Vaultwarden: vlastný trezor na heslá

Vaultwarden je ľahký server pre aplikácie a rozšírenia prehliadača Bitwarden. Vaše heslá sú potom uložené na vašom vlastnom VPS. Vyžaduje si to však starostlivosť: ak sa váš server pokazí alebo vám chýba záloha, o heslá prídete.

Každý návod nadväzuje na pracovný priečinok /srv/diensten s Caddy z Váš pracovný priečinok s compose.yaml, .env a Caddy. Pridáte službu do compose.yaml, blok do Caddyfile a záznam A a AAAA pre názov (pozrite si Záznam A a AAAA v sekcii Moje domény).

1. DNS

Vytvorte záznam A a AAAA pre kluis.example.com.

2. compose.yaml

  vaultwarden:
    image: vaultwarden/server:1.37.5
    restart: unless-stopped
    environment:
      DOMAIN: "https://kluis.example.com"
      SIGNUPS_ALLOWED: "true"
      ADMIN_TOKEN: ${VW_ADMIN_TOKEN}
    volumes:
      - ./vw-data:/data

Na stránke s vydaniami Vaultwarden si pozrite, ktorá verzia je najnovšia, a zadajte ju do tagu.

3. Caddyfile a spustenie

kluis.example.com {
	reverse_proxy vaultwarden:80
}

anna@web1:/srv/diensten$ sudo docker compose up -d
anna@web1:/srv/diensten$ sudo docker compose exec -w /etc/caddy caddy caddy reload

4. Token správcu v .env

Administrátorské rozhranie /admin zabezpečíte tokenom. Nezadávajte doň čitateľné heslo, ale hash. Tento hash vytvoríte priamo pomocou Vaultwarden, keď už kontajner beží:

anna@web1:/srv/diensten$ sudo docker compose exec vaultwarden /vaultwarden hash
Password:
Confirm Password:

ADMIN_TOKEN='$argon2id$v=19$m=65540,t=3,p=4$...'

Do .env vložte riadok VW_ADMIN_TOKEN='$argon2id$...' s jednoduchými úvodzovkami. Kontajner reštartujte príkazom sudo docker compose up -d. Na /admin sa prihlásite heslom, ktoré ste zadali, nie hashom.

5. Uzavretie registrácie

1. Otvorte https://kluis.example.com a vytvorte si vlastný účet, ako aj účty pre vašu rodinu alebo kolegov.
2. V compose.yaml nastavte SIGNUPS_ALLOWED: "false".
3. Spustite sudo docker compose up -d.

Nových ľudí potom pozývate cez administrátorské rozhranie. Ak chcete, aby sa pozvánky posielali e-mailom, nastavte SMTP cez e-mailovú schránku na porte 587 (pozrite si Reverzné DNS a odosielanie pošty z vášho VPS).

Záloha

Všetko je uložené v priečinku /srv/diensten/vw-data: databáza, prílohy a kľúče. Zahrňte ho do svojej zálohy restic (pozrite si Správne zálohovanie databáz a zväzkov Docker) a otestujte obnovenie. Wiki projektu Vaultwarden popisuje, ako databázu bezpečne skopírovať počas jej behu.

Tip: Vaše aplikácie a rozšírenia prehliadača uchovávajú kópiu vášho trezoru. Ak váš server na chvíľu vypadne, heslá si stále môžete prečítať, ale nemôžete ich meniť.