Por el equipo de HushVPS · Actualizado 2026 · 8 min de lectura
Tu bóveda de contraseñas es la cuenta más sensible que posees. Si la descifran, un atacante hereda tu email, tu banco, tus proveedores de identidad: todo lo que está debajo. Así que la pregunta de dónde vive esa bóveda no es académica. Si quieres autoalojar Bitwarden en un VPS sin KYC, estás eligiendo mantener la base de datos cifrada en hardware que controlas, pagado de forma anónima, en lugar de en la nube de un tercero vinculada a tu nombre legal. Esta guía explica por qué esa compensación tiene sentido, cómo funciona la configuración a alto nivel y dónde el hosting anónimo cierra una brecha que el autoalojamiento ordinario deja abierta.
El servicio alojado de Bitwarden es genuinamente bueno, y sus clientes usan cifrado de extremo a extremo con conocimiento cero, por lo que la empresa nunca ve tus contraseñas en texto plano. Para la mayoría de las personas, ese es un valor predeterminado razonable. Pero alojar el servidor tú mismo cambia tres cosas que vale la pena considerar:
La desventaja es que también heredas la responsabilidad: parchear, hacer copias de seguridad y control de acceso ahora son tu trabajo. La mayor parte de esta guía trata sobre hacer esas tres cosas correctamente.
Hay dos formas de autoalojar el ecosistema de Bitwarden. La primera es el servidor oficial autoalojado de Bitwarden, que está completo en características pero es más pesado: espera varios contenedores y más RAM de la que un VPS pequeño te da cómodamente. La segunda, y la que eligen la mayoría de los autoalojadores preocupados por la privacidad, es Vaultwarden, un servidor no oficial basado en Rust que habla la misma API que los clientes oficiales. Funciona sin problemas en un solo contenedor en una máquina de 1 vCPU / 2 GB, por lo que cabe en nuestro plan de entrada con margen de sobra.
El detalle importante: como Vaultwarden implementa la API de Bitwarden, sigues usando las aplicaciones oficiales y auditadas de Bitwarden y las extensiones del navegador en tus dispositivos. Solo estás reemplazando el backend. Tu bóveda permanece cifrada de extremo a extremo; el servidor solo almacena y sincroniza el blob cifrado. Ese es el atractivo: seguridad del cliente oficial, control autoalojado.
Los requisitos son modestos. Necesitas un pequeño VPS Linux con acceso root, un nombre de dominio (o subdominio) apuntando a su IP, y unos veinte minutos. La huella de recursos de Vaultwarden es mínima, por lo que nuestro plan Phantom más pequeño — 1 vCPU, 2 GB de RAM y 30 GB de NVMe es más que suficiente para una bóveda personal o familiar. El almacenamiento apenas se mueve; una bóveda con cientos de entradas y archivos adjuntos se mide en megabytes.
Despliega el servidor, anota las direcciones IPv4 e IPv6 que te proporcionamos y crea un registro A (y AAAA) para vault.yourdomain.tld que apunte a ellas. Esa es la única dependencia externa. Todo lo demás vive en la máquina.
No expongas el puerto del contenedor de Vaultwarden directamente a Internet. El patrón estándar y seguro es un proxy inverso que termine TLS delante de él. Aquí tienes la forma, sin convertirlo en un script de copiar y pegar que no deberías confiar a ciegas.
Antes de instalar nada, actualiza el sistema, crea un usuario no root y deshabilita el SSH por contraseña en favor de acceso solo con clave. Activa un cortafuegos (ufw o nftables) que permita solo los puertos 22, 80 y 443. Esto es higiene básica y toma dos minutos; saltárselo es cómo las máquinas autoalojadas acaban comprometidas.
Instala Docker y luego ejecuta la imagen oficial de Vaultwarden con su directorio de datos montado en un volumen persistente en el proveedor. Ese volumen, normalmente /vw-data, contiene la base de datos SQLite, los archivos adjuntos y las claves RSA. Es lo único que nunca debes perder, por lo que las copias de seguridad tienen su propia sección más abajo.
Usa Caddy o Nginx como capa pública. Caddy es el camino fácil: obtiene y renueva automáticamente un certificado de Let's Encrypt, por lo que tu bóveda se sirve por HTTPS sin tener que gestionar certificados manualmente. Apunta el proxy al puerto interno de Vaultwarden y listo. Un gestor de contraseñas nunca debería ser accesible por HTTP plano — las extensiones del navegador se negarán a hablar con él de todos modos.
Una vez creada tu propia cuenta, establece SIGNUPS_ALLOWED=false para que nadie más pueda registrarse en tu instancia. Si quieres miembros de la familia, invítalos explícitamente o usa la página de administración (protegida por su propio token) para gestionar usuarios. Un endpoint de registro abierto en una bóveda pública es una invitación que no quieres enviar.
Autoalojarse significa que ahora eres el departamento de copias de seguridad. La buena noticia es que todo el estado de Vaultwarden es ese único directorio de datos, y la base de datos es un solo archivo SQLite. Una rutina sólida se ve así:
.backup de SQLite en lugar de copiar el archivo en vivo, para que nunca captures una base de datos a medio escribir.Debido a que la bóveda en sí ya está cifrada con tu contraseña maestra, una copia fuera del sitio no es una nueva exposición siempre que cifres también el transporte y el almacenamiento. Cinturón y tirantes.
Unos pocos hábitos mantienen una bóveda autoalojada aburrida, que es exactamente lo que quieres que sea:
Vaultwarden cabe en nuestro plan más pequeño. Sin ID, sin tarjeta — paga en Monero y obtén acceso root en un servidor que no está vinculado a tu nombre.
Aquí está la parte que las guías ordinarias de autoalojamiento omiten. Mover tu bóveda de un proveedor gestionado a tu propio servidor mejora el lado del software de la privacidad. Pero si alquilaste ese servidor con tu nombre real, una tarjeta de crédito y una dirección de casa, simplemente has reubicado el vínculo de identidad una capa más abajo. La empresa de hosting debajo de tu bóveda ahora sabe exactamente de quién son esas contraseñas que pertenecen a esos blobs cifrados.
Un proveedor anónimo y sin KYC cierra esa última brecha. Cuando no hay verificación de identidad, ni tarjeta registrada y Monero liquida la factura, el proveedor que opera el hardware no puede vincular el servidor que guarda tus datos más sensibles contigo a través de un registro de facturación. No hay nada en la cuenta que pueda ser requerido judicialmente, vendido, filtrado o entregado, porque nunca se recopiló. Esa es la diferencia entre privacidad en la aplicación y privacidad en toda la pila. Nuestro artículo más amplio sobre ejecutar tus propios servicios privados en un VPS anónimo cubre la misma lógica para el correo y el almacenamiento en la nube.
Para ser claros sobre lo que esto hace y no hace: el hosting anónimo te protege de que la capa de hosting se convierta en un rastro documental. No te hace invisible ni excusa nada ilegal: HushVPS es legal en una jurisdicción extraterritorial y minimiza los datos, y nuestra política de uso aceptable sigue prohibiendo el malware, el spam y los ataques de red. El objetivo es sencillo: mantener tu bóveda de contraseñas como tuya, en hardware que nadie pueda conectar trivialmente a tu identidad, respaldada y endurecida para que siga siendo aburrida durante años.
Autoalojar Bitwarden — en la práctica, Vaultwarden — pone la cuenta más importante que tienes en una máquina que controlas, ejecutando los mismos clientes auditados que ya confías. Hazlo bien: asegura la máquina, termina TLS con un proxy inverso, deshabilita los registros abiertos, respalda el directorio de datos fuera del sitio con cifrado y mantén todo parcheado. Hazlo en un VPS sin KYC y pagado con Monero y también eliminas el rastro de facturación que de otro modo vincularía esa bóveda a tu nombre. Privacidad en ambos extremos de la pila, que es exactamente donde un gestor de contraseñas merece vivir.