Vaultwarden — свой менеджер паролей для команды и семьи

Пароли команды в общей таблице или в чате — это вопрос времени, когда они утекут. Облачные менеджеры паролей решают задачу, но данные лежат у чужой компании, а за каждого пользователя — подписка.

Vaultwarden — сервер паролей, который работает с официальными приложениями Bitwarden: браузерные расширения, телефоны, компьютеры, автозаполнение. Всё хранится на вашем сервере, пользователей — сколько нужно.

Что получаете

• Vaultwarden 1.37.4 — последняя стабильная версия. Другую можно выбрать при установке.
• Свой адрес с HTTPS — сертификат Let's Encrypt выпускается и продлевается сам. Или порт за вашим nginx/Traefik.
• Приложения Bitwarden на Windows, macOS, Linux, Android, iOS и в браузерах: в настройках выбираете «Self-hosted» и вводите свой адрес.
• Админка /admin с готовым токеном: пользователи, приглашения, почта, политики.
• Закрытая регистрация по умолчанию: войдут только те, кого вы пригласили.
• Организации и коллекции: общие пароли для отделов и проектов, личные — остаются личными.
• Бэкапы одной командой — база, вложения и ключи в одном архиве, хранятся последние 14.
• Доступ только с ваших IP — офис, VPN. Остальным закрыто, меняется на лету.
• Обновление одной командой: сначала бэкап, потом новая версия.

Кому подойдёт

• Небольшой команде или компании, которая хочет уйти от паролей в чатах и таблицах.
• Семье: общие пароли от сервисов, у каждого свой сейф.
• Тем, кто не хочет отдавать пароли облачному сервису или платить за каждого пользователя.

Как установить

1. Подготовьте сервер с Ubuntu или Debian — подойдёт самый недорогой VPS. Направьте A-запись домена, например pass.example.com, на IP сервера.
2. Скопируйте команду из блока «Скачать» — он появится после входа. В команде ваш личный токен, он действует 12 часов.
3. Выполните её на сервере и ответьте на вопросы:

Language / Язык (en / ru) [en]: ru
Версия Vaultwarden (последняя стабильная: 1.37.4) [1.37.4]:
Каталог установки (данные, настройки, бэкапы) [/opt/vaultwarden]:
Режим: public — свой домен с HTTPS (Let's Encrypt), local — порт на этом сервере для вашего прокси (public / local) [local]: public
Домен (A-запись должна указывать на этот сервер): pass.example.com
Email для Let's Encrypt: admin@example.com
Пускать только с этих IP/подсетей:
Открытая регистрация для всех? (no — только приглашённые из админки) (yes/no) [no]: no

4. Создайте первого пользователя. В конце установщик покажет адрес и токен админки. Откройте https://pass.example.com/admin → Users → Invite user → свой email, затем зарегистрируйтесь на https://pass.example.com с этим email.
5. Подключите приложения: Bitwarden → «Self-hosted» → https://pass.example.com.

Системные требования

• Права root (sudo). Docker поставится сам.
• Для режима с доменом: A-запись на сервер и свободные порты 80 и 443.
• HTTPS обязателен: приложения Bitwarden и веб-интерфейс не работают по http. В режиме local нужен ваш прокси с TLS.
• Доступ к Docker Hub. Если он заблокирован, добавьте зеркало: RS_REGISTRY_MIRROR=https://mirror.gcr.io.

Управление после установки

rs vaultwarden status            версия, адрес, регистрация, число бэкапов
rs vaultwarden backup            бэкап в /opt/vaultwarden/backups
rs vaultwarden upgrade [версия]  бэкап → новая версия (по умолчанию последняя стабильная)
rs vaultwarden admin-token       новый токен админки
rs vaultwarden access "203.0.113.10, 10.0.0.0/8"   пускать только эти IP (off — снять)
rs vaultwarden logs | restart | uninstall

Повторный запуск установки безопасен: пароли, пользователи и токен админки сохраняются, версия не меняется.

Безопасность

• Пароли шифруются на устройстве мастер-паролем: на сервере хранятся только зашифрованные данные.
• Токен админки открывает управление пользователями. Храните его в менеджере паролей; новый — rs vaultwarden admin-token.
• Включите двухфакторный вход в настройках аккаунта (TOTP-приложение, ключ FIDO2).
• Делайте бэкапы и копируйте их за пределы сервера.

Вопросы

Сколько стоит? Установка бесплатная. Vaultwarden — открытый проект (AGPL-3.0), без оплаты за пользователей. Это неофициальная реализация сервера, не связанная с Bitwarden Inc.

Чем отличается от Bitwarden? Те же приложения, но сервер легче: один контейнер и 512 МБ памяти, официальному серверу Bitwarden нужно заметно больше.

Нет домена? Выберите local и поставьте свой прокси с HTTPS — без него приложения не подключатся.

Письма с приглашениями? Почту (SMTP) можно настроить в админке. Без неё приглашение просто разрешает пользователю зарегистрироваться.