Dal team HushVPS · Aggiornato 2026 · 8 min di lettura
Il tuo vault di password è l'account più sensibile che possiedi. Se lo violi, un attaccante eredita la tua email, la tua banca, i tuoi provider di identità — tutto ciò che ne deriva. Quindi la domanda su dove viva quel vault non è accademica. Se vuoi self-hostare Bitwarden su una VPS senza KYC, stai scegliendo di tenere il database criptato su hardware che controlli, pagato anonimamente, invece che sul cloud di una terza parte legato al tuo nome legale. Questa guida spiega perché questo compromesso ha senso, come funziona la configurazione ad alto livello e dove l'hosting anonimo chiude una lacuna che il self-hosting ordinario lascia aperta.
Il servizio ospitato di Bitwarden è davvero buono, e i suoi client usano crittografia end-to-end zero-knowledge, quindi l'azienda non vede mai le tue password in chiaro. Per la maggior parte delle persone è un default ragionevole. Ma ospitare il server da soli cambia tre cose che meritano attenzione:
Il rovescio della medaglia è che erediti anche la responsabilità: patch, backup e controllo degli accessi ora sono compiti tuoi. La maggior parte di questa guida riguarda fare queste tre cose correttamente.
Ci sono due modi per self-hostare l'ecosistema Bitwarden. Il primo è il server self-hosted ufficiale di Bitwarden, che è completo di funzionalità ma più pesante — prevede diversi container e più RAM di quanto una piccola VPS ti dia comodamente. Il secondo, e quello che la maggior parte dei self-hoster attenti alla privacy sceglie, è Vaultwarden, un server non ufficiale basato su Rust che parla la stessa API dei client ufficiali. Funziona felicemente in un singolo container su una macchina da 1 vCPU / 2 GB, quindi si adatta al nostro piano entry-level con spazio in abbondanza.
Il dettaglio importante: poiché Vaultwarden implementa l'API Bitwarden, usi ancora le app e le estensioni del browser Bitwarden ufficiali e sottoposte a audit sui tuoi dispositivi. Stai solo sostituendo il backend. Il tuo vault rimane criptato end-to-end; il server memorizza e sincronizza semplicemente il blob criptato. Questo è il vero fascino: sicurezza del client ufficiale, controllo self-hosted.
I requisiti sono modesti. Hai bisogno di una piccola VPS Linux con accesso root, un nome di dominio (o sottodominio) puntato al suo IP e circa venti minuti. L'impronta delle risorse di Vaultwarden è minuscola, quindi il nostro più piccolo piano Phantom — 1 vCPU, 2 GB di RAM e 30 GB di NVMe è più che sufficiente per un vault personale o familiare. Lo storage si muove a malapena; un vault con centinaia di voci e allegati si misura in megabyte.
Distribuisci il server, annota gli indirizzi IPv4 e IPv6 che ti forniamo e crea un record A (e AAAA) per vault.yourdomain.tld che punti a essi. Questa è l'unica dipendenza esterna. Tutto il resto vive sul server.
Non esporre la porta del container di Vaultwarden direttamente su internet. Il pattern standard e sicuro è un reverse proxy che termina TLS davanti ad esso. Ecco la struttura, senza trasformarla in uno script copia-incolla di cui non dovresti fidarti ciecamente.
Prima di installare qualsiasi cosa, aggiorna il sistema, crea un utente non root e disabilita l'accesso SSH con password a favore del login con sola chiave. Abilita un firewall (ufw o nftables) che consenta solo le porte 22, 80 e 443. Questa è igiene di base e richiede due minuti; saltarla è il modo in cui i server self-hosted vengono compromessi.
Installa Docker, quindi esegui l'immagine ufficiale di Vaultwarden con la sua directory dati montata su un volume persistente sull'host. Quel volume — tipicamente /vw-data — contiene il database SQLite, gli allegati e le chiavi RSA. È l'unica cosa che non devi mai perdere, motivo per cui i backup hanno la loro sezione qui sotto.
Usa Caddy o Nginx come livello esposto al pubblico. Caddy è la via facile: recupera e rinnova automaticamente un certificato Let's Encrypt, quindi la tua vault è servita su HTTPS senza dover gestire manualmente i certificati. Punta il proxy alla porta interna di Vaultwarden e hai finito. Un password manager non dovrebbe mai essere raggiungibile su HTTP semplice — le estensioni del browser si rifiuteranno comunque di parlargli.
Una volta creato il tuo account, imposta SIGNUPS_ALLOWED=false in modo che nessun altro possa registrarsi sulla tua istanza. Se vuoi membri della famiglia, invitali esplicitamente o usa la pagina admin (protetta dal suo token) per gestire gli utenti. Un endpoint di registrazione aperto su una vault pubblica è un invito che non vuoi inviare.
Il self-hosting significa che ora sei tu il reparto backup. La buona notizia è che l'intero stato di Vaultwarden è quella singola directory dati, e il database è un singolo file SQLite. Una routine solida funziona così:
.backup piuttosto che copiare il file live, così non catturi mai un database scritto a metà.Poiché la vault stessa è già criptata con la tua password principale, una copia off-site non è una nuova esposizione finché cripti anche il trasporto e lo storage. Cintura e bretelle.
Alcune abitudini mantengono una vault self-hosted noiosa, che è esattamente ciò che vuoi che sia:
Vaultwarden si adatta al nostro piano più piccolo. Senza ID, senza carta — paga in Monero e ottieni accesso root su un server che non è legato al tuo nome.
Ecco la parte che le guide ordinarie di self-hosting tralasciano. Spostare la tua vault da un provider gestito al tuo server migliora il lato software della privacy. Ma se hai noleggiato quel server con il tuo vero nome, una carta di credito e un indirizzo di casa, hai semplicemente spostato il collegamento all'identità un livello più in basso. La società di hosting sotto la tua vault ora sa esattamente a chi appartengono quei blob criptati di password.
Un host anonimo e senza KYC chiude quell'ultimo divario. Quando non c'è verifica dell'identità, nessuna carta in archivio e Monero salda la fattura, il provider che gestisce l'hardware non può collegare il server che contiene i tuoi dati più sensibili a te tramite un record di fatturazione. Non c'è nulla nell'account da citare in giudizio, vendere, far trapelare o consegnare — perché non è mai stato raccolto. Questa è la differenza tra privacy nell'app e privacy nell'intero stack. Il nostro articolo più ampio su eseguire i tuoi servizi privati su un VPS anonimo copre la stessa logica per la posta e lo storage cloud.
Per essere chiari su cosa questo fa e non fa: l'hosting anonimo ti protegge dal livello di hosting che diventa una traccia cartacea. Non ti rende invisibile né scusa nulla di illegale — HushVPS è legale offshore e minimizza i dati, e la nostra politica di utilizzo accettabile vieta ancora malware, spam e attacchi di rete. L'obiettivo è semplice: mantenere la tua vault di password tua, su hardware che nessuno può banalmente collegare alla tua identità, con backup e indurimento per rimanere noiosa per anni.
Self-hosting di Bitwarden — in pratica, Vaultwarden — mette l'account più importante che possiedi su una macchina che controlli, eseguendo gli stessi client sottoposti a audit di cui già ti fidi. Fallo bene: blocca il server, termina TLS con un reverse proxy, disabilita le registrazioni aperte, fai backup della directory dati fuori sede con crittografia e mantieni tutto aggiornato. Fallo su un VPS senza KYC pagato in Monero e rimuovi anche la traccia di fatturazione che altrimenti collegherebbe quella vault al tuo nome. Privacy su entrambe le estremità dello stack, che è esattamente dove un password manager merita di vivere.