Vaultwarden для хранения и совместного доступа к паролям

Что такое Vaultwarden

Vaultwarden — лёгкая серверная реализация API Bitwarden, написанная на Rust. Пользователи подключают официальные приложения и расширения Bitwarden к адресу компании, а сервер синхронизирует личные и общие зашифрованные хранилища.

Это независимый проект, не продукт Bitwarden, Inc. Он реализует почти весь клиентский API, но совместимость не гарантируется производителем клиентов. Поэтому сервер и клиенты обновляют управляемо и проверяют вместе.

Где шифруются данные

Клиент шифрует содержимое до отправки и расшифровывает после получения. Ключи выводятся из master password, который сервер не должен знать в открытом виде. Такая модель защищает содержание базы, но не спасает от слабого пароля, заражённого устройства, фишинга или подменённого web vault.

Официальные клиенты Bitwarden

К Vaultwarden подключаются web vault, desktop и mobile приложения, расширения браузеров и CLI Bitwarden. В настройках окружения указывают собственный HTTPS URL. Клиенты выпускаются отдельно, поэтому после крупного обновления сначала проверяют вход, sync, вложения, MFA и автозаполнение на тестовых учётных записях.

Личное хранилище

Пользователь хранит логины, secure notes, карты, identities, passkeys и другие поддерживаемые типы записей. Папки организуют личные записи, генератор создаёт пароли, а browser extension и мобильные клиенты выполняют автозаполнение. Политику блокировки и биометрию задают на каждом устройстве.

Организации, коллекции и общие секреты

Общие записи принадлежат организации и распределяются по коллекциям. Коллекции связываются с участниками или группами и задают, кто может видеть или изменять содержимое. Перед внедрением назначают минимум двух надёжных владельцев и фиксируют процедуру приглашения, подтверждения и удаления сотрудников.

MFA и восстановление доступа

Vaultwarden заявляет authenticator, email, FIDO2 WebAuthn, YubiKey OTP и Duo. Для администраторов и владельцев организации предпочтительны независимые аппаратные факторы. Recovery codes нельзя хранить только в том же хранилище: потеря пароля и второго фактора иначе блокирует восстановление.

Вложения и объём хранения

Файлы прикрепляются к личным и общим записям и шифруются клиентом. На сервере они занимают отдельное место в data volume и должны входить в backup. Лимиты и совместимость вложений проверяют на поддерживаемых клиентах, а большие файлы не превращают менеджер паролей в общий файловый архив.

Доступ извне, HTTPS и уведомления

Web vault работает только в secure context, поэтому нужен доверенный TLS-сертификат. Reverse proxy публикует один стабильный DOMAIN, передаёт WebSocket upgrade и ограничивает административный путь. Мобильные push-уведомления используют отдельную интеграцию с сервисами Bitwarden и не равны обычному WebSocket.

Регистрация, приглашения и SMTP

После создания нужных учётных записей открытую регистрацию обычно выключают. SMTP нужен для приглашений, подтверждения адреса и уведомлений. Передача приглашения ещё не завершает onboarding: участник принимает его, а администратор подтверждает членство и назначает коллекции.

Единый вход через OpenID Connect

Vaultwarden можно связать с корпоративным OIDC-провайдером. Он помогает управлять входом сотрудников, но не заменяет master password, необходимый для расшифрования хранилища. До запуска проверяют создание и отключение учётных записей, а также сценарий восстановления доступа.

Административная панель

Собственная панель Vaultwarden управляет конфигурацией, пользователями, организациями и диагностикой. Её защищают длинным ADMIN_TOKEN, предпочтительно в Argon2 PHC-формате, ограничивают сетью или дополнительной аутентификацией и не оставляют на общем публичном пути без необходимости.

Резервное копирование и восстановление

При SQLite почти всё состояние хранится в db.sqlite3, но attachments и Sends лежат отдельными файлами. Для рабочей копии используют встроенную команду backup или SQLite Online Backup API, затем сохраняют остальной data directory. Для PostgreSQL и MySQL снимают дамп базы и отдельно копируют data volume.

VM snapshot сам по себе не считается достаточной копией. Backup шифруют, выносят на другую площадку и проверяют восстановлением: запуском той же версии, входом тестового пользователя, sync клиента, открытием вложения и доступом к организации.

Обновления без потери совместимости

Перед обновлением читают release notes, снимают backup и фиксируют текущий image tag. После миграций проверяют web vault, мобильный и browser client, WebSocket, SMTP, MFA и admin diagnostics. Откат базы после необратимой миграции выполняют только из подготовленной копии.

Перенос из другого менеджера паролей

Перенос начинают с тестового экспорта без вложений и нескольких типов записей. После импорта сверяют URL, заметки, TOTP, пользовательские поля и дубли, затем распределяют общие элементы по коллекциям. Незашифрованный экспорт уничтожают по согласованной безопасной процедуре сразу после приёмки.

Когда Vaultwarden подходит

• Небольшой или средней команде нужен self-hosted сервер для официальных клиентов Bitwarden.

• Компания готова сопровождать HTTPS, SMTP, обновления и резервные копии.

• Есть ответственные владельцы организаций и формальный offboarding.

• Допустима поддержка независимого сообщества вместо официального SLA Bitwarden.

Из чего складывается стоимость

Vaultwarden распространяется по GNU AGPLv3 без платы за пользователей. Стоимость создают защищённый сервер, домен и TLS, SMTP, внешняя копия, обновления, поддержка устройств и регулярные проверки восстановления. Экономия лицензии не должна уменьшать бюджет безопасности.

Когда нужен официальный продукт или другая система

Vaultwarden не подходит, если обязателен официальный SLA Bitwarden, сертифицированная поддержка конкретной функции или гарантированная синхронная совместимость с каждым новым клиентом. Для привилегированных машинных секретов, автоматической ротации и выдачи краткоживущих credentials обычно нужен специализированный secrets manager, а не пользовательский password manager.