Autoaloja tus contraseñas: Vaultwarden en un VPS

Un gestor de contraseñas es la única app que lo sabe todo — cada login, cada código de recuperación, cada secreto que tienes. La mayoría de la gente entrega eso a una nube de terceros y espera. Puedes en su lugar ejecutarlo tú mismo, en una máquina que controlas. Vaultwarden es un servidor ligero, compatible con Bitwarden, que hace exactamente eso. Aquí está la versión honesta de hacerlo bien — incluida la parte donde te conviertes en el equipo de seguridad.

Qué es Vaultwarden

Es un servidor pequeño y autoalojado que habla el protocolo de Bitwarden. Sigues usando las apps oficiales de Bitwarden y las extensiones de navegador — simplemente las apuntas a tu servidor en lugar de la nube pública. Está escrito para ser ligero: corre cómodamente en una máquina de 1 GB y apenas te nota.

Por qué autoalojarlo

Tu bóveda vive en tu infraestructura. Ningún tercero tiene tus datos cifrados, el brecha de nadie más es tu problema, y tú fijas la política de copias y acceso. Para una persona con mentalidad de privacidad, ese control es el punto. A cambio, la disponibilidad y las copias son ahora tuyas de poseer — a lo que llegaremos con honestidad.

La configuración

Una máquina pequeña. 1 GB de RAM es suficiente. Las necesidades de disco son diminutas — una bóveda es texto.

Docker, con un volumen persistente. Ejecuta el contenedor de Vaultwarden y monta un volumen para sus datos. Ese volumen es tu bóveda entera; debe sobrevivir a reinicios, actualizaciones y reinicios del sistema.

services:
  vaultwarden:
    image: vaultwarden/server:latest
    restart: unless-stopped
    volumes:
      - ./vw-data:/data
    environment:
      - SIGNUPS_ALLOWED=true   # apaga esto después de registrarte
    ports:
      - "127.0.0.1:8080:80"

HTTPS no es negociable para cualquier cosa que tenga secretos. Pon un reverse-proxy delante para terminar TLS en tu dominio. Caddy obtiene un certificado gratis automáticamente:

vault.yourdomain.com {
    reverse_proxy 127.0.0.1:8080
}

Apunta vault.yourdomain.com a tu VPS. Como un servidor de secretos necesita su propio endpoint HTTPS público, esto quiere un plan con IP dedicada — una máquina NAT, con solo un puerto SSH reenviado, no puede servirlo.

Haz copia de seguridad como si fuera irremplazable — porque lo es

El volumen de datos es tu bóveda. Si el disco muere y no tienes copia, cada contraseña se va con él. Este es el único paso más importante aquí, más que cualquier afinado: automatiza una copia regular de ese volumen a algún sitio fuera de la máquina — otra máquina, object-storage, tu propio portátil. Haz esto antes de confiar al servidor nada real.

Ciérralo con fuerza

Esta máquina tiene todas tus contraseñas, así que trátala así:

• Cierra los registros después de registrarte. Fija SIGNUPS_ALLOWED=false y reinicia, para que nadie más pueda crear una cuenta en tu servidor.
• SSH solo con claves, firewall al 443 y tu puerto SSH. (La checklist de diez minutos.)
• Mantenlo parcheado. Descarga imágenes nuevas con regularidad — un servidor de secretos es un objetivo que vale la pena.

Los límites honestos

• Ahora eres el equipo de seguridad de la cosa que tiene todas tus contraseñas. Esa es responsabilidad real, no un eslogan — tómalo en serio o no autoalojes este.
• Sin copia de seguridad significa un fallo de disco de perderlo todo. No hay deshacer. Esto no es negociable.
• Es un objetivo una vez que es público. Auth, parcheo y registros cerrados son lo que lo mantiene aburrido.
• Si prefieres no poseer esto, un gestor gestionado reputado es una elección completamente legítima. Autoalojar compra control, y el control tiene un coste de mantenimiento — entra sabiendo eso.

El pago

Regístrate con un correo y paga en USDC o USDT — sin tarjeta, sin documento. Acorde, para la máquina que mantiene las llaves de todo lo demás fuera de cualquier rastro de identidad.