Hospede o Vaultwarden por conta própria em um VPS com Docker

O Vaultwarden é um servidor de senhas leve e compatível com o Bitwarden. Você usa os aplicativos e extensões de navegador normais do Bitwarden, mas o seu cofre fica em um servidor que você controla. Ele usa muito pouca memória, então um VPS pequeno é suficiente. Como ele guarda suas senhas, configure-o com cuidado.

Antes de começar

• Um VPS com Docker. Veja como instalar o Docker.
• Um domínio apontando para o servidor. Veja registros DNS explicados.
• Um plano para fazer backup dos dados. Veja backups de VPS.

Mais informações estão na nossa página de Vaultwarden auto-hospedado.

Passo 1: arquivo Docker Compose

mkdir -p ~/vaultwarden && cd ~/vaultwarden
cat > compose.yaml <<'EOF'
services:
  vaultwarden:
    image: vaultwarden/server:latest
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.example.com"
      SIGNUPS_ALLOWED: "true"   # switch to false after you create your account
      ADMIN_TOKEN: "${ADMIN_TOKEN}"
    volumes:
      - ./data:/data
    ports:
      - "127.0.0.1:8081:80"
EOF

Passo 2: gere um token de administrador

A página de administração permite gerenciar usuários. Guarde um token com hash, não em texto simples. A imagem do Vaultwarden inclui um utilitário:

docker run --rm -it vaultwarden/server /vaultwarden hash
# paste the result into a .env file as ADMIN_TOKEN='$argon2id$...'

Passo 3: inicie

docker compose up -d
docker compose logs -f

Passo 4: HTTPS com Caddy

Os clientes do Bitwarden exigem HTTPS.

vault.example.com {
  reverse_proxy 127.0.0.1:8081
}

Recarregue o Caddy e abra o site. Crie sua conta, depois defina SIGNUPS_ALLOWED como false e execute docker compose up -d novamente para que estranhos não possam se cadastrar.

Passo 5: ative a verificação em duas etapas

No cofre web, ative a verificação em duas etapas com um aplicativo autenticador ou uma chave de hardware. Guarde o código de recuperação offline.

Faça backup do cofre

Todos os dados ficam em ./data, principalmente o banco de dados SQLite e os anexos. Faça uma cópia consistente em um horário programado e mantenha-a fora do servidor:

sqlite3 data/db.sqlite3 ".backup '/backup/vaultwarden-$(date +%F).sqlite3'"
tar czf /backup/vw-files-$(date +%F).tgz data/attachments data/rsa_key*

Teste uma restauração pelo menos uma vez. Um backup que você nunca testou é apenas uma esperança.