Vaultwarden: ditt eget passordhvelv

Vaultwarden er en lett server for appene og nettleserutvidelsene til Bitwarden. Passordene dine ligger da på din egen VPS. Det krever likevel omtanke: hvis serveren din går i stykker eller sikkerhetskopien mangler, mister du passordene dine.

Hver oppskrift bygger videre på arbeidsmappen /srv/diensten med Caddy fra Arbeidsmappen din med compose.yaml, .env og Caddy. Du legger til en tjeneste i compose.yaml, en blokk i Caddyfile, og en A- og AAAA-post for navnet (se En A- og AAAA-post i Mine domener).

1. DNS

Lag en A- og AAAA-post for kluis.example.com.

2. compose.yaml

  vaultwarden:
    image: vaultwarden/server:1.37.5
    restart: unless-stopped
    environment:
      DOMAIN: "https://kluis.example.com"
      SIGNUPS_ALLOWED: "true"
      ADMIN_TOKEN: ${VW_ADMIN_TOKEN}
    volumes:
      - ./vw-data:/data

Sjekk på utgivelsessiden til Vaultwarden hvilken versjon som er den nyeste, og sett den inn i taggen.

3. Caddyfile og oppstart

kluis.example.com {
	reverse_proxy vaultwarden:80
}

anna@web1:/srv/diensten$ sudo docker compose up -d
anna@web1:/srv/diensten$ sudo docker compose exec -w /etc/caddy caddy caddy reload

4. Administrasjonstokenet i .env

Administrasjonssiden /admin sikrer du med et token. Ikke legg inn et lesbart passord der, men en hash. Den hashen lager du med Vaultwarden selv, nå som containeren kjører:

anna@web1:/srv/diensten$ sudo docker compose exec vaultwarden /vaultwarden hash
Password:
Confirm Password:

ADMIN_TOKEN='$argon2id$v=19$m=65540,t=3,p=4$...'

Legg inn linjen VW_ADMIN_TOKEN='$argon2id$...' i .env, med enkle anførselstegn. Start containeren på nytt med sudo docker compose up -d. Du logger inn på /admin med passordet du skrev inn, ikke med hashen.

5. Steng registreringen

1. Åpne https://kluis.example.com og opprett din egen konto, og kontoene til familien eller kollegaene dine.
2. Sett SIGNUPS_ALLOWED: "false" i compose.yaml.
3. Kjør sudo docker compose up -d.

Nye personer inviterer du deretter via administrasjonssiden. Vil du at invitasjoner skal sendes på e-post, setter du opp SMTP via en e-postkonto på port 587 (se Omvendt DNS og sending av e-post fra VPS-en din).

Sikkerhetskopi

Alt ligger i mappen /srv/diensten/vw-data: databasen, vedleggene og nøklene. Ta den med i restic-sikkerhetskopien din (se Ta med databaser og Docker-volumer på riktig måte) og test gjenopprettingen. Wikien til Vaultwarden beskriver hvordan du kopierer databasen trygt mens den kjører.

Tips: Appene og nettleserutvidelsene dine lagrer en kopi av hvelvet ditt. Faller serveren ut en stund, kan du fortsatt lese passordene dine, men ikke endre dem.