Vaultwarden или Passbolt: как хранить и передавать пароли команды

В студии работают восемь сотрудников и два подрядчика. Им нужны панель сайта и сервис рассылок. Если каждый может войти под своим именем, создайте отдельные учётные записи: так проще отключить одного человека и понять, кто выполнял действия.

Общий секрет — это пароль или другой ключ доступа, которым пользуются несколько человек. Хранилище особенно полезно для общей административной записи, технического аккаунта или подключения между сервисами. Для каждого такого доступа нужен понятный владелец.

• Владелец. Кто отвечает за сервис, меняет пароль и помогает при потере доступа. Для критичных записей назначьте двух уполномоченных сотрудников.

• Получатели. Кто может пользоваться доступом сейчас. Менеджеру рассылок не нужна панель сайта только потому, что обе записи принадлежат компании.

• Описание. Точный адрес входа, имя учётной записи, назначение и место смены пароля. Рабочий сайт и тестовый сайт оформите отдельными записями.

Не оставляйте корпоративные пароли только в личном хранилище администратора. При его уходе компания должна сохранить доступ. При этом второй ответственный не обязан получать все административные права: доступ к отдельной записи и управление всем хранилищем можно разделять.

Vaultwarden — самостоятельный сервер, совместимый с приложениями Bitwarden. Личные пароли остаются в личном хранилище, а общие размещают в организации и коллекциях. Коллекция объединяет записи для совместного доступа; обычная личная папка служит для удобства самого пользователя.

Passbolt строит работу вокруг передачи паролей пользователям и группам. На учебных записях проверьте, кто может читать пароль, менять его и передавать доступ дальше. Отдельно проверьте права на папку и на запись внутри неё.

Выбор зависит и от ежедневной работы. Сотрудникам должны подходить браузерное расширение, мобильное устройство и правила рабочего браузера. Проверяйте доступ под обычным аккаунтом: то, что администратор видит запись, ничего не говорит о правах менеджера или подрядчика.

После удаления доступа из хранилища пароль в самом сервисе остаётся прежним. Подрядчик мог запомнить его, скопировать или сохранить на устройстве. Поэтому проверка заканчивается сменой пароля в учебном сервисе, а не только исчезновением записи из списка.

• Персональный аккаунт. При уходе сотрудника отключите его вход в сервис, если он работал под собственным именем.

• Общий пароль. Замените его в исходном сервисе и обновите запись в хранилище. Проверьте подключения, которые использовали прежнее значение.

• Сохранённая копия. Удаление серверного доступа не стирает уже известный пароль из памяти человека или локальной копии на его устройстве.

Запрет копирования в интерфейсе не делает раскрытый пароль неизвестным пользователю. Для чувствительных операций используйте личные аккаунты, роли и дополнительное подтверждение внутри самого сервиса. Хранилище помогает выдавать доступ, но не заменяет права и проверки приложения.

В Passbolt Community для входа с нового браузера нужны личный закрытый ключ из набора восстановления и секретная фраза к нему. Ключ позволяет расшифровать пароли. Одно письмо со ссылкой не заменяет эти данные и не вернёт доступ к секретам.

Набор восстановления в Passbolt называется recovery kit. Сохраните его вне единственного рабочего устройства и проверьте на учебном аккаунте. Если ключ и фраза лежат только в недоступном хранилище, воспользоваться ими при потере доступа не получится.

Восстановление доступа с помощью компании доступно в Passbolt Pro. В Community нельзя рассчитывать, что администратор вернёт любой потерянный личный пароль. Общие корпоративные записи должны оставаться доступными другому уполномоченному сотруднику.

• Passbolt Community. Проверьте вход в новом браузере с сохранённым ключом и секретной фразой. Убедитесь, что сотрудник понимает, где взять оба элемента.

• Vaultwarden. Если нужны аварийный доступ или восстановление аккаунта, настройте соответствующие возможности заранее. Проверьте необходимые политики организации и работу почты.

• Доступ компании. Убедитесь, что второй ответственный может открыть критичные общие записи, когда основной сотрудник недоступен. Серверная копия не заменяет личные данные для расшифрования.

Для Vaultwarden возможности Emergency Access — аварийного доступа — и Account Recovery — восстановления аккаунта — требуют настройки. Не считайте их автоматической заменой мастер-пароля. До переноса важных записей определите, кто вправе помогать с восстановлением и при каких условиях.

Тарифы официального Bitwarden не определяют возможности и поддержку Vaultwarden. Это отдельный проект. После обновления сервера или клиентского приложения повторите вход, синхронизацию, открытие общей записи и отзыв прав: новая версия клиента может потребовать проверки совместимости с вашим сервером.

Passbolt Community распространяется по лицензии AGPLv3. Единый вход, восстановление с участием организации и журнал действий относятся к Pro. Если они обязательны для компании, сравнивайте платную редакцию; если достаточно общего доступа и личного набора восстановления, проверьте Community на учебных записях.

Копия Vaultwarden должна включать согласованную базу данных, вложения и нужную конфигурацию. При использовании SQLite простое копирование работающего файла может не учесть текущие изменения. Применяйте предусмотренный способ резервирования, затем храните копию отдельно с ограниченным доступом.

Копии обоих хранилищ содержат чувствительные данные и ключи. Определите, кто может их получить, и проверьте восстановление отдельно от обычного входа пользователя. Сохранённая серверная база и личные данные расшифрования решают разные задачи; подготовьте оба вида защиты.

Выбирайте Vaultwarden, если команде удобны приложения Bitwarden и распределение общих записей по коллекциям. Выбирайте Passbolt, если важнее совместная работа с правами пользователей и групп. В обоих случаях заранее подготовьте передачу ответственности и смену паролей после ухода сотрудника.