Vaultwarden: la Sua cassaforte personale per le password

Vaultwarden è un server leggero per le app e le estensioni del browser di Bitwarden. Le Sue password si trovano così sul Suo VPS. Questo richiede però attenzione: se il server si guasta o manca il backup, perde le Sue password.

Ogni ricetta si basa sulla cartella di lavoro /srv/diensten con Caddy da La Sua cartella di lavoro con compose.yaml, .env e Caddy. Aggiunga un servizio a compose.yaml, un blocco al Caddyfile e un record A e AAAA per il nome (vedere Un record A e AAAA in I miei domini).

1. DNS

Crei un record A e AAAA per kluis.example.com.

2. compose.yaml

  vaultwarden:
    image: vaultwarden/server:1.37.5
    restart: unless-stopped
    environment:
      DOMAIN: "https://kluis.example.com"
      SIGNUPS_ALLOWED: "true"
      ADMIN_TOKEN: ${VW_ADMIN_TOKEN}
    volumes:
      - ./vw-data:/data

Controlli sulla pagina delle release di Vaultwarden qual è la versione più recente e la inserisca nel tag.

3. Caddyfile e avvio

kluis.example.com {
	reverse_proxy vaultwarden:80
}

anna@web1:/srv/diensten$ sudo docker compose up -d
anna@web1:/srv/diensten$ sudo docker compose exec -w /etc/caddy caddy caddy reload

4. Il token di amministrazione in .env

La schermata di amministrazione /admin si protegge con un token. Non vi inserisca una password leggibile, ma un hash. L'hash si genera con Vaultwarden stesso, ora che il container è in esecuzione:

anna@web1:/srv/diensten$ sudo docker compose exec vaultwarden /vaultwarden hash
Password:
Confirm Password:

ADMIN_TOKEN='$argon2id$v=19$m=65540,t=3,p=4$...'

In .env inserisca la riga VW_ADMIN_TOKEN='$argon2id$...', con gli apici singoli. Riavvii il container con sudo docker compose up -d. Per accedere a /admin usi la password che ha digitato, non l'hash.

5. Chiudere la registrazione

1. Apra https://kluis.example.com e crei il Suo account, oltre a quelli dei Suoi familiari o colleghi.
2. In compose.yaml imposti SIGNUPS_ALLOWED: "false".
3. Esegua sudo docker compose up -d.

In seguito potrà invitare nuove persone tramite la schermata di amministrazione. Se desidera che gli inviti vengano inviati per e-mail, configuri l'SMTP tramite una casella di posta sulla porta 587 (vedere Reverse DNS e invio di e-mail dal Suo VPS).

Backup

Tutto si trova nella cartella /srv/diensten/vw-data: il database, gli allegati e le chiavi. La includa nel Suo backup con restic (vedere Salvare correttamente database e volumi Docker) e verifichi il ripristino. Il wiki di Vaultwarden descrive come copiare il database in modo sicuro mentre è in esecuzione.

Suggerimento: Le Sue app ed estensioni del browser conservano una copia della Sua cassaforte. Se il server si ferma per un momento, potrà ancora leggere le Sue password, ma non modificarle.