Vaultwarden: din egen adgangskodeboks

Vaultwarden er en let server til Bitwardens apps og browserudvidelser. Dine adgangskoder ligger så på din egen VPS. Det kræver dog omhu: Hvis din server går i stykker, eller din backup mangler, mister du dine adgangskoder.

Hver opskrift bygger videre på arbejdsmappen /srv/diensten med Caddy fra Din arbejdsmappe med compose.yaml, .env og Caddy. Du tilføjer en service til compose.yaml, en blok til Caddyfile og en A- og AAAA-record for navnet (se En A- og AAAA-post i Mine domæner).

1. DNS

Opret en A- og AAAA-record for kluis.example.com.

2. compose.yaml

  vaultwarden:
    image: vaultwarden/server:1.37.5
    restart: unless-stopped
    environment:
      DOMAIN: "https://kluis.example.com"
      SIGNUPS_ALLOWED: "true"
      ADMIN_TOKEN: ${VW_ADMIN_TOKEN}
    volumes:
      - ./vw-data:/data

Se på Vaultwardens udgivelsesside, hvilken version der er den nyeste, og skriv den i tagget.

3. Caddyfile og start

kluis.example.com {
	reverse_proxy vaultwarden:80
}

anna@web1:/srv/diensten$ sudo docker compose up -d
anna@web1:/srv/diensten$ sudo docker compose exec -w /etc/caddy caddy caddy reload

4. Admin-tokenet i .env

Administrationssiden /admin beskytter du med et token. Skriv ikke en læsbar adgangskode i det, men en hash. Den hash laver du med Vaultwarden selv, nu hvor containeren kører:

anna@web1:/srv/diensten$ sudo docker compose exec vaultwarden /vaultwarden hash
Password:
Confirm Password:

ADMIN_TOKEN='$argon2id$v=19$m=65540,t=3,p=4$...'

Skriv linjen VW_ADMIN_TOKEN='$argon2id$...' i .env, med enkelte anførselstegn. Genstart containeren med sudo docker compose up -d. Du logger ind på /admin med den adgangskode, du skrev, ikke med hashen.

5. Luk for registrering

1. Åbn https://kluis.example.com, og opret din egen konto og kontiene til din familie eller dine kolleger.
2. Sæt SIGNUPS_ALLOWED: "false" i compose.yaml.
3. Kør sudo docker compose up -d.

Nye personer inviterer du derefter via administrationssiden. Vil du have, at invitationer sendes med mail, skal du sætte SMTP op via en postkasse på port 587 (se Reverse DNS og afsendelse af mail fra din VPS).

Backup

Alt ligger i mappen /srv/diensten/vw-data: databasen, vedhæftede filer og nøgler. Tag den med i din restic-backup (se Sådan tager du databaser og Docker-volumes korrekt med i backuppen), og test gendannelsen. Vaultwardens wiki beskriver, hvordan du kopierer databasen sikkert, mens den kører.

Tip: Dine apps og browserudvidelser gemmer en kopi af din boks. Er din server nede et øjeblik, kan du stadig læse dine adgangskoder, men ikke ændre dem.