Găzduiește-ți singur parolele: Vaultwarden pe un VPS

Un manager de parole e singura aplicație care știe tot — fiecare login, fiecare cod de recuperare, fiecare secret pe care îl ai. Cei mai mulți îl predau unui cloud terț și speră. În schimb, îl poți rula singur, pe o mașină pe care o controlezi. Vaultwarden e un server ușor, compatibil cu Bitwarden, care face exact asta. Iată versiunea cinstită a modului corect de a o face — inclusiv partea în care devii echipa de securitate.

Ce e Vaultwarden

E un server mic, găzduit de tine, care vorbește protocolul Bitwarden. Folosești în continuare aplicațiile oficiale Bitwarden și extensiile de browser — doar le îndrepți spre serverul tău în loc de cloudul public. E scris să fie ușor: rulează comod pe o mașină de 1 GB și abia te observă.

De ce să-l găzduiești singur

Seiful tău stă pe infrastructura ta. Niciun terț nu-ți ține datele criptate, breșa altcuiva nu e problema ta, iar politica de backup și de acces o stabilești tu. Pentru o persoană atentă la intimitate, controlul ăsta e chiar ideea. În schimb, disponibilitatea și backup-urile sunt acum ale tale — despre asta vom vorbi cinstit.

Configurarea

O mașină mică. 1 GB de RAM ajunge. Nevoile de disc sunt minuscule — un seif e text.

Docker, cu un volum persistent. Rulează containerul Vaultwarden și montează un volum pentru datele lui. Volumul acela e tot seiful tău; trebuie să supraviețuiască repornirilor, actualizărilor și reboot-urilor.

services:
  vaultwarden:
    image: vaultwarden/server:latest
    restart: unless-stopped
    volumes:
      - ./vw-data:/data
    environment:
      - SIGNUPS_ALLOWED=true   # turn this off after you register
    ports:
      - "127.0.0.1:8080:80"

HTTPS e nenegociabil pentru orice ține secrete. Pune în față un reverse proxy care termină TLS pe domeniul tău. Caddy obține automat un certificat gratuit:

vault.yourdomain.com {
    reverse_proxy 127.0.0.1:8080
}

Îndreaptă vault.yourdomain.com spre VPS. Pentru că un server de secrete are nevoie de propriul punct HTTPS public, îți trebuie un plan cu IP dedicat — o mașină NAT, cu un singur port SSH redirecționat, nu-l poate servi.

Fă-i backup ca și cum ar fi de neînlocuit — pentru că este

Volumul de date este seiful tău. Dacă discul moare și n-ai o copie, toate parolele dispar odată cu el. Ăsta e cel mai important pas de aici, mai important decât orice ajustare: automatizează un backup regulat al volumului într-un loc din afara mașinii — altă mașină, object storage, propriul laptop. Fă asta înainte să încredințezi serverului ceva real.

Închide-l bine

Mașina asta ține toate parolele, așa că tratează-o ca atare:

• Închide înregistrările după ce te-ai înregistrat. Setează SIGNUPS_ALLOWED=false și repornește, ca nimeni altcineva să nu-și poată crea cont pe serverul tău.
• SSH doar cu chei, firewall deschis doar pentru 443 și portul tău SSH. (Lista de zece minute.)
• Ține-l la zi. Descarcă regulat imaginile noi — un server de secrete e o țintă care merită atacată.

Limitele cinstite

• Acum ești echipa de securitate pentru lucrul care îți ține toate parolele. E o responsabilitate reală, nu un slogan — ia-o în serios sau nu găzdui singur tocmai asta.
• Fără backup, ești la o cădere de disc distanță de a pierde tot. Nu există anulare. Asta e nenegociabil.
• Odată public, devine o țintă. Autentificarea, actualizările și înregistrările închise îl țin plictisitor.
• Dacă preferi să nu deții asta, un manager administrat de încredere e o alegere complet legitimă. Găzduirea proprie cumpără control, iar controlul are un cost de întreținere — intră știind asta.

Plata

Te înregistrezi cu un e-mail și plătești în USDC sau USDT — fără card, fără act de identitate. Potrivit pentru mașina care ține cheile spre tot restul departe de orice urmă de identitate.

Vezi planul și comandă un VPS →