Самостійний Bitwarden на анонімному VPS

Команда HushVPS · Оновлено 2026 · 8 хв читання

Ваше сховище паролів — це найчутливіший обліковий запис, який у вас є. Зламайте його, і зловмисник отримає доступ до вашої електронної пошти, банку, постачальників ідентифікації — всього, що йде далі. Тож питання про те, де живе це сховище, не є академічним. Якщо ви хочете самостійно розмістити Bitwarden на VPS без KYC, ви обираєте зберігати зашифровану базу даних на обладнанні, яке ви контролюєте, оплаченому анонімно, замість хмари третьої сторони, прив'язаної до вашого справжнього імені. Цей посібник пояснює, чому такий компроміс має сенс, як налаштування працює на високому рівні, і де анонімний хостинг закриває прогалину, яку залишає звичайний самостійний хостинг.

Чому взагалі самостійно розміщувати менеджер паролів

Хостингований сервіс Bitwarden справді хороший, а його клієнти використовують наскрізне шифрування з нульовим знанням, тому компанія ніколи не бачить ваші паролі у відкритому вигляді. Для більшості людей це розумний варіант за замовчуванням. Але самостійне розміщення сервера змінює три речі, про які варто піклуватися:

  • Ви усуваєте ціль. Керований постачальник сховищ — це приманка високої цінності; мільйони зашифрованих об'єктів в одному місці приваблюють рішучих зловмисників. Ваш єдиний самостійно розміщений екземпляр — набагато менш цікавий приз.
  • Ви контролюєте доступність. Жодного призупинення облікового запису, жодних несподіваних змін політики, жодного блокування за регіоном. Сервіс працює, доки працює ваш сервер.
  • Ви володієте метаданими. Навіть із наскрізним шифруванням постачальник все одно бачить ваші IP-адреси входу, часові мітки, відбитки пристроїв та особу для виставлення рахунків. Самостійний хостинг зберігає цю телеметрію на вашому власному сервері.

Зворотний бік полягає в тому, що ви також успадковуєте відповідальність — виправлення, резервне копіювання та контроль доступу тепер ваша робота. Більша частина цього посібника присвячена тому, як правильно виконувати ці три речі.

Bitwarden проти Vaultwarden: що насправді запускати

Існує два способи самостійного розміщення екосистеми Bitwarden. Перший — офіційний самостійно розміщений сервер від Bitwarden, який є повнофункціональним, але важчим — він очікує кілька контейнерів і більше RAM, ніж невеликий VPS може комфортно надати. Другий, і той, який обирають більшість приватних самостійних хостерів, — це Vaultwarden, неофіційний сервер на Rust, який підтримує той самий API, що й офіційні клієнти. Він легко працює в одному контейнері на сервері з 1 vCPU / 2 GB, тому він вписується в наш початковий тариф із запасом.

Важлива деталь: оскільки Vaultwarden реалізує API Bitwarden, ви все одно використовуєте офіційні, перевірені застосунки та розширення браузера Bitwarden на своїх пристроях. Ви лише замінюєте серверну частину. Ваше сховище залишається зашифрованим наскрізно; сервер лише зберігає та синхронізує зашифрований об'єкт. У цьому вся привабливість — безпека офіційного клієнта, контроль самостійного хостингу.

Що потрібно перед початком

Вимоги скромні. Вам потрібен невеликий Linux VPS із root-доступом, доменне ім'я (або піддомен), вказане на його IP, і близько двадцяти хвилин. Ресурсний слід Vaultwarden крихітний, тому наш найменший тариф Phantom — 1 vCPU, 2 GB RAM і 30 GB NVMe більш ніж достатній для особистого чи сімейного сховища. Сховище майже не рухається; сховище з сотнями записів і вкладень вимірюється мегабайтами.

Розгорніть сервер, зверніть увагу на надані вам IPv4 та IPv6 адреси та створіть запис AAAAA) для vault.yourdomain.tld, що вказує на них. Це єдина зовнішня залежність. Все інше живе на сервері.

Загальна схема

Не відкривайте порт контейнера Vaultwarden безпосередньо в інтернет. Стандартний безпечний підхід — зворотний проксі з TLS перед ним. Ось загальна структура, без перетворення на скрипт для копіювання, якому не слід сліпо довіряти.

1. Спочатку захистіть сервер

Перед встановленням чогось оновіть систему, створіть користувача без прав root та вимкніть парольний SSH на користь входу лише за ключем. Увімкніть брандмауер (ufw або nftables), який дозволяє лише порти 22, 80 та 443. Це базова гігієна, яка займає дві хвилини; пропуск цього кроку — це те, як самостійно розміщені сервери стають зламаними.

2. Розгорніть Vaultwarden у контейнері

Встановіть Docker, потім запустіть офіційний образ Vaultwarden, змонтувавши каталог даних у постійний том на хості. Цей том — зазвичай /vw-data — містить базу даних SQLite, вкладення та ключі RSA. Це єдине, що ви не повинні втратити, тому резервне копіювання має окремий розділ нижче.

3. Встановіть зворотний проксі та HTTPS

Використовуйте Caddy або Nginx як публічний шар. Caddy — простий шлях: він автоматично отримує та оновлює сертифікати Let's Encrypt, тому ваше сховище обслуговується через HTTPS без ручного керування сертифікатами. Спрямуйте проксі на внутрішній порт Vaultwarden — і готово. Менеджер паролів ніколи не повинен бути доступним через звичайний HTTP — розширення браузера все одно відмовляться з ним працювати.

4. Закрийте двері за собою

Після створення власного облікового запису встановіть SIGNUPS_ALLOWED=false, щоб ніхто інший не міг зареєструватися у вашому екземплярі. Якщо ви хочете додати членів родини, запрошуйте їх явно або використовуйте сторінку адміністратора (захищену власним токеном) для керування користувачами. Відкрита реєстрація на публічному сховищі — це запрошення, яке ви не хочете надсилати.

Резервне копіювання: частина, яку пропускають

Самостійний хостинг означає, що тепер ви — відділ резервного копіювання. Хороша новина: весь стан Vaultwarden — це один каталог даних, а база даних — один файл SQLite. Надійний підхід виглядає так:

  • Щоночі створюйте знімок каталогу даних — використовуйте команду SQLite .backup, а не копіювання живого файлу, щоб ніколи не захопити напівзаписану базу даних.
  • Зашифруйте резервну копію перед тим, як вона покине сервер (age або GPG), оскільки вона містить ваш зашифрований сейф та його ключі.
  • Відправте зашифрований архів за межі сервера: на інший сервер HushVPS, у відро об'єктного сховища або на вашу власну машину через SSH.
  • Протестуйте відновлення принаймні один раз. Резервна копія, яку ви ніколи не відновлювали, — це надія, а не план.

Оскільки сам сейф вже зашифрований вашим майстер-паролем, віддалена копія не створює нової загрози, якщо ви також шифруєте транспорт і зберігання. Ремінь і підтяжки.

Посилення запущеного сервісу

Кілька звичок підтримують самостійно розміщене сховище нудним, що саме те, чим воно має бути:

  • Оновлюйтеся за розкладом. Регулярно оновлюйте образ Vaultwarden та підтримуйте ОС хоста актуальною. Unattended-upgrades керує ОС; простий cron або політика Watchtower керує контейнером.
  • Увімкніть двофакторну автентифікацію для кожного облікового запису. Навіть самостійно розміщений екземпляр отримує величезну користь — це перетворює витік майстер-пароля з катастрофи на майже промах.
  • Розгляньте можливість приховати його за VPN. Якщо сховищем користуєтеся лише ви та ваша родина, ви можете прив'язати його до інтерфейсу WireGuard, щоб воно взагалі не було доступне з відкритого інтернету. Поєднайте це з VPS без логів, який не зберігає жодних записів про доступ, і поверхня, яку зловмисник може навіть побачити, зменшиться майже до нуля.
  • Обмежте швидкість і моніторте. Vaultwarden підтримує обмеження спроб входу; увімкніть його. Слідкуйте за логами на предмет повторних невдалих спроб.

Розгорніть сервер для вашого сховища за лічені хвилини

Vaultwarden поміщається в наш найменший тариф. Без ID, без картки — оплатіть Monero та отримайте root-доступ на сервері, не прив'язаному до вашого імені.

Переглянути тарифи

Чому це важливо робити на анонімному хостингу без KYC

Ось те, про що зазвичай замовчують посібники із самостійного хостингу. Перенесення вашого сховища з керованого провайдера на власний сервер покращує програмну сторону приватності. Але якщо ви орендували цей сервер зі своїм справжнім ім'ям, кредитною карткою та домашньою адресою, ви просто перенесли зв'язок з особою на один рівень нижче. Хостинг-провайдер, під яким знаходиться ваше сховище, тепер точно знає, чиїм паролям належать ці зашифровані блоби.

Анонімний хостинг без KYC закриває цю останню прогалину. Коли немає верифікації особи, немає картки в системі, а Monero оплачує рахунок, провайдер, який керує залізом, не може пов'язати сервер, що зберігає ваші найчутливіші дані, з вами через платіжний запис. У обліковому записі немає нічого, що можна було б вимагати через суд, продати, витікати або передати — бо це ніколи не збиралося. Це різниця між приватністю в застосунку та приватністю в усьому стеку. Наш ширший матеріал про запуск власних приватних сервісів на анонімному VPS пояснює ту саму логіку для пошти та хмарного сховища.

Щоб було зрозуміло, що це робить, а що ні: анонімний хостинг захищає вас від того, щоб рівень хостингу став паперовим слідом. Це не робить вас невидимим і не виправдовує нічого незаконного — HushVPS є законним в офшорній юрисдикції та мінімізує дані, а наша політика прийнятного використання все ще забороняє шкідливе ПЗ, спам та мережеві атаки. Мета проста: зберегти ваше сховище паролів вашим, на обладнанні, яке ніхто не зможе легко пов'язати з вашою особою, з резервним копіюванням та захистом, щоб воно залишалося стабільним роками.

Коротка версія

Самостійний хостинг Bitwarden — на практиці Vaultwarden — розміщує найважливіший обліковий запис, який у вас є, на машині, якою ви керуєте, запускаючи ті самі перевірені клієнти, яким ви вже довіряєте. Зробіть це правильно: заблокуйте сервер, завершіть TLS за допомогою зворотного проксі, вимкніть відкриту реєстрацію, створюйте резервні копії каталогу даних поза сайтом із шифруванням і тримайте все оновленим. Зробіть це на VPS без KYC, оплаченому Monero, і ви також усунете платіжний слід, який інакше пов'язав би це сховище з вашим ім'ям. Приватність на обох кінцях стеку — саме там і має жити менеджер паролів.