Hoskan peti besi kata laluan anda pada VPS peribadi
Pilih Bitwarden atau Vaultwarden, selamatkan titik akhir HTTPS dan bina rutin sandaran yang diuji untuk akaun anda yang paling penting.
Sekilas
Brankas kata sandi yang di-self-host memerlukan transportasi yang terlindungi, pendaftaran yang dibatasi, administrasi yang aman, dan proses pemulihan yang teruji. Bitwarden dan implementasi Vaultwarden komunitas memiliki dokumentasi dan model dukungan yang berbeda. Ikuti persyaratan proyek yang dipilih dan pastikan backup mempertahankan informasi yang diperlukan untuk memulihkan brankas.
Tentukan sama ada anda mahu tanggungjawab operasi
Peti besi kata laluan boleh membuka banyak akaun lain, jadi ketersediaan dan keselamatannya memerlukan perancangan yang teliti. Klien Bitwarden menyulitkan data peti besi sebelum menyegerakkannya. Menghoskan backend sendiri mengubah tempat data yang disulitkan dan metadata perkhidmatan berada; ia tidak menghapuskan kepentingan kata laluan induk yang kukuh dan peranti klien yang selamat.
Anda mendapat kawalan ke atas dasar penggunaan, penyimpanan dan akses, sambil menerima tanggungjawab untuk tampalan, sandaran dan pemulihan. Instans peribadi yang kecil mungkin menarik kurang perhatian berbanding perkhidmatan kongsi yang besar, tetapi salah konfigurasi boleh menjadikannya lebih terdedah. Pilih self-hosting kerana anda boleh menyelenggarakannya, bukan kerana setiap sistem self-hosted secara automatik lebih selamat.
Pilih backend dan periksa keserasian
Bitwarden menyediakan pilihan self-hosting rasmi dengan keperluan yang didokumenkan, termasuk format penggunaan yang berbeza. Bandingkan keperluan sumber dan ciri semasa daripada menganggap setiap pemasangan rasmi memerlukan tumpukan besar yang sama.
Vaultwarden ialah pelaksanaan berasingan yang tidak rasmi dan serasi dengan klien Bitwarden. Reka bentuk ringannya menarik untuk instans peribadi atau keluarga, tetapi keserasian ciri dan masa keluaran boleh berbeza. Tuntutan keselamatan dan audit produk rasmi tidak sepatutnya secara automatik dikaitkan dengan backend bebas ini.
Sediakan pelayan, nama dan laluan akses
VPS Linux yang kecil dengan 1 vCPU dan 2 GB RAM boleh menjadi titik permulaan untuk instans Vaultwarden yang sederhana; lampiran dan beban kerja lain menentukan keperluan storan. Akses root penuh membenarkan konfigurasi, tetapi hypervisor kekal di bawah kawalan pengendali hosting.
Arahkan nama hos khusus ke pelayan dengan rekod A yang sesuai dan, jika disokong dan diuji, rekod AAAA. Rancang HTTPS yang sah, pentadbiran yang dilindungi dan laluan pemulihan. Pendaftaran domain, maklumat hubungan sijil dan alamat e-mel pengguna boleh mendedahkan pautan di luar pendaftaran hosting.
Gunakan dengan storan berterusan dan backend setempat
Perbarui sistem operasi dan terapkan administrasi berbasis kunci sebelum menambahkan vault. Gunakan image Vaultwarden yang dipelihara atau metode instalasi yang didokumentasikan oleh proyek. Pasang lokasi data secara persisten agar mengganti container tidak menghapus layanan.
Biarkan backend aplikasi di localhost atau jaringan container privat, lalu letakkan Caddy atau Nginx di depan untuk HTTPS. Pastikan port container tidak terekspos secara tidak sengaja melalui aturan jaringan Docker. Buka hanya layanan yang diperlukan untuk pengguna, sertifikat, dan rute manajemen yang Anda pilih.
Tutup pendaftaran dan lindungi setiap akun
Buat akun yang Anda inginkan menggunakan proses onboarding yang terkendali, lalu setel SIGNUPS_ALLOWED=false. Kelola pengguna tambahan melalui undangan eksplisit atau alur administrasi yang terlindungi. Setel URL layanan dengan benar agar klien dan tautan menggunakan endpoint HTTPS yang dimaksudkan.
Lindungi token administrasi apa pun secara terpisah dan ikuti panduan proyek untuk representasi amannya. Gunakan master password yang kuat dan aktifkan autentikasi dua faktor yang sesuai pada setiap akun. Simpan kode pemulihan di luar vault itu sendiri; membutuhkan vault yang tidak tersedia untuk memulihkannya menciptakan ketergantungan sirkular.
URL contoh sengaja tidak beroperasi. Ganti dengan hostname dan sertifikat yang telah Anda konfigurasi.
DOMAIN=https://vault.example.invalid
SIGNUPS_ALLOWED=falseCadangkan kumpulan data yang konsisten
Pencadangan membutuhkan lebih dari sekadar salinan biasa dari file SQLite yang sedang aktif. Gunakan metode pencadangan online yang didukung atau prosedur penghentian layanan yang terkendali. Sertakan lampiran serta konfigurasi atau kunci yang diperlukan oleh instalasi pilihan Anda, daripada menganggap database berisi setiap file.
Enkripsi arsip sebelum mentransfernya dari server, terutama jika konfigurasi berisi kredensial SMTP atau token administrasi. Simpan salinan di luar server dan kunci dekripsi cadangan secara terpisah. Alternatif database seperti PostgreSQL memerlukan prosedur dump konsisten tersendiri.
- Cadangkan database melalui metode konsisten yang didukung.
- Sertakan lampiran dan file layanan persisten yang relevan.
- Enkripsi arsip sebelum meninggalkan VPS.
- Simpan setidaknya satu salinan independen di luar server.
- Uji pemulihan dan sinkronisasi klien di lingkungan terisolasi.
Pelihara perangkat lunak dan batasi paparan yang tidak perlu
Pantau rilis Vaultwarden dan versi klien yang Anda gunakan. Terapkan pembaruan keamanan host dan tinjau perubahan aplikasi sebelum peluncuran; penggantian container secara buta bukan pengganti yang baik untuk rencana peningkatan dan pemulihan yang teruji. Verifikasi kesehatan dan cadangan setelah setiap perubahan.
Pembatasan laju, header proxy yang aman, dan pemantauan yang proporsional dapat membantu mendeteksi upaya login yang tidak diinginkan. Layanan rumah tangga dapat dibatasi ke VPN jika setiap klien dapat menjangkaunya dengan andal melalui cara tersebut. Uji akses seluler dan pemulihan sebelum menghapus keterjangkauan publik. Pilih pencatatan log yang terbatas secara sengaja alih-alih mengorbankan semua diagnostik.
Hubungkan privasi aplikasi dengan privasi hosting
Data akun yang minimal dapat mengurangi informasi yang terkait dengan profil VPS. Pembayaran melalui ledger publik, domain yang Anda kaitkan dengan diri sendiri, dan catatan pengguna aplikasi tetap dapat menciptakan tautan identitas. Periksa seluruh stack dan hindari janji bahwa satu lapisan dapat melindungi semua lapisan lainnya.
Vault privat yang dikelola dengan baik menggabungkan enkripsi sisi klien, HTTPS yang terverifikasi, administrasi yang dibatasi, akun yang terlindungi, dan pemulihan yang teruji. Simpan rencana independen untuk kredensial penting jika server tidak tersedia. Itulah yang membuat penerapan cukup andal untuk menyimpan informasi yang tidak boleh Anda kehilangan.