I-host ang iyong password vault sa isang pribadong VPS
Pumili ng Bitwarden o Vaultwarden, i-secure ang HTTPS na endpoint at bumuo ng nasubok na routine ng backup para sa iyong pinakamahalagang account.
Sa isang sulyap
Ang isang self-hosted na password vault ay nangangailangan ng protektadong transport, pinaghihigpitang registration, secure na administrasyon at nasubok na proseso ng recovery. Ang Bitwarden at ang community Vaultwarden implementation ay may magkaibang dokumentasyon at mga modelo ng suporta. Sundin ang mga kinakailangan ng piniling proyekto at tiyakin na pinapanatili ng mga backup ang impormasyong kailangan upang maibalik ang vault.
Magpasya kung gusto mo ang responsibilidad sa operasyon
Ang isang password vault ay maaaring mag-unlock ng maraming iba pang mga account, kaya ang availability at seguridad nito ay nararapat sa sadyang pagpaplano. Ang mga Bitwarden na kliyente ay nag-e-encrypt ng datos ng vault bago ito i-synchronize. Ang pag-host ng backend sa iyong sarili ay nagbabago kung saan nakatira ang naka-encrypt na datos at metadata ng serbisyo; hindi nito inaalis ang kahalagahan ng isang matibay na master password at mga ligtas na kliyenteng device.
Nakukuha mo ang kontrol sa deployment, pagpapanatili at patakaran sa pag-access, habang tinatanggap ang responsibilidad para sa mga patch, backup at pagbawi. Ang isang maliit na pribadong instance ay maaaring makakuha ng mas kaunting malawak na atensyon kaysa sa isang malaking shared service, ngunit ang maling configuration ay maaaring gawin itong mas nakalantad. Piliin ang self-hosting dahil maaari mong panatilihin ito, hindi dahil ang bawat self-hosted na sistema ay awtomatikong mas ligtas.
Piliin ang backend at suriin ang compatibility
Ang Bitwarden ay nagbibigay ng mga opisyal na opsyon sa self-hosting na may mga dokumentadong kinakailangan, kabilang ang iba't ibang format ng deployment. Ihambing ang kasalukuyang mga kinakailangan sa mapagkukunan at tampok sa halip na ipagpalagay na ang bawat opisyal na pag-install ay nangangailangan ng parehong malaking stack.
Ang Vaultwarden ay isang hiwalay, hindi opisyal na implementasyon na compatible sa mga Bitwarden na kliyente. Ang magaan na disenyo nito ay kaakit-akit para sa isang personal o pampamilyang instance, ngunit ang compatibility ng tampok at timing ng release ay maaaring mag-iba. Ang mga claim sa seguridad at audit ng mga opisyal na produkto ay hindi dapat awtomatikong maiugnay sa independiyenteng backend na ito.
Ihanda ang server, pangalan at daan ng pag-access
Ang isang maliit na Linux VPS na may 1 vCPU at 2 GB RAM ay maaaring maging panimulang punto para sa isang katamtamang Vaultwarden instance; ang mga attachment at iba pang workload ay tumutukoy sa pangangailangan sa storage. Ang buong root access ay nagpapahintulot sa configuration, ngunit ang hypervisor ay nananatili sa ilalim ng kontrol ng hosting operator.
Ituro ang isang dedikadong hostname sa server na may angkop na A at, kung sinusuportahan at nasubukan, AAAA records. Magplano ng wastong HTTPS, protektadong administrasyon at ruta ng pagbawi. Ang pagpaparehistro ng domain, impormasyon sa contact ng sertipiko at mga email address ng user ay maaaring magbunyag ng mga koneksyon lampas sa signup sa hosting.
I-deploy gamit ang persistent storage at lokal na backend
I-update ang operating system at magtatag ng key-based na administrasyon bago idagdag ang vault. Gamitin ang maintained na image ng Vaultwarden project o isang paraan ng pag-install na dokumentado ng proyekto. I-mount nang persistent ang lokasyon ng datos upang ang pagpapalit ng container ay hindi magbura ng serbisyo.
Panatilihin ang backend ng application sa localhost o isang pribadong network ng container, pagkatapos ay ilagay ang Caddy o Nginx sa harap para sa HTTPS. Kumpirmahin na ang port ng container ay hindi hindi sinasadyang nailantad sa pamamagitan ng mga patakaran sa networking ng Docker. Buksan lamang ang mga serbisyong kailangan para sa mga gumagamit, mga sertipiko at ang napili mong ruta ng pamamahala.
Isara ang pagpaparehistro at protektahan ang bawat account
Gumawa ng iyong nilalayong account gamit ang isang kontroladong proseso ng onboarding, pagkatapos ay itakda ang SIGNUPS_ALLOWED=false. Pamahalaan ang mga karagdagang gumagamit sa pamamagitan ng tahasang mga imbitasyon o isang protektadong daloy ng trabaho ng administrasyon. Itakda nang tama ang URL ng serbisyo upang ang mga kliyente at mga link ay gumamit ng nilalayong HTTPS endpoint.
Protektahan nang hiwalay ang anumang token ng administrasyon at sundin ang patnubay ng proyekto para sa secure na representasyon nito. Gumamit ng matibay na master password at paganahin ang angkop na two-factor authentication sa bawat account. Itago ang mga recovery code sa labas ng vault mismo; ang pangangailangan sa hindi magagamit na vault upang mabawi ito ay lumilikha ng isang pabilog na dependency.
Ang halimbawang URL ay sadyang hindi gumagana. Palitan ito ng hostname at sertipiko na iyong na-configure.
DOMAIN=https://vault.example.invalid
SIGNUPS_ALLOWED=falseMag-back up ng isang pare-parehong hanay ng data
Ang backup ay nangangailangan ng higit pa sa isang pahapyaw na kopya ng isang live na SQLite file. Gumamit ng sinusuportang online na paraan ng backup o isang kontroladong pamamaraan ng ihinto ang serbisyo. Isama ang mga attachment at ang configuration o mga susi na kailangan ng napili mong pag-install, sa halip na ipagpalagay na ang database ay naglalaman ng bawat file.
I-encrypt ang archive bago ito ilipat palayo sa server, lalo na kung ang configuration ay naglalaman ng SMTP credentials o isang token ng administrasyon. Panatilihing hiwalay ang isang kopya sa labas ng kahon at ang susi ng decryption ng backup. Ang mga alternatibo sa database tulad ng PostgreSQL ay nangangailangan ng sarili nitong pare-parehong pamamaraan ng dump.
- I-back up ang database sa pamamagitan ng isang sinusuportang pare-parehong paraan.
- Isama ang mga attachment at kaugnay na mga persistent na file ng serbisyo.
- I-encrypt ang mga archive bago ito umalis sa VPS.
- Panatilihin ang hindi bababa sa isang independiyenteng kopya sa labas ng kahon.
- Subukan ang pagpapanumbalik at pag-synchronize ng kliyente sa isang nakahiwalay na kapaligiran.
Panatilihin ang software at limitahan ang hindi kinakailangang pagkakalantad
Subaybayan ang mga release ng Vaultwarden at ang mga bersyon ng kliyenteng ginagamit mo. Ilapat ang mga update sa seguridad ng host at suriin ang mga pagbabago sa application bago ang paglulunsad; ang bulag na pagpapalit ng container ay isang mahinang kapalit ng nasubok na plano sa pag-upgrade at pagbawi. I-verify ang kalusugan at mga backup pagkatapos ng bawat pagbabago.
Ang paglilimita sa rate, secure na mga header ng proxy at proporsyonal na pagsubaybay ay makakatulong sa pag-detect ng mga hindi gustong pagtatangka sa pag-login. Ang isang serbisyo sa sambahayan ay maaaring limitahan sa isang VPN kung ang bawat kliyente ay maaasahang makakarating dito sa ganoong paraan. Subukan ang pag-access sa mobile at pagbawi bago alisin ang pampublikong maaabot. Piliin nang sadya ang limitadong pag-log sa halip na isakripisyo ang lahat ng diagnostics.
Ikonekta ang privacy ng application sa privacy ng hosting
Maaaring bawasan ng minimal na data ng account ang impormasyong naka-attach sa profile ng VPS. Ang isang pagbabayad sa pampublikong ledger, isang domain na iniuugnay mo sa iyong sarili at ang mga talaan ng gumagamit ng application ay maaari pa ring lumikha ng mga nagpapakilalang link. Suriin ang buong stack at iwasan ang mga pangako na ang isang layer ay makakaprotekta sa lahat ng iba pa.
Ang isang maayos na pinapatakbong pribadong vault ay pinagsasama ang client-side encryption, na-verify na HTTPS, pinaghigpitan na administrasyon, protektadong mga account at nasubok na pagbawi. Panatilihin ang isang independiyenteng plano para sa mahahalagang kredensyal kung ang server ay hindi magagamit. Iyan ang nagpapagawa sa deployment na sapat na maaasahan upang humawak ng impormasyong hindi mo kayang mawala.