Forstå projektet og klienterne
Vaultwarden er et separat projekt, så tjek aktuel klientkompatibilitet, understøttet udrulningsvejledning og sikkerhedsopdateringer. Et lille ressourceforbrug bør ikke føre til en lemfældig vedligeholdelsesproces.
Begræns indgangspunkter
Brug HTTPS, stærk kontobeskyttelse og bevidste tilmeldingskontroller. Beskyt eller deaktiver administrative endpoints, hvor det understøttes. Hold værten og den omvendte proxy opdateret, og begræns, hvem der kan få adgang til privat konfiguration.
Hold gendannelse uafhængig
Opbevar gendannelseskoder og backup-adgang privat uden for serveren. Gør ikke den eneste vej til din backup afhængig af legitimationsoplysninger, der kun er gemt inde i vaulten. Overvej, hvordan du ville genvinde adgang efter både tab af server og tab af enhed.
Tag backup af konsistent tilstand
Følg den understøttede procedure for databasen, vedhæftede filer, konfiguration og nøgler. Krypter offsite-backups, og test gendannelse omhyggeligt. Et kopieret container-image indeholder ikke alle vedvarende vault-data.
Test et komplet scenarie for kontogendannelse
Brug en engangstestkonto til at bekræfte login, en anden faktor, vault-eksport hvor det er relevant, og gendannelsesruten. Opbevar nødoplysninger uden for den hostede vault. Undgå at teste destruktive gendannelseshandlinger mod den eneste kopi af en rigtig konto.
Kontroller eksponering efter hver proxyændring
Gennemgå de offentlige ruter, administrationsgrænsefladen, websocket- eller notifikationskrav for den installerede version og den faktiske TLS-oprindelse. En applikationskonfiguration, der var privat bag én proxy, kan blive offentlig efter en ændring i netværk eller container.
Adskil vault-tjenesten fra gendannelsessystemet
Vælg en vedligeholdt Vaultwarden-udgivelse, og verificer kompatibilitet med de Bitwarden-klienter, du har tænkt dig at bruge. Forbered et stabilt HTTPS-domæne, vedvarende private data og en uafhængig gendannelsesrute. Opbevar den eneste sikkerhedskopiadgangskode og kontogendannelsesmateriale uden for den hostede vault. En kompakt tjeneste kan stadig rumme nøglerne til mange andre konti, så prioriter en testet opdaterings- og gendannelsesprocedure højere end at spare en smule på RAM-tildelingen.
- Vælg bevidste regler for registrering og invitation.
- Hold administrativ adgang begrænset uafhængigt af brugernes vault-adgang.
- Gennemgå notifikations- og reverse-proxy-krav for den installerede version.
Officiel dokumentation: Eksempler på Vaultwarden-udrulning
Luk opsætningsadgang efter den første kontotest
Udrul ved hjælp af projektets understøttede eksempel, gør dets datamappe persistent, og angiv det offentlige domæne til den faktiske HTTPS-origin. Hvis du bruger administrationsgrænsefladen, skal du følge dens vejledning om token/hash og begrænse, hvem der kan nå den; forveksl ikke en URL, der er svær at gætte, med autentificering. Når du har oprettet den tilsigtede ejer, skal du kontrollere tilmeldings-/invitationsindstillingerne fra en browser, hvor du er logget ud. Test en anden faktor og notifikationsadfærd, før du tilføjer rigtige hemmeligheder.
Officiel dokumentation: Beskyttelse af Vaultwarden-administrationssiden
Test hver klient med engangsdata til vault
Brug et testlogin i webhvælvingen, en desktopklient og enhver mobil-/browserudvidelse, du planlægger at understøtte. Bekræft synkronisering efter ændring af et element, og bekræft, at en udlogget bruger ikke kan læse det. Kontrollér den konfigurerede brugerdefinerede server-URL og certifikatet, hvis kun én klient fejler. Hvis notifikationer fejler, men manuel synkronisering virker, skal du undersøge de aktuelle proxy-/websocket-krav. Hold en dokumenteret eksport-/gendannelsesmetode, og opbevar nødkoder via en separat betroet kanal.
Gendan databasen og dens tilhørende filer
Følg den understøttede databasebackupmetode; kopiering af en aktiv SQLite-fil uden omhu kan udelade nylig write-ahead-log-tilstand. Medtag nødvendige vedhæftede filer, konfiguration og nøglemateriale fra den vedvarende datamappe. Krypter gendannelseskopien, og test en gendannelse til en engangsbruger i et isoleret miljø. Stol ikke på containerimaget som databackup. En opdateringsplan bør bekræfte både klientkompatibilitet og en brugbar databasegendannelsesvej, før den kørende version erstattes.
Officiel dokumentation: Backupkrav for Vaultwarden