Comprendre le projet et les clients
Vaultwarden est un projet distinct : vérifiez la compatibilité actuelle des clients, les recommandations de déploiement prises en charge et les mises à jour de sécurité. Une faible empreinte de ressources ne doit pas conduire à un processus de maintenance négligé.
Restreignez les points d'entrée
Utilisez HTTPS, une protection de compte robuste et des contrôles d'inscription réfléchis. Protégez ou désactivez les points de terminaison administratifs selon la prise en charge. Maintenez l'hôte et le proxy inverse à jour et limitez l'accès à la configuration privée.
Gardez la récupération indépendante
Conservez les codes de récupération et l'accès aux sauvegardes en privé, en dehors du serveur. Ne faites pas dépendre l'unique voie d'accès à votre sauvegarde d'identifiants stockés uniquement dans le coffre. Réfléchissez à la manière de retrouver l'accès après une perte à la fois du serveur et de l'appareil.
Sauvegardez un état cohérent
Suivez la procédure prise en charge pour la base de données, les pièces jointes, la configuration et les clés. Chiffrez les sauvegardes hors site et testez soigneusement la restauration. Une image de conteneur copiée ne contient pas toutes les données persistantes du coffre.
Testez un scénario complet de récupération de compte
Utilisez un compte de test jetable pour vérifier la connexion, un second facteur, l'export du coffre le cas échéant et la voie de récupération. Conservez les informations d'urgence hors du coffre hébergé. Évitez de tester des actions de récupération destructrices sur l'unique copie d'un compte réel.
Vérifiez l'exposition après chaque modification de proxy
Examinez les routes publiques, l'interface d'administration, les exigences de websocket ou de notification pour la version installée et l'origine réelle TLS. Une configuration d'application privée derrière un proxy peut devenir publique après un changement de réseau ou de conteneur.
Séparez le service de coffre-fort du système de récupération
Choisissez une version maintenue de Vaultwarden et vérifiez sa compatibilité avec les clients Bitwarden que vous comptez utiliser. Préparez une origine HTTPS stable, des données privées persistantes et un canal de récupération indépendant. Conservez l'unique mot de passe de sauvegarde et les éléments de récupération du compte en dehors du coffre hébergé. Un service compact peut néanmoins détenir les clés de nombreux autres comptes : privilégiez une procédure de mise à jour et de récupération éprouvée plutôt que d'économiser un peu sur l'allocation RAM.
- Choisissez des règles d'inscription et d'invitation réfléchies.
- Limitez l'accès administratif indépendamment de l'accès au coffre des utilisateurs.
- Examinez les exigences de notification et de proxy inverse pour la version installée.
Documentation officielle : Exemples de déploiement Vaultwarden
Fermez l'accès de configuration après le premier test de compte
Déployez à l'aide de l'exemple pris en charge par le projet, rendez persistant son répertoire de données et définissez le domaine public sur l'origine réelle HTTPS. Si vous utilisez l'interface d'administration, suivez ses recommandations relatives au jeton et au hachage et limitez qui peut y accéder ; ne confondez pas un URL difficile à deviner avec une authentification. Après avoir créé le propriétaire souhaité, vérifiez les paramètres d'inscription et d'invitation depuis un navigateur déconnecté. Testez un second facteur et le comportement des notifications avant d'ajouter de véritables secrets.
Documentation officielle : Protection de la page d'administration Vaultwarden
Testez chaque client avec des données de coffre jetables
Utilisez une connexion de test dans le coffre web, un client de bureau et toute extension mobile/navigateur que vous prévoyez de prendre en charge. Confirmez la synchronisation après modification d'un élément et vérifiez qu'un utilisateur déconnecté ne peut pas le lire. Vérifiez le URL du serveur personnalisé configuré et le certificat si un seul client échoue. Si les notifications échouent mais que la synchronisation manuelle fonctionne, inspectez les exigences actuelles du proxy/websocket. Conservez une méthode d'exportation/récupération documentée et stockez les codes d'urgence via un canal de confiance distinct.
Restaurez la base de données et ses fichiers associés
Suivez la méthode de sauvegarde de base de données prise en charge ; copier négligemment un fichier SQLite actif peut omettre l'état récent du journal d'écriture anticipée. Incluez les pièces jointes requises, la configuration et le matériel de clé du répertoire de données persistant. Chiffrez la copie de récupération et testez une restauration utilisateur jetable dans un environnement isolé. Ne vous fiez pas à l'image de conteneur comme sauvegarde des données. Un plan de mise à jour doit confirmer à la fois la compatibilité client et un chemin de récupération de base de données viable avant de remplacer la version en cours d'exécution.
Documentation officielle : Exigences de sauvegarde Vaultwarden