Comprende el proyecto y los clientes
Vaultwarden es un proyecto independiente, así que compruebe la compatibilidad actual de los clientes, las guías de despliegue compatibles y las actualizaciones de seguridad. Un consumo de recursos reducido no debería dar lugar a un proceso de mantenimiento informal.
Restrinja los puntos de entrada
Utilice HTTPS, una protección de cuenta sólida y controles de registro deliberados. Proteja o desactive los endpoints administrativos según lo admitido. Mantenga el host y el proxy inverso actualizados y restrinja quién puede acceder a la configuración privada.
Mantén la recuperación independiente
Guarda los códigos de recuperación y el acceso a las copias de seguridad de forma privada fuera del servidor. No hagas que la única vía a tu copia de seguridad dependa de credenciales almacenadas solo dentro de la bóveda. Considera cómo recuperarías el acceso tras la pérdida tanto del servidor como del dispositivo.
Respaldar un estado consistente
Siga el procedimiento admitido para la base de datos, los archivos adjuntos, la configuración y las claves. Cifre las copias de seguridad externas y pruebe la restauración con cuidado. Una imagen de contenedor copiada no contiene todos los datos persistentes de la bóveda.
Prueba un escenario completo de recuperación de cuenta
Usa una cuenta de prueba desechable para verificar el inicio de sesión, un segundo factor, la exportación de la bóveda cuando corresponda y la ruta de recuperación. Mantén la información de emergencia fuera de la bóveda alojada. Evita probar acciones de recuperación destructivas contra la única copia de una cuenta real.
Comprueba la exposición después de cada cambio de proxy
Revisa las rutas públicas, la interfaz administrativa y los requisitos de websocket o notificaciones para la versión instalada y el origen real de TLS. Una configuración de aplicación que era privada detrás de un proxy puede volverse pública tras un cambio de red o de contenedor.
Separa el servicio de bóveda del sistema de recuperación
Selecciona una versión de Vaultwarden con mantenimiento activo y verifica la compatibilidad con los clientes de Bitwarden que pretendes usar. Prepara un origen HTTPS estable, datos privados persistentes y una vía de recuperación independiente. Mantén la única contraseña de copia de seguridad y el material de recuperación de la cuenta fuera de la bóveda alojada. Un servicio compacto puede aun así custodiar las claves de muchas otras cuentas, así que prioriza un procedimiento de actualización y recuperación probado antes que recortar un poco la asignación de RAM.
- Elige reglas deliberadas de registro e invitación.
- Mantén el acceso administrativo restringido de forma independiente del acceso a la bóveda de los usuarios.
- Revisa los requisitos de notificación y de proxy inverso para la versión instalada.
Documentación oficial: Ejemplos de despliegue de Vaultwarden
Cierra el acceso de configuración tras la primera prueba de cuenta
Despliegue usando el ejemplo compatible del proyecto, conserve su directorio de datos y establezca el dominio público en el origen real de HTTPS. Si usa la interfaz de administración, siga sus indicaciones sobre token/hash y restrinja quién puede acceder a ella; no confunda un URL difícil de adivinar con autenticación. Tras crear el propietario previsto, verifique la configuración de registro/invitación desde un navegador sin sesión iniciada. Pruebe un segundo factor y el comportamiento de las notificaciones antes de añadir secretos reales.
Documentación oficial: Protección de la página de administración de Vaultwarden
Prueba cada cliente con datos de bóveda desechables
Usa un inicio de sesión de prueba en la bóveda web, un cliente de escritorio y cualquier extensión móvil o de navegador que tengas previsto admitir. Confirma la sincronización tras cambiar un elemento y confirma que un usuario desconectado no puede leerlo. Comprueba el URL del servidor personalizado configurado y el certificado si solo falla un cliente. Si las notificaciones fallan pero la sincronización manual funciona, revisa los requisitos actuales de proxy/websocket. Mantén un método documentado de exportación/recuperación y guarda los códigos de emergencia por una vía de confianza separada.
Restaura la base de datos y sus archivos complementarios
Sigue el método de copia de seguridad de base de datos admitido; copiar un archivo SQLite activo sin cuidado puede omitir el estado reciente del registro de escritura anticipada. Incluye los adjuntos, la configuración y el material de claves necesarios del directorio de datos persistentes. Cifra la copia de recuperación y prueba una restauración de usuario desechable en un entorno aislado. No confíes en la imagen del contenedor como copia de seguridad de datos. Un plan de actualización debe confirmar tanto la compatibilidad del cliente como una vía viable de recuperación de la base de datos antes de reemplazar la versión en ejecución.
Documentación oficial: Requisitos de copia de seguridad de Vaultwarden