एक पासवर्ड मैनेजर वह एक ऐप है जो सब कुछ जानता है — हर लॉगिन, हर रिकवरी कोड, आपका हर सीक्रेट। ज़्यादातर लोग उसे एक तीसरे-पक्ष क्लाउड को सौंपते हैं और उम्मीद करते हैं। आप बजाय इसके इसे ख़ुद चला सकते हैं, एक बॉक्स पर जिसे आप नियंत्रित करते हैं। Vaultwarden एक हल्का, Bitwarden-संगत सर्वर है जो ठीक वही करता है। यहाँ इसे सही करने का ईमानदार संस्करण है — उस हिस्से समेत जहाँ आप सुरक्षा टीम बन जाते हैं।
Vaultwarden क्या है
यह एक छोटा, स्व-होस्टेड सर्वर है जो Bitwarden प्रोटोकॉल बोलता है। आप आधिकारिक Bitwarden ऐप्स और ब्राउज़र एक्सटेंशन इस्तेमाल करते रहते हैं — आप बस उन्हें सार्वजनिक क्लाउड के बजाय अपने सर्वर की ओर इंगित करते हैं। यह हल्का होने के लिए लिखा है: यह एक 1 GB बॉक्स पर आराम से चलता है और आपको बमुश्किल नोटिस करता है।
इसे स्व-होस्ट क्यों करें
आपका वॉल्ट आपके इंफ़्रास्ट्रक्चर पर रहता है। कोई तीसरा पक्ष आपका एन्क्रिप्ट किया डेटा नहीं रखता, किसी और का उल्लंघन आपकी समस्या नहीं, और आप बैकअप और एक्सेस नीति तय करते हैं। एक निजता-मन वाले व्यक्ति के लिए, वह नियंत्रण ही मक़सद है। बदले में, अपटाइम और बैकअप अब आपके अपने हैं — जिस पर हम ईमानदारी से आएँगे।
सेटअप
एक छोटा बॉक्स। 1 GB RAM काफ़ी है। डिस्क ज़रूरतें नन्ही हैं — एक वॉल्ट टेक्स्ट है।
Docker, एक स्थायी वॉल्यूम के साथ। Vaultwarden कंटेनर चलाएँ और इसके डेटा के लिए एक वॉल्यूम माउंट करें। वह वॉल्यूम आपका पूरा वॉल्ट है; इसे रीस्टार्ट, अपडेट और रीबूट झेलना होगा।
services:
vaultwarden:
image: vaultwarden/server:latest
restart: unless-stopped
volumes:
- ./vw-data:/data
environment:
- SIGNUPS_ALLOWED=true # रजिस्टर करने के बाद इसे बंद करें
ports:
- "127.0.0.1:8080:80"
HTTPS ग़ैर-समझौता योग्य है किसी भी सीक्रेट रखती चीज़ के लिए। अपने डोमेन पर TLS समाप्त करने के लिए सामने एक रिवर्स प्रॉक्सी रखें। Caddy एक मुफ़्त प्रमाणपत्र अपने आप लाता है:
vault.yourdomain.com {
reverse_proxy 127.0.0.1:8080
}
vault.yourdomain.com को अपने VPS की ओर इंगित करें। चूँकि एक सीक्रेट्स सर्वर को अपना ख़ुद का सार्वजनिक HTTPS एंडपॉइंट चाहिए, यह एक डेडिकेटेड-IP प्लान चाहता है — एक NAT बॉक्स, सिर्फ़ एक फ़ॉरवर्ड किए SSH पोर्ट के साथ, इसे सर्व नहीं कर सकता।
इसका ऐसे बैकअप लें जैसे यह अपूरणीय हो — क्योंकि यह है
डेटा वॉल्यूम ही आपका वॉल्ट है। अगर डिस्क मरे और आपके पास कोई प्रति नहीं, हर पासवर्ड उसके साथ चला गया। यह यहाँ सबसे अहम एक क़दम है, किसी भी ट्यूनिंग से ज़्यादा: उस वॉल्यूम का एक नियमित बैकअप बॉक्स से बाहर कहीं — किसी अन्य मशीन, ऑब्जेक्ट स्टोरेज, आपके ख़ुद के लैपटॉप — पर स्वचालित करें। सर्वर को किसी असली चीज़ पर भरोसा करने से पहले यह करें।
इसे कड़ाई से बंद करें
यह बॉक्स आपके सारे पासवर्ड रखता है, तो इसे वैसा ही मानें:
- रजिस्टर करने के बाद साइनअप बंद करें।
SIGNUPS_ALLOWED=falseसेट करें और रीस्टार्ट करें, ताकि कोई और आपके सर्वर पर एक अकाउंट न बना सके। - सिर्फ़-कुंजी SSH, 443 और अपने SSH पोर्ट तक फ़ायरवॉल। (दस-मिनट चेकलिस्ट।)
- इसे पैच रखें। नई इमेज नियमित रूप से खींचें — एक सीक्रेट्स सर्वर एक सार्थक लक्ष्य है।
ईमानदार सीमाएँ
- आप अब सुरक्षा टीम हैं उस चीज़ के लिए जो आपके सारे पासवर्ड रखती है। यह असली ज़िम्मेदारी है, एक नारा नहीं — इसे गंभीरता से लें या इसे स्व-होस्ट न करें।
- कोई बैकअप न होना मतलब एक डिस्क विफलता सब खोने से दूर। कोई undo नहीं। यह ग़ैर-समझौता योग्य है।
- सार्वजनिक होने पर यह एक लक्ष्य है। Auth, पैचिंग, और बंद साइनअप वे हैं जो इसे उबाऊ रखते हैं।
- अगर आप इसका मालिक नहीं बनना चाहें, एक प्रतिष्ठित प्रबंधित मैनेजर एक पूरी तरह वैध चुनाव है। स्व-होस्टिंग नियंत्रण ख़रीदती है, और नियंत्रण की एक रखरखाव लागत है — यह जानकर जाएँ।
इसके लिए भुगतान
एक ईमेल से साइन अप करें और USDC या USDT में भुगतान करें — कोई कार्ड नहीं, कोई ID नहीं। उपयुक्त, उस बॉक्स के लिए जो बाक़ी सब की चाबियाँ किसी पहचान के निशान से दूर रखता है।
टिप्पणियाँ
अभी तक कोई टिप्पणी नहीं। पहले बनें।