Vaultwarden: o seu próprio cofre de palavras-passe

O Vaultwarden é um servidor leve para as aplicações e extensões de navegador do Bitwarden. As suas palavras-passe ficam assim no seu próprio VPS. Isso exige, no entanto, algum cuidado: se o servidor avariar ou se não tiver cópia de segurança, perde as suas palavras-passe.

Cada receita parte da pasta de trabalho /srv/diensten com Caddy de A sua pasta de trabalho com compose.yaml, .env e Caddy. Acrescenta um serviço a compose.yaml, um bloco ao Caddyfile e um registo A e AAAA para o nome (consulte Um registo A e AAAA em Os meus domínios).

1. DNS

Crie um registo A e AAAA para kluis.example.com.

2. compose.yaml

  vaultwarden:
    image: vaultwarden/server:1.37.5
    restart: unless-stopped
    environment:
      DOMAIN: "https://kluis.example.com"
      SIGNUPS_ALLOWED: "true"
      ADMIN_TOKEN: ${VW_ADMIN_TOKEN}
    volumes:
      - ./vw-data:/data

Consulte a página de versões do Vaultwarden para saber qual é a versão mais recente e indique-a na tag.

3. Caddyfile e arranque

kluis.example.com {
	reverse_proxy vaultwarden:80
}

anna@web1:/srv/diensten$ sudo docker compose up -d
anna@web1:/srv/diensten$ sudo docker compose exec -w /etc/caddy caddy caddy reload

4. O token de administração em .env

O ecrã de administração /admin é protegido com um token. Não coloque aí uma palavra-passe legível, mas sim um hash. Esse hash é criado com o próprio Vaultwarden, agora que o contentor está em execução:

anna@web1:/srv/diensten$ sudo docker compose exec vaultwarden /vaultwarden hash
Password:
Confirm Password:

ADMIN_TOKEN='$argon2id$v=19$m=65540,t=3,p=4$...'

Em .env, coloque a linha VW_ADMIN_TOKEN='$argon2id$...', com aspas simples. Reinicie o contentor com sudo docker compose up -d. Para iniciar sessão em /admin, utilize a palavra-passe que escreveu, não o hash.

5. Fechar o registo

1. Abra https://kluis.example.com e crie a sua própria conta, bem como as da sua família ou dos seus colegas.
2. Em compose.yaml, defina SIGNUPS_ALLOWED: "false".
3. Execute sudo docker compose up -d.

A partir daí, convida novas pessoas através do ecrã de administração. Se pretender que os convites sejam enviados por e-mail, configure o SMTP através de uma caixa de correio na porta 587 (consulte DNS inverso e envio de e-mail a partir do seu VPS).

Cópia de segurança

Tudo fica na pasta /srv/diensten/vw-data: a base de dados, os anexos e as chaves. Inclua-a na sua cópia de segurança com restic (consulte Incluir corretamente bases de dados e volumes Docker na cópia de segurança) e teste o restauro. A wiki do Vaultwarden descreve como copiar a base de dados em segurança enquanto está em execução.

Dica: As suas aplicações e extensões de navegador guardam uma cópia do seu cofre. Se o servidor ficar temporariamente indisponível, continua a poder ler as suas palavras-passe, mas não a alterá-las.