Table of Contents

Vaultwarden - ghid de inițiere

Vaultwarden este un manager de parole ușor, găzduit de dumneavoastră, compatibil cu toți clienții Bitwarden – extensii de browser, aplicații mobile și desktop. Serverul vine complet configurat cu Vaultwarden, proxy invers Nginx și SSL. Doar deschideți seiful web, creați-vă contul și începeți să stocați parole.

Pasul 1 – Verificați funcționarea Vaultwarden

Adresa IP și parola root a serverului sunt afișate pe pagina Server Details din panoul clientului. Deschideți browserul și accesați:

https://your.server.ip

Dacă pagina de autentificare se încarcă, Vaultwarden funcționează corect.

Notă: Implicit, serverul folosește un certificat SSL autosemnat. Browserul va afișa un avertisment de securitate – faceți clic pe „Advanced” și continuați. Puteți instala ulterior un certificat Let’s Encrypt (Pasul 4).

Dacă ați plasat serverul în spatele unui router VyOS într-o rețea privată, configurați redirecționarea porturilor (80 și 443) sau conectați-vă prin VPN și accesați Vaultwarden pe IP-ul privat al serverului.

Pasul 2 – Crearea contului

Pe pagina de autentificare, faceți clic pe Create account. Introduceți adresa de e-mail, numele și alegeți o parolă principală.

Important: Parola principală criptează toate datele. Vaultwarden nu o stochează niciodată – dacă o pierdeți, datele nu pot fi recuperate. Alegeți o parolă puternică, ușor de reținut.

După înregistrare, autentificați-vă cu e-mailul și parola principală. Acesta este seiful personal în care puteți stoca parole, notițe, carduri și identități.

Pasul 3 – Conectarea clienților Bitwarden

Vaultwarden este compatibil cu toți clienții oficiali Bitwarden:

Înainte de autentificare, direcționați clientul către server:

  1. Pe ecranul de autentificare, faceți clic pe selectorul de regiune (sau pictograma roată dințată) și alegeți Self-hosted
  2. Introduceți URL-ul serverului: https://your.server.ip
  3. Salvați și autentificați-vă cu e-mailul și parola principală

După conectare, toate parolele se sincronizează automat pe toate dispozitivele.

Pasul 4 – Configurarea domeniului și SSL (recomandat)

Pentru cea mai bună experiență cu clienții Bitwarden, configurați un domeniu cu un certificat SSL adecvat:

1. Creați o înregistrare DNS A care indică domeniul către IP-ul serverului (de ex. vault.yourdomain.com → your.server.ip).

2. Conectați-vă la server prin SSH și rulați:

ssh root@your.server.ip
/opt/setup/get-ssl.sh vault.yourdomain.com

3. Actualizați configurația Vaultwarden:

sed -i "s|^DOMAIN=.*|DOMAIN=https://vault.yourdomain.com|" /opt/vaultwarden/.env
systemctl restart vaultwarden

4. Actualizați URL-ul serverului în clienții Bitwarden la https://vault.yourdomain.com.

Pasul 5 – Panou de administrare (opțional)

Vaultwarden include un panou de administrare pentru utilizatori, organizații și setările serverului. Pentru a-l activa, conectați-vă prin SSH și setați un token de administrator:

echo 'ADMIN_TOKEN=your-secret-token-here' >> /opt/vaultwarden/.env
systemctl restart vaultwarden

Apoi deschideți https://your.server.ip/admin și introduceți tokenul. Din panoul de administrare puteți:

  • Invita sau șterge utilizatori
  • Dezactiva înregistrarea liberă
  • Administra organizații
  • Vizualiza diagnosticarea serverului

După instalare

Fail2Ban – protecție împotriva atacurilor brute-force

Serverul dumneavoastră include Fail2Ban preconfigurat pentru a proteja atât SSH, cât și interfața web Vaultwarden împotriva atacurilor brute-force.

Regulă Încercări maxime Durata blocării
SSH5 autentificări eșuate10 minute
Vaultwarden5 autentificări eșuate1 oră

Comenzi utile:

# Check banned IPs
fail2ban-client status sshd
fail2ban-client status vaultwarden

# Unban an IP
fail2ban-client set sshd unbanip 1.2.3.4

Dacă vă blocați accidental, conectați-vă prin consola VNC din panoul clientului și deblocați-vă IP-ul.

Administrarea serviciilor

# Check status
systemctl status vaultwarden nginx

# Restart Vaultwarden
systemctl restart vaultwarden

# View logs
journalctl -u vaultwarden -f

# Edit config
nano /opt/vaultwarden/.env

# Backup database (SQLite)
cp /opt/vaultwarden/data/db.sqlite3 /root/vaultwarden-backup-$(date +%Y%m%d).sqlite3

Actualizări

Vaultwarden este instalat ca binar independent și nu se actualizează automat. Pentru actualizare, înlocuiți binarul cu o versiune mai nouă extrasă din imaginea Docker oficială:

# On a machine with Docker, extract the new binary:
docker pull vaultwarden/server:latest-alpine
CID=$(docker create vaultwarden/server:latest-alpine)
docker cp $CID:/vaultwarden /tmp/vaultwarden
docker rm $CID

# Copy to your server and replace:
scp /tmp/vaultwarden root@your.server.ip:/tmp/
ssh root@your.server.ip "systemctl stop vaultwarden && cp /tmp/vaultwarden /opt/vaultwarden/vaultwarden && chmod +x /opt/vaultwarden/vaultwarden && systemctl start vaultwarden"

Actualizări ale sistemului de operare:

apt update && apt upgrade -y

Software inclus

Componentă Detalii
Ubuntu24.04 LTS
VaultwardenCea mai recentă (bază de date SQLite)
NginxProxy invers cu SSL
CertbotLet’s Encrypt SSL
Fail2BanProtecție brute-force pentru SSH și Vaultwarden

Depanare

Problemă Soluție
Browserul afișează un avertisment SSL Este normal cu certificatul implicit autosemnat. Configurați un domeniu și rulați /opt/setup/get-ssl.sh vault.yourdomain.com pentru un certificat de încredere
Seiful web nu poate fi accesat Verificarea serviciilor: systemctl status vaultwarden nginx. Asigurați-vă că folosiți https:// (nu http)
Clientul Bitwarden nu se poate conecta Asigurați-vă că ați selectat „Self-hosted” în setările clientului și ați introdus URL-ul corect al serverului cu https://
Ați uitat parola principală Parola principală nu poate fi recuperată – așa este conceput (criptare zero-knowledge). Dacă ați activat panoul de administrare, puteți șterge contul și crea unul nou
Blocat de Fail2Ban Deblocați-vă IP-ul prin consola VNC din panoul clientului: fail2ban-client set sshd unbanip 1.2.3.4
Ați uitat parola root Resetați-o prin consola VNC din panoul clientului