Hosten Sie Ihren Passwort-Tresor auf einem privaten VPS
Wählen Sie Bitwarden oder Vaultwarden, sichern Sie den HTTPS-Endpunkt und richten Sie eine getestete Backup-Routine für Ihr wichtigstes Konto ein.
Auf einen Blick
Ein selbst gehosteter Passwort-Tresor benötigt geschützten Transport, eingeschränkte Registrierung, sichere Administration und einen getesteten Wiederherstellungsprozess. Bitwarden und die Community-Implementierung Vaultwarden haben unterschiedliche Dokumentations- und Supportmodelle. Befolgen Sie die Anforderungen des gewählten Projekts und überprüfen Sie, dass Backups die zur Wiederherstellung des Tresors erforderlichen Informationen erhalten.
Entscheiden Sie, ob Sie die betriebliche Verantwortung übernehmen möchten
Ein Passwort-Tresor kann viele andere Konten entsperren, daher verdienen seine Verfügbarkeit und Sicherheit eine bewusste Planung. Bitwarden-Clients verschlüsseln Tresordaten, bevor sie sie synchronisieren. Wenn Sie das Backend selbst hosten, ändert sich, wo die verschlüsselten Daten und Dienst-Metadaten liegen; die Bedeutung eines starken Master-Passworts und sicherer Client-Geräte entfällt dadurch nicht.
Sie gewinnen Kontrolle über Bereitstellung, Aufbewahrung und Zugriffsrichtlinie, während Sie Verantwortung für Patches, Backups und Wiederherstellung übernehmen. Eine kleine private Instanz kann weniger breite Aufmerksamkeit auf sich ziehen als ein großer gemeinsamer Dienst, aber eine Fehlkonfiguration kann sie stärker exponieren. Wählen Sie Selbst-Hosting, weil Sie es warten können, nicht weil jedes selbst gehostete System automatisch sicherer ist.
Wählen Sie das Backend und prüfen Sie die Kompatibilität
Bitwarden bietet offizielle Selbst-Hosting-Optionen mit dokumentierten Anforderungen, einschließlich verschiedener Bereitstellungsformate. Vergleichen Sie die aktuellen Ressourcen- und Funktionsanforderungen, anstatt anzunehmen, dass jede offizielle Installation denselben großen Stack benötigt.
Vaultwarden ist eine separate, inoffizielle Implementierung, die mit Bitwarden-Clients kompatibel ist. Sein leichtgewichtiges Design ist attraktiv für eine persönliche oder familiäre Instanz, aber Funktionskompatibilität und Release-Zeitpunkt können abweichen. Die Sicherheitsversprechen und Audits offizieller Produkte sollten nicht automatisch diesem unabhängigen Backend zugeschrieben werden.
Bereiten Sie Server, Namen und Zugriffspfad vor
Ein kleiner Linux-VPS mit 1 vCPU und 2 GB RAM kann ein Ausgangspunkt für eine bescheidene Vaultwarden-Instanz sein; Anhänge und andere Arbeitslasten bestimmen den Speicherbedarf. Voller Root-Zugriff ermöglicht die Konfiguration, aber der Hypervisor bleibt unter der Kontrolle des Hosting-Betreibers.
Richten Sie einen dedizierten Hostnamen mit geeigneten A- und, falls unterstützt und getestet, AAAA-Einträgen auf den Server. Planen Sie gültige HTTPS, geschützte Administration und einen Wiederherstellungsweg. Domain-Registrierung, Zertifikatskontaktinformationen und E-Mail-Adressen der Nutzer können Verknüpfungen über die Hosting-Anmeldung hinaus offenlegen.
Bereitstellung mit persistentem Speicher und lokalem Backend
Aktualisieren Sie das Betriebssystem und richten Sie schlüsselbasierte Administration ein, bevor Sie den Tresor hinzufügen. Verwenden Sie das gepflegte Image des Vaultwarden-Projekts oder eine vom Projekt dokumentierte Installationsmethode. Binden Sie den Datenspeicherort persistent ein, damit das Ersetzen eines Containers den Dienst nicht löscht.
Belassen Sie das Anwendungs-Backend auf localhost oder einem privaten Containernetzwerk und platzieren Sie dann Caddy oder Nginx davor für HTTPS. Stellen Sie sicher, dass der Container-Port nicht versehentlich durch die Netzwerkregeln von Docker freigelegt wird. Öffnen Sie nur die Dienste, die für Benutzer, Zertifikate und Ihre gewählte Verwaltungsroute benötigt werden.
Registrierung schließen und jedes Konto schützen
Erstellen Sie Ihr gewünschtes Konto über einen kontrollierten Onboarding-Prozess und setzen Sie dann SIGNUPS_ALLOWED=false. Verwalten Sie zusätzliche Benutzer über ausdrückliche Einladungen oder einen geschützten Administrationsablauf. Legen Sie die Dienst-URL korrekt fest, damit Clients und Links den vorgesehenen Endpunkt HTTPS verwenden.
Schützen Sie jedes Administrationstoken separat und befolgen Sie die Projektvorgaben für dessen sichere Darstellung. Verwenden Sie ein starkes Master-Passwort und aktivieren Sie eine geeignete Zwei-Faktor-Authentifizierung für jedes Konto. Bewahren Sie Wiederherstellungscodes außerhalb des Tresors selbst auf; das nicht verfügbare Tresor zur Wiederherstellung zu benötigen, erzeugt eine zirkuläre Abhängigkeit.
Die Beispiel-URL ist absichtlich nicht funktionsfähig. Ersetzen Sie sie durch den Hostnamen und das Zertifikat, die Sie konfiguriert haben.
DOMAIN=https://vault.example.invalid
SIGNUPS_ALLOWED=falseSichern Sie einen konsistenten Datensatz
Das Backup erfordert mehr als eine beiläufige Kopie einer laufenden SQLite-Datei. Verwenden Sie eine unterstützte Online-Backup-Methode oder ein kontrolliertes Verfahren mit gestopptem Dienst. Beziehen Sie Anhänge und die Konfiguration oder Schlüssel ein, die Ihre gewählte Installation erfordert, statt anzunehmen, dass die Datenbank jede Datei enthält.
Verschlüsseln Sie das Archiv, bevor Sie es vom Server übertragen, insbesondere wenn die Konfiguration SMTP-Anmeldedaten oder ein Administrationstoken enthält. Bewahren Sie eine Kopie außerhalb des Servers und den Backup-Entschlüsselungsschlüssel getrennt auf. Datenbankalternativen wie PostgreSQL benötigen ihr eigenes konsistentes Dump-Verfahren.
- Sichern Sie die Datenbank über eine unterstützte konsistente Methode.
- Beziehen Sie Anhänge und relevante persistente Dienstdateien ein.
- Verschlüsseln Sie Archive, bevor sie den VPS verlassen.
- Bewahren Sie mindestens eine unabhängige Kopie außerhalb des Servers auf.
- Testen Sie Wiederherstellung und Client-Synchronisierung in einer isolierten Umgebung.
Software aktuell halten und unnötige Exposition begrenzen
Verfolgen Sie Vaultwarden-Releases und die von Ihnen verwendeten Client-Versionen. Wenden Sie Host-Sicherheitsupdates an und prüfen Sie Anwendungsänderungen vor dem Rollout; blindes Container-Ersetzen ist ein schlechter Ersatz für einen getesteten Upgrade- und Wiederherstellungsplan. Überprüfen Sie nach jeder Änderung den Zustand und die Backups.
Ratenbegrenzung, sichere Proxy-Header und angemessenes Monitoring können helfen, unerwünschte Anmeldeversuche zu erkennen. Ein Haushaltsdienst kann auf ein VPN beschränkt werden, wenn jeder Client ihn auf diesem Weg zuverlässig erreichen kann. Testen Sie mobilen Zugriff und Wiederherstellung, bevor Sie die öffentliche Erreichbarkeit entfernen. Wählen Sie eine begrenzte Protokollierung bewusst, statt alle Diagnosen zu opfern.
Anwendungsdatenschutz mit Hosting-Datenschutz verbinden
Minimale Kontodaten können die mit dem VPS-Profil verknüpften Informationen reduzieren. Eine Zahlung über ein öffentliches Ledger, eine Domain, die Sie mit sich selbst assoziieren, und die Benutzerdatensätze der Anwendung können dennoch identifizierende Verknüpfungen erzeugen. Untersuchen Sie den gesamten Stack und vermeiden Sie Versprechen, dass eine Schicht alle anderen schützen kann.
Ein gut betriebener privater Tresor kombiniert clientseitige Verschlüsselung, verifizierte HTTPS, eingeschränkte Administration, geschützte Konten und getestete Wiederherstellung. Halten Sie einen unabhängigen Plan für wesentliche Anmeldedaten bereit, falls der Server nicht verfügbar ist. Das macht die Bereitstellung zuverlässig genug, um Informationen zu speichern, deren Verlust Sie sich nicht leisten können.