremljajo vašo instanco; Vaultwarden ostaja vaša programska oprema, z vašimi nastavitvami in podatki.

Če želite, da naše ekipe posežejo v samo aplikacijo, se ta storitev zaračuna po urah ali pavšalno, z oceno stroškov, sporočeno pred posegom.