Команда HushVPS · Оновлено 2026 · 8 хв читання
Ваше сховище паролів — це найчутливіший обліковий запис, який у вас є. Зламайте його, і зловмисник отримає доступ до вашої електронної пошти, банку, постачальників ідентифікації — всього, що йде далі. Тож питання про те, де живе це сховище, не є академічним. Якщо ви хочете самостійно розмістити Bitwarden на VPS без KYC, ви обираєте зберігати зашифровану базу даних на обладнанні, яке ви контролюєте, оплаченому анонімно, замість хмари третьої сторони, прив'язаної до вашого справжнього імені. Цей посібник пояснює, чому такий компроміс має сенс, як налаштування працює на високому рівні, і де анонімний хостинг закриває прогалину, яку залишає звичайний самостійний хостинг.
Хостингований сервіс Bitwarden справді хороший, а його клієнти використовують наскрізне шифрування з нульовим знанням, тому компанія ніколи не бачить ваші паролі у відкритому вигляді. Для більшості людей це розумний варіант за замовчуванням. Але самостійне розміщення сервера змінює три речі, про які варто піклуватися:
Зворотний бік полягає в тому, що ви також успадковуєте відповідальність — виправлення, резервне копіювання та контроль доступу тепер ваша робота. Більша частина цього посібника присвячена тому, як правильно виконувати ці три речі.
Існує два способи самостійного розміщення екосистеми Bitwarden. Перший — офіційний самостійно розміщений сервер від Bitwarden, який є повнофункціональним, але важчим — він очікує кілька контейнерів і більше RAM, ніж невеликий VPS може комфортно надати. Другий, і той, який обирають більшість приватних самостійних хостерів, — це Vaultwarden, неофіційний сервер на Rust, який підтримує той самий API, що й офіційні клієнти. Він легко працює в одному контейнері на сервері з 1 vCPU / 2 GB, тому він вписується в наш початковий тариф із запасом.
Важлива деталь: оскільки Vaultwarden реалізує API Bitwarden, ви все одно використовуєте офіційні, перевірені застосунки та розширення браузера Bitwarden на своїх пристроях. Ви лише замінюєте серверну частину. Ваше сховище залишається зашифрованим наскрізно; сервер лише зберігає та синхронізує зашифрований об'єкт. У цьому вся привабливість — безпека офіційного клієнта, контроль самостійного хостингу.
Вимоги скромні. Вам потрібен невеликий Linux VPS із root-доступом, доменне ім'я (або піддомен), вказане на його IP, і близько двадцяти хвилин. Ресурсний слід Vaultwarden крихітний, тому наш найменший тариф Phantom — 1 vCPU, 2 GB RAM і 30 GB NVMe більш ніж достатній для особистого чи сімейного сховища. Сховище майже не рухається; сховище з сотнями записів і вкладень вимірюється мегабайтами.
Розгорніть сервер, зверніть увагу на надані вам IPv4 та IPv6 адреси та створіть запис A (і AAAA) для vault.yourdomain.tld, що вказує на них. Це єдина зовнішня залежність. Все інше живе на сервері.
Не відкривайте порт контейнера Vaultwarden безпосередньо в інтернет. Стандартний безпечний підхід — зворотний проксі з TLS перед ним. Ось загальна структура, без перетворення на скрипт для копіювання, якому не слід сліпо довіряти.
Перед встановленням чогось оновіть систему, створіть користувача без прав root та вимкніть парольний SSH на користь входу лише за ключем. Увімкніть брандмауер (ufw або nftables), який дозволяє лише порти 22, 80 та 443. Це базова гігієна, яка займає дві хвилини; пропуск цього кроку — це те, як самостійно розміщені сервери стають зламаними.
Встановіть Docker, потім запустіть офіційний образ Vaultwarden, змонтувавши каталог даних у постійний том на хості. Цей том — зазвичай /vw-data — містить базу даних SQLite, вкладення та ключі RSA. Це єдине, що ви не повинні втратити, тому резервне копіювання має окремий розділ нижче.
Використовуйте Caddy або Nginx як публічний шар. Caddy — простий шлях: він автоматично отримує та оновлює сертифікати Let's Encrypt, тому ваше сховище обслуговується через HTTPS без ручного керування сертифікатами. Спрямуйте проксі на внутрішній порт Vaultwarden — і готово. Менеджер паролів ніколи не повинен бути доступним через звичайний HTTP — розширення браузера все одно відмовляться з ним працювати.
Після створення власного облікового запису встановіть SIGNUPS_ALLOWED=false, щоб ніхто інший не міг зареєструватися у вашому екземплярі. Якщо ви хочете додати членів родини, запрошуйте їх явно або використовуйте сторінку адміністратора (захищену власним токеном) для керування користувачами. Відкрита реєстрація на публічному сховищі — це запрошення, яке ви не хочете надсилати.
Самостійний хостинг означає, що тепер ви — відділ резервного копіювання. Хороша новина: весь стан Vaultwarden — це один каталог даних, а база даних — один файл SQLite. Надійний підхід виглядає так:
.backup, а не копіювання живого файлу, щоб ніколи не захопити напівзаписану базу даних.Оскільки сам сейф вже зашифрований вашим майстер-паролем, віддалена копія не створює нової загрози, якщо ви також шифруєте транспорт і зберігання. Ремінь і підтяжки.
Кілька звичок підтримують самостійно розміщене сховище нудним, що саме те, чим воно має бути:
Vaultwarden поміщається в наш найменший тариф. Без ID, без картки — оплатіть Monero та отримайте root-доступ на сервері, не прив'язаному до вашого імені.
Ось те, про що зазвичай замовчують посібники із самостійного хостингу. Перенесення вашого сховища з керованого провайдера на власний сервер покращує програмну сторону приватності. Але якщо ви орендували цей сервер зі своїм справжнім ім'ям, кредитною карткою та домашньою адресою, ви просто перенесли зв'язок з особою на один рівень нижче. Хостинг-провайдер, під яким знаходиться ваше сховище, тепер точно знає, чиїм паролям належать ці зашифровані блоби.
Анонімний хостинг без KYC закриває цю останню прогалину. Коли немає верифікації особи, немає картки в системі, а Monero оплачує рахунок, провайдер, який керує залізом, не може пов'язати сервер, що зберігає ваші найчутливіші дані, з вами через платіжний запис. У обліковому записі немає нічого, що можна було б вимагати через суд, продати, витікати або передати — бо це ніколи не збиралося. Це різниця між приватністю в застосунку та приватністю в усьому стеку. Наш ширший матеріал про запуск власних приватних сервісів на анонімному VPS пояснює ту саму логіку для пошти та хмарного сховища.
Щоб було зрозуміло, що це робить, а що ні: анонімний хостинг захищає вас від того, щоб рівень хостингу став паперовим слідом. Це не робить вас невидимим і не виправдовує нічого незаконного — HushVPS є законним в офшорній юрисдикції та мінімізує дані, а наша політика прийнятного використання все ще забороняє шкідливе ПЗ, спам та мережеві атаки. Мета проста: зберегти ваше сховище паролів вашим, на обладнанні, яке ніхто не зможе легко пов'язати з вашою особою, з резервним копіюванням та захистом, щоб воно залишалося стабільним роками.
Самостійний хостинг Bitwarden — на практиці Vaultwarden — розміщує найважливіший обліковий запис, який у вас є, на машині, якою ви керуєте, запускаючи ті самі перевірені клієнти, яким ви вже довіряєте. Зробіть це правильно: заблокуйте сервер, завершіть TLS за допомогою зворотного проксі, вимкніть відкриту реєстрацію, створюйте резервні копії каталогу даних поза сайтом із шифруванням і тримайте все оновленим. Зробіть це на VPS без KYC, оплаченому Monero, і ви також усунете платіжний слід, який інакше пов'язав би це сховище з вашим ім'ям. Приватність на обох кінцях стеку — саме там і має жити менеджер паролів.