Pahami proyek dan klien
Vaultwarden adalah proyek terpisah, jadi periksa kompatibilitas klien saat ini, panduan penerapan yang didukung, dan pembaruan keamanan. Jejak sumber daya yang kecil tidak boleh mengarah pada proses pemeliharaan yang sembarangan.
Batasi titik masuk
Gunakan HTTPS, perlindungan akun yang kuat, dan kontrol pendaftaran yang disengaja. Lindungi atau nonaktifkan endpoint administratif sesuai dukungan. Jaga host dan reverse proxy tetap mutakhir dan batasi siapa yang dapat mengakses konfigurasi privat.
Jaga pemulihan tetap independen
Simpan kode pemulihan dan akses cadangan secara privat di luar server. Jangan membuat satu-satunya jalur ke cadangan Anda bergantung pada kredensial yang hanya tersimpan di dalam vault. Pertimbangkan bagaimana Anda akan mendapatkan kembali akses setelah kehilangan server sekaligus kehilangan perangkat.
Cadangkan status yang konsisten
Ikuti prosedur yang didukung untuk basis data, lampiran, konfigurasi, dan kunci. Enkripsi cadangan offsite dan uji pemulihan dengan cermat. Image kontainer yang disalin tidak memuat semua data vault persisten.
Uji skenario pemulihan akun secara menyeluruh
Gunakan akun uji sekali pakai untuk memverifikasi login, faktor kedua, ekspor vault jika sesuai, dan jalur pemulihan. Simpan informasi darurat di luar vault yang dihosting. Hindari menguji tindakan pemulihan yang merusak terhadap satu-satunya salinan akun nyata.
Periksa eksposur setelah setiap perubahan proxy
Tinjau rute publik, antarmuka administratif, persyaratan websocket atau notifikasi untuk versi terpasang dan origin TLS yang sebenarnya. Konfigurasi aplikasi yang privat di balik satu proxy dapat menjadi publik setelah perubahan jaringan atau kontainer.
Pisahkan layanan vault dari sistem pemulihan
Pilih rilis Vaultwarden yang terpelihara dan verifikasi kompatibilitas dengan klien Bitwarden yang ingin Anda gunakan. Siapkan origin HTTPS yang stabil, data privat persisten, dan jalur pemulihan independen. Simpan satu-satunya kata sandi cadangan dan materi pemulihan akun di luar vault yang dihosting. Layanan ringkas tetap dapat memegang kunci banyak akun lain, jadi utamakan prosedur pembaruan dan pemulihan yang teruji daripada menghemat sedikit dari alokasi RAM.
- Pilih aturan pendaftaran dan undangan yang disengaja.
- Batasi akses administratif secara independen dari akses vault pengguna.
- Tinjau persyaratan notifikasi dan reverse-proxy untuk rilis yang terpasang.
Dokumentasi resmi: Contoh penerapan Vaultwarden
Tutup akses penyiapan setelah pengujian akun pertama
Terapkan menggunakan contoh yang didukung proyek, pertahankan direktori datanya, dan atur domain publik ke origin HTTPS yang sebenarnya. Jika menggunakan antarmuka admin, ikuti panduan token/hash-nya dan batasi siapa yang dapat mengaksesnya; jangan salah menganggap URL yang sulit ditebak sebagai autentikasi. Setelah membuat pemilik yang dimaksud, verifikasi pengaturan pendaftaran/undangan dari browser yang belum masuk. Uji faktor kedua dan perilaku notifikasi sebelum menambahkan rahasia nyata.
Dokumentasi resmi: Perlindungan halaman admin Vaultwarden
Uji setiap klien dengan data vault sekali pakai
Gunakan login uji di web vault, klien desktop, dan ekstensi seluler/browser apa pun yang ingin Anda dukung. Konfirmasikan sinkronisasi setelah mengubah item dan pastikan pengguna yang keluar tidak dapat membacanya. Periksa URL server kustom yang dikonfigurasi dan sertifikat jika hanya satu klien yang gagal. Jika notifikasi gagal tetapi sinkronisasi manual berfungsi, periksa persyaratan proxy/websocket saat ini. Simpan metode ekspor/pemulihan yang terdokumentasi dan simpan kode darurat melalui jalur tepercaya yang terpisah.
Pulihkan basis data dan berkas pendampingnya
Ikuti metode pencadangan basis data yang didukung; menyalin file SQLite yang aktif secara sembarangan dapat menghilangkan status write-ahead-log terbaru. Sertakan lampiran, konfigurasi, dan materi kunci yang diperlukan dari direktori data persisten. Enkripsi salinan pemulihan dan uji pemulihan pengguna sekali pakai di lingkungan terisolasi. Jangan mengandalkan image kontainer sebagai cadangan data. Rencana pembaruan harus mengonfirmasi kompatibilitas klien dan jalur pemulihan basis data yang layak sebelum mengganti rilis yang berjalan.
Dokumentasi resmi: Persyaratan pencadangan Vaultwarden