Autoallotjament Bitwarden: guia completa per al teu propi servidor

Les contrasenyes continuen sent la porta d'entrada favorita de molts atacs: es calcula que al voltant del 81% de les bretxes de dades tenen relació amb credencials febles, reutilitzades o robades. A més, només una de cada tres persones als Estats Units utilitza un gestor de contrasenyes, i el cost mitjà d'una filtració el 2025 se situa en uns 4,44 milions de dòlars. Bitwarden és un gestor de codi obert amb aplicacions per a navegador, escriptori i mòbil, i la seva versió autoallotjament permet guardar les voltes xifrades de l'equip en un servidor propi. La clau és que tu decideixes on viu la volta i qui pot tocar la infraestructura.

Hi ha dos camins principals: el servidor oficial de Bitwarden, que es desplega amb Docker a Linux o Windows i ofereix l'ecosistema complet de la marca, i Vaultwarden, una reimplementació no oficial escrita a Rust que consumeix moltíssims menys recursos. Tots dos parlen el mateix protocol i funcionen amb els clients oficials, així que la compatibilitat amb les apps de Bitwarden està garantida en tots dos casos , encara que canvien el suport, el manteniment i algunes funcions disponibles.

Què t'aporta tenir la volta al teu propi servidor

En muntar Bitwarden en un VPS o en una màquina pròpia ganes sobirania sobre les dades: el magatzem xifrat no surt d'una infraestructura que controles. També obtens disponibilitat continuada, recursos dedicats de CPU, RAM i disc, i la possibilitat d'escalar des d'un ús personal fins a un equip mitjà sense canviar d'eina. A això se suma un cost força contingut davant de mantenir maquinari físic i l'avantatge de comptar amb proteccions habituals del proveïdor, com ara mitigació DDoS, còpies periòdiques i seguretat de xarxa. Control, disponibilitat i cost raonable van de la mà en aquest tipus de desplegament.

La diferència pràctica entre el Bitwarden oficial i Vaultwarden apareix quan parlem de suport. El servidor oficial està pensat per a entorns empresarials, amb contractes, auditories i garanties per a integracions amb tercers; Vaultwarden és un projecte comunitari sense SLA ni suport comercial, però desbloqueja funcions que a Bitwarden solen requerir pla de pagament, com ara organitzacions, autenticació en dos passos, Bitwarden Send, TOTP o adjunts. Per a una empresa amb exigències formals, l'oficial sol encaixar millor ; per a un homelab o un grup petit, Vaultwarden resulta molt temptador.

Si escolliu un VPS, convé buscar accés root, compatibilitat amb Docker i una IP pública estable. Hi ha proveïdors que ofereixen processadors AMD Ryzen 9 de fins a 5,7 GHz, emmagatzematge NVMe, connexions de fins a 40 Gbps, un SLA del 99,95% i presència a una dotzena de ciutats. Com a referència, per a menys de deu usuaris sol bastar amb 2 nuclis, 4 GB de RAM i 25 GB de NVMe ; per a equips d'entre 10 i 50 persones, apunta 4 nuclis, 8 GB de RAM i 50 GB de disc.

Requisits i preparació abans d'instal·lar

Abans de llançar-te necessites un domini amb un registre DNS de tipus A apuntant a la IP del servidor, per exemple vault.elteudomini.com. Els ports 80 i 443 han d'estar lliures i accessibles perquè el Nginx de Bitwarden els utilitza directament; el 80 cal per validar i renovar certificats de Let's Encrypt. També necessitareu un servidor SMTP per enviar verificacions i invitacions, i un compte amb permisos d'administració o sudo. L'instal·lador demanarà un identificador i una clau d'instal·lació que es generen gratuïtament a bitwarden.com/host. Sense SMTP no podràs verificar correus ni convidar altres persones , i sense domini i ports oberts el certificat TLS no funcionarà.

A Linux, el servidor oficial demana com a mínim uns 2 GB de RAM i 12 GB de disc, encara que el recomanable és 4 GB de RAM i 25 GB lliures. Al Windows Server els requisits pugen força: 6 GB de RAM i 76 GB d'emmagatzematge com a mínim, amb 8 GB i 90 GB recomanats per a producció. A més, Windows Server necessita virtualització imbricada; a Azure cal utilitzar màquines Standard D2s v3 amb el tipus de seguretat estàndard, no Trusted Launch. Windows consumeix força més màquina i exigeix ​​comprovar abans que l'hipervisor permet virtualització niada.

Vaultwarden canvia completament l'escala: amb 512 MB de RAM pot funcionar correctament, cosa que ho fa apte per a una Raspberry Pi o un VPS molt modest. Aquesta és una de les seves grans cartes davant del servidor oficial .NET, que aixeca una desena de contenidors, inclòs SQL Server. Si la teva prioritat és eficiència de recursos, Vaultwarden parteix amb avantatge.

Abans de començar, decideix també com gestionaràs el certificat SSL. Pots deixar que Let's Encrypt el generi durant la instal·lació, fer servir un certificat comprat o emès per una autoritat, o estirar autosignat només per a proves. Per al correu, reuneix l'amfitrió SMTP, el port, l'usuari, la contrasenya i l'adreça del remitent. Un certificat autosignat serveix per provar, però no per a producció.

Instal·lació del Bitwarden oficial a Linux

El punt de partida habitual és Ubuntu 24.04 LTS, encara que els passos s'adapten a Debian 12 i Rocky Linux 9 canviant el gestor de paquets. Actualitza el sistema i obre els ports necessaris al tallafocs. Amb UFW seria una cosa tan senzilla com permetre 80/tcp, 443/tcp i recarregar les regles. No oblidis mantenir SSH accessible per no quedar fora del servidor.

Bitwarden s'executa sobre Docker, així que instal·la Docker Engine 26.0 o superior i el plugin Docker Compose V2. Pots fer-ho des dels repositoris oficials de Docker o, a Ubuntu, amb el paquet docker.io i docker-compose-plugin. Després habilita el servei perquè arrenqui només després de cada reinici i comproveu les versions amb docker –version i docker compose version. Docker Engine 26+ i Compose 2+ són la base mínima perquè tot funcioni sense sorpreses.

La recomanació és executar el Bitwarden amb un usuari dedicat sense privilegis d'administrador. Crea l'usuari bitwarden, afegeix-lo al grup docker i prepara el directori /opt/bitwarden amb permisos 700 i propietari bitwarden. Aquest 700 impedeix que altres usuaris del sistema llegeixin o modifiquin la base de dades de contrasenyes. Un usuari sense privilegis limita molt el mal si l'aplicació es veiés compromesa.

Descarrega l'script bitwarden.sh des de la URL oficial i dóna permisos d'execució. Abans de llançar-lo pots revisar-ne el contingut, i després executa ./bitwarden.sh install. L'instal·lador preguntarà el domini sense https://, si voleu utilitzar Let's Encrypt i un correu per a avisos, el nom de la base de dades, l'identificador i la clau d'instal·lació, i la regió US o EU. Anota bé aquests dos valors de bitwarden.com/host perquè són necessaris per completar el desplegament.

En acabar, tota la configuració i les dades queden a /opt/bitwarden/bwdata. Engega els serveis amb ./bitwarden.sh start i comprova amb docker ps que els contenidors estan en marxa. És normal que triguin un o dos minuts a passar a healthy. Hauries de veure entre cinc i set contenidors, com ara bitwarden-web, bitwarden-api, bitwarden-identity, bitwarden-attachments, bitwarden-icons, bitwarden-mssql i bitwarden-nginx. Espera que estiguin sans abans de donar la instal · lació per bona.

Correu, panell d'administració i registre públic

Els paràmetres del servidor se sobreescriuen a bwdata/env/global.override.env. Obre aquest fitxer amb l'usuari bitwarden i omple les variables globalSettings__mail__smtp__host, port, ssl, startTls, username, password i from. Si utilitzeu el port 587 amb STARTTLS, deixeu ssl=false; si el vostre proveïdor exigeix ​​TLS implícit al 465, poseu ssl=true. A adminSettings__admins inclou els correus que podran entrar al panell d'administració, separats per comes. Després de tocar el fitxer, reinicieu amb ./bitwarden.sh restart.

Obre el teu domini al navegador, crea un compte i verifica el correu des de l'enllaç que rebràs. La contrasenya mestra xifra la volta al dispositiu: el servidor no la coneix i no la pot recuperar si l'oblides. Trieu una frase llarga i deseu-la en un lloc segur. Si el correu de verificació arriba, la configuració SMTP està ben encaminada. La contrasenya mestra no es pot recuperar per disseny.

Quan ja s'hagi registrat la gent necessària, o si prefereixes afegir usuaris només mitjançant invitacions d'organització, desactiva el registre públic. Afegeix globalSettings__disableUserRegistration=true a global.override.env i reinicia. Comproveu en una finestra privada que l'opció de crear compte ja no permet registrar-vos. Deixar el registre obert a internet és una invitació que qualsevol faci servir la teva instància.

El tauler del sistema és a https://el vostre_domini/admin. No utilitzeu contrasenya a l'ús: introduïu un dels correus d'adminSettings__admins i rebeu un enllaç d'accés d'un sol ús. Des d'aquí podeu veure i desactivar usuaris, forçar l'eliminació de comptes i consultar organitzacions. Les organitzacions, col·leccions i permisos es gestionen des de la volta web, a Nova organització. L'accés al panell és còmode, però convé tractar-lo amb molt de compte.

Organitzacions, llicències i facturació

Per autoallotjar una organització de pagament, primer cal crear-la a la volta web al núvol de Bitwarden i recuperar la llicència des del compte. Després, aquesta llicència es puja al servidor propi per crear una còpia autoallotjada de l'organització. Només les organitzacions Família i Empresa es poden importar a servidors autoallotjats. La facturació neix al núvol, encara que després la volta viva al teu servidor.

Opcionalment, podeu configurar la sincronització de facturació i llicències entre l'organització al núvol i l'autoallotjament. Això facilita actualitzar la llicència quan canvia el nombre de seients, fer renovacions sense embolics i desbloquejar organitzacions familiars patrocinades per a membres d'organitzacions empresarials. La sincronització no és obligatòria, però estalvia força treball administratiu.

Un cop creada l'organització, convida primer un equip administrador amb membres d'alt privilegi. Per redundància, convé incloure almenys un altre propietari. Estableix com més aviat millor polítiques com exigir SSO o inscriure els membres en el restabliment de contrasenya de l'administrador. Si veniu d'un altre gestor de secrets, importa aquestes dades directament per evitar copiar i enganxar. Després convida la resta de l'equip; si utilitzeu un proveïdor d'identitat o un directori com l'Azure Active Directory, us podeu donar suport a SCIM o Directory Connector per sincronitzar usuaris automàticament. Definir polítiques i un segon propietari des del principi evita ensurts.

Algunes funcions de pagament, com ara determinades organitzacions o característiques premium, requereixen carregar un fitxer de llicència generat des del vostre compte de bitwarden.com. Els clients oficials es configuren igual que al núvol, però abans d'iniciar sessió cal canviar la regió o servidor a Autoallotjament i introduir l'URL exacte, per exemple https://el teu_domini. Si la URL no coincideix amb el mil·límetre, el client no connectarà.

Instal·lació al Windows Server

Al Windows Server 2025 l'accés es fa per RDP i necessites Docker Desktop amb Hyper-V, no amb WSL2. L'instal·lador oficial de Bitwarden per a Windows és un script PowerShell anomenat bitwarden.ps1. Compte: Docker Desktop no té suport oficial per a Windows Server i pot donar problemes d'estabilitat, així que Linux continua sent l'opció més fiable. A més, Windows Server requereix virtualització imbricada. Abans d'instal·lar, comproveu que l'hipervisor permet aquesta virtualització.

Obre PowerShell com a administrador i crea regles de tallafocs per als ports 80 i 443. Després crea un usuari local Bitwarden, afegeix-ho al grup docker-users i prepara C:/Bitwarden. A Docker Desktop, entra a Configuració, Recursos, Comparteix fitxers i afegeix C:/Bitwarden; aplica i reinicia. Assigna almenys 4 GB de RAM a Docker. Docker Desktop ha de veure la carpeta C:/Bitwarden per arrencar els contenidors.

Descarrega l'script amb Invoke-RestMethod i executa bitwarden.ps1 -install. Les preguntes són equivalents a les de Linux: domini, Let's Encrypt o certificat propi, correu, identificador, clau i regió. Després edita C:/Bitwarden/bwdata/env/global.override.env amb les dades SMTP i reinicia amb bitwarden.ps1 -restart. Visiteu el domini i creeu el compte mestra. Les dades d'instal·lació i l'SMTP es configuren igual que al desplegament Linux.

Docker Desktop només arrenca automàticament en iniciar sessió si hi ha una sessió RDP oberta. Per evitar-ho, creeu una tasca programada que s'executi a l'inici, amb un retard d'un minut, usant el compte Bitwarden i l'opció d'executar tant si l'usuari ha iniciat sessió com si no. Sense aquesta tasca, Docker Desktop es pot quedar apagat després d'un reinici . L'script bitwarden.ps1 admet ordres com ara -start, -restart, -updateself, -update i -renewcert.

Alguns escenaris, com ara instal·lar darrere un proxy amb ports alternatius, requereixen tocar bwdata/config.yml i aplicar els canvis amb un reinici. A Linux passa el mateix. Si canvieu ports o el servidor intermediari, reviseu config.yml a més de les variables d'entorn.

Vaultwarden, l'alternativa lleugera

Vaultwarden és una reimplementació no oficial del servidor de Bitwarden escrita a Rust. Manté el mateix protocol i funciona amb les aplicacions oficials, l'extensió de navegador i el CLI sense modificacions. El projecte el manté dani-garcia, abans es deia bitwarden_rs i es va anomenar per evitar confusió amb la marca. El seu gran atractiu és que desbloqueja funcions premium de forma gratuïta en ser un servidor propi, però no ofereix suport comercial ni SLA. És una opció excel·lent per a ús personal o grups petits, no tant si necessites garanties contractuals.

El desplegament típic amb Docker Compose declara un servei vaultwarden amb la imatge vaultwarden/server:latest, container_name vaultwarden, restart always, la variable DOMAIN amb el vostre URL HTTPS, SIGNUPS_ALLOWED a true, un volum ./vw-data:/data i el port 110. DOMAIN no és un adorn: serveix per generar bé les URLs dels adjunts i perquè el client entengui que parla HTTPS a través del servidor intermediari invers. Si ho omets o ho deixes a http, algunes funcions fallen de forma poc intuïtiva. Vaultwarden necessita HTTPS real de cara al client perquè les apps i els navegadors rebutgen sincronitzar contra un origen sense TLS vàlid.

El més habitual és publicar el contenidor darrere d'un servidor intermediari invers amb certificat, com Nginx, i utilitzar Certbot i Let's Encrypt si no en tens ja un. Vaultwarden inclou un panell /admin per gestionar usuaris i organitzacions des del navegador, protegit per ADMIN_TOKEN. En versions recents es recomana generar un hash argon2id amb el docker run –rm -it vaultwarden/server:latest /vaultwarden hash. La comanda torna una cadena PHC que comença per $argon2id$ i aquesta cadena, no la contrasenya original, és la que va al compose. Com que Docker Compose interpreta cada $ com a variable d'entorn, cal duplicar cada $ de la cadena a $$. Mai guardis el token en text pla ni el pugis a un repositori Git, encara que sigui privat.

SIGNUPS_ALLOWED a true és necessari la primera vegada per crear el teu propi compte des del client. Quan la tinguis, canvia'l a false i reinicia amb docker compose up -d. Deixar el registre obert en un servidor exposat a internet significa que qualsevol que trobi l'URL es pot crear un compte i utilitzar la teva instància com a gestor propi. Tancar el registre després de crear els comptes és un pas de seguretat bàsic.

Tot l'estat de Vaultwarden viu al volum /data: la base de dades SQLite, els adjunts i les icones escorcollades. Un backup consistent pot ser tan simple com copiar aquest directori amb el contenidor detingut, o fer servir sqlite3 per a un bolcat en calent sense parar el servei: docker exec vaultwarden sqlite3 /data/db.sqlite3 '.backup /data/db-backup.sqlite3'. Si ja teniu una estratègia de backups incrementals amb rsync i hardlinks, el mateix enfocament funciona apuntant a vw-data. Com aquí guardes credencials, per a la còpia fora del servidor val més la pena un xifratge remot de rclone que un rsync sense xifrar cap a un altre disc. Els backups de Vaultwarden són senzills, però han de sortir del servidor.

Abans d'actualitzar el contenidor, reviseu el changelog de Vaultwarden. En seguir de prop els canvis de protocol de Bitwarden, alguna actualització més gran pot requerir migrar el format de la base de dades. No actualitzis a cegues si no has provat abans la nova versió.

Còpies de seguretat, actualitzacions i monitorització

El Bitwarden oficial fa una còpia nocturna automàtica de la base de dades a bwdata/mssql/backups. A aquestes còpies cal sumar els fitxers adjunts a bwdata/core/attachments, la configuració de bwdata/env i bwdata/config.yml, i els certificats. Els fitxers vius de SQL Server a bwdata/mssql/data no s'han de copiar amb el servei en marxa, així que s'exclouen. El que has de desar fora del servidor és la base de dades, els adjunts, la configuració i els certificats.

Pots crear un script que comprimeixi bwdata amb tar, el deixeu en una carpeta de backups i esborreu les còpies de més de 30 dies amb find. Programar-lo en cron per a les 2 del matí és una manera senzilla de no oblidar-ho. Després copia aquests fitxers a un altre servidor oa un emmagatzematge extern mitjançant SFTP, FTPS o una eina xifrada. Una còpia que només viu al mateix servidor no et salva d'una fallada de maquinari . Al Windows pots fer alguna cosa equivalent amb Compress-Archive i una tasca programada, esborrant els ZIP antics.

Les actualitzacions del servidor oficial es fan amb el mateix script, com a usuari bitwarden. Primer actualitza el propi script amb ./bitwarden.sh updateself i després els contenidors amb ./bitwarden.sh update i ./bitwarden.sh start. A Windows serien bitwarden.ps1 -updateself, bitwarden.ps1 -update i bitwarden.ps1 -start. L'ordre importa: primer l'script, després les imatges.

Monitoritza l'estat dels contenidors, l'espai lliure al disc, la caducitat del certificat i els registres d'errors. Un disc ple pot corrompre la base de dades, i un certificat caducat deixa els clients sense sincronitzar. Revisa els logs setmanalment i prova la restauració d'una còpia cada trimestre: atura Bitwarden, anomena bwdata, restaura la còpia, arrenca i verifica que tot funciona. Provar la restauració és tan important com fer la còpia.

Seguretat i problemes habituals

Activa l'autenticació en dos factors al compte d'administrador com més aviat millor. Restringeix SSH a Linux o RDP a Windows a adreces IP conegudes i valora fail2ban per bloquejar intents de força bruta. Comprova la renovació de Let's Encrypt amb ./bitwarden.sh renewcert o bitwarden.ps1 -renewcert, desactiva el registre públic i només autoritza els correus necessaris al panell d'administració. 2FA i una bona restricció d'accés remot eviten molts disgustos.

Si l'instal·lador no obté el certificat, revisa que el DNS apunti al servidor i que el port 80 no estigui ocupat per cap altre servei; sudo ss -tlnp | grep ':80' ajuda a sortir de dubtes. Si Docker torna permission denied, l'usuari bitwarden no és al grup docker o no ha tornat a iniciar sessió; sal i entra de nou amb sudo -iu bitwarden. Si no arriben els correus, revisa les variables SMTP i els logs amb docker logs bitwarden-api. Si els clients no connecten, confirma que has triat servidor autoallotjat i que la URL és exactament https://el teu_domini. La majoria de fallades es resolen revisant DNS, ports, permisos i logs.

Un consum alt de memòria es pot alleujar reiniciant Bitwarden, però si el problema persisteix probablement toqueu pujar a un pla amb 4 GB o més. Si una actualització trenca la instal·lació, restaura el directori bwdata i torna a la versió anterior; abans de reintentar, consulteu les notes de la versió per detectar canvis incompatibles. No improviseu una actualització sense còpia de seguretat.

• Certificat SSL: comprova el cadenat al navegador i força la renovació si ha caducat.
• contenidors: revisa docker ps i els logs si algun apareix com a Exited.
• correu: prova l'SMTP per separat i revisa els rebutjos als logs d'identitat.
• Disc i memòria: vigila l'espai i fes servir docker stats per detectar contenidors que es desboquen.
• clients: revisa l'URL de servidor autoallotjament abans d'iniciar sessió.
• restauració: assaja una recuperació completa de bwdata almenys una vegada al trimestre.

Preguntes freqüents i dubtes habituals

Sí, es pot allotjar Bitwarden a macOS, però requereix un Mac dedicat, accés remot i és menys eficient que Linux o Windows. La comunitat ofereix menys recursos i la configuració és més complexa, així que no és lopció més recomanable per a producció.

Les funcions principals de Bitwarden són gratuïtes i inclouen emmagatzematge il·limitat i sincronització entre dispositius. El pla premium personal costa uns 19,80 dòlars l'any i hi afegeix opcions avançades de 2FA; el pla familiar ronda els 47,88 dòlars anuals, i els equips necessiten llicència empresarial. Per començar, la versió gratuïta sol ser més que suficient.

Com a alternatives estan Vaultwarden, més lleuger; 1Password, amb interfície al núvol; KeePassXC, sense connexió; i Passbolt, orientat a equips. Si l'autoallotjament et sembla massa, Bitwarden Cloud ofereix una seguretat semblant sense manteniment. L'elecció depèn de quant vulguis controlar i quant vulguis administrar.

Bitwarden és molt segur si es configura bé. Usa xifrat AES-CBC de 256 bits i admet derivació de claus amb PBKDF2 SHA-256 o Argon2id. La contrasenya mestra mai no surt del dispositiu sense xifrar. Allotjar-ho tu mateix elimina el proveïdor cloud del teu model d'amenaces. El xifratge d'extrem a extrem és la base del seu disseny.

Pots migrar des de Bitwarden Cloud exportant la volta des de Paràmetres, Exportar volta, i important-la a la teva instància des de Paràmetres, Importar dades. Es conserven contrasenyes, notes i estructura de l'organització. Exportar i importar és ràpid i evita copiar a mà.

Per afegir usuaris, crea una organització des de la volta web i envia'ls una invitació per correu. Necessitareu rebre el correu, així que l'SMTP ha d'estar ben configurat, i han d'acceptar la invitació per unir-se. Les invitacions sense correu configurat no arriben enlloc.

Si oblides la contrasenya mestra, no hi ha cap recuperació possible. La volta roman xifrada i inaccessible per disseny. Guarda-la en un lloc físic segur, sense connexió, i no confiïs només en un fitxer digital. La contrasenya mestra és la clau que no es pot duplicar des del servidor.

Per a la majoria de desplegaments, Docker és suficient i més fàcil de gestionar. Kubernetes només té sentit en empreses grans que necessitin alta disponibilitat, balanceig de càrrega i commutació automàtica entre nodes. No muntis Kubernetes si amb Docker ja cobreixes la necessitat.

El Linux consumeix aproximadament un terç de la RAM que requereix Windows Server, s'actualitza amb gestors de paquets i té més comunitat d'autoallotjament. Windows és familiar a administradors d'AD i ofereix eines de gestió i suport comercial de Microsoft. Linux és una aposta eficient; Windows, la familiar.

Queda clar que muntar la teva volta de Bitwarden o Vaultwarden exigeix ​​preparar bé el terreny: domini, TLS, SMTP, Docker, còpies externes i una política d'accés assenyada. La recompensa és una volta xifrada sota el teu control, amb clients oficials i la tranquil·litat de saber on són les dades. HTTPS, SMTP, backups fora del servidor i 2FA són els quatre pilars que no hauries de descuidar, i provar una restauració cada trimestre t'evitarà més d'un fogot.