Vaultwarden: su propio gestor de contraseñas

Vaultwarden es un servidor ligero para las aplicaciones y extensiones de navegador de Bitwarden. Sus contraseñas se guardan así en su propio VPS. Eso exige cuidado: si su servidor falla o le falta la copia de seguridad, perderá sus contraseñas.

Cada receta parte de la carpeta de trabajo /srv/diensten con Caddy de Su carpeta de trabajo con compose.yaml, .env y Caddy. Usted añade un servicio a compose.yaml, un bloque al Caddyfile y un registro A y AAAA para el nombre (consulte Un registro A y AAAA en Mis dominios).

1. DNS

Cree un registro A y AAAA para kluis.example.com.

2. compose.yaml

  vaultwarden:
    image: vaultwarden/server:1.37.5
    restart: unless-stopped
    environment:
      DOMAIN: "https://kluis.example.com"
      SIGNUPS_ALLOWED: "true"
      ADMIN_TOKEN: ${VW_ADMIN_TOKEN}
    volumes:
      - ./vw-data:/data

Consulte en la página de versiones de Vaultwarden cuál es la más reciente e indíquela en la etiqueta.

3. Caddyfile e inicio

kluis.example.com {
	reverse_proxy vaultwarden:80
}

anna@web1:/srv/diensten$ sudo docker compose up -d
anna@web1:/srv/diensten$ sudo docker compose exec -w /etc/caddy caddy caddy reload

4. El token de administración en .env

La pantalla de administración /admin se protege con un token. No ponga ahí una contraseña legible, sino un hash. Ese hash lo genera con el propio Vaultwarden, ahora que el contenedor está en marcha:

anna@web1:/srv/diensten$ sudo docker compose exec vaultwarden /vaultwarden hash
Password:
Confirm Password:

ADMIN_TOKEN='$argon2id$v=19$m=65540,t=3,p=4$...'

Ponga en .env la línea VW_ADMIN_TOKEN='$argon2id$...', con comillas simples. Reinicie el contenedor con sudo docker compose up -d. Para iniciar sesión en /admin use la contraseña que escribió, no el hash.

5. Cerrar el registro

1. Abra https://kluis.example.com y cree su propia cuenta y las de su familia o sus compañeros.
2. Ponga en compose.yaml SIGNUPS_ALLOWED: "false".
3. Ejecute sudo docker compose up -d.

A partir de entonces, invite a nuevas personas desde la pantalla de administración. Si desea que las invitaciones se envíen por correo, configure SMTP con un buzón en el puerto 587 (consulte DNS inverso y envío de correo desde su VPS).

Copia de seguridad

Todo se encuentra en la carpeta /srv/diensten/vw-data: la base de datos, los archivos adjuntos y las claves. Inclúyala en su copia de seguridad con restic (consulte Cómo incluir correctamente las bases de datos y los volúmenes de Docker) y pruebe la restauración. La wiki de Vaultwarden explica cómo copiar la base de datos de forma segura mientras está en funcionamiento.

Consejo: Sus aplicaciones y extensiones de navegador guardan una copia de su bóveda. Si su servidor deja de funcionar un momento, podrá seguir leyendo sus contraseñas, pero no modificarlas.