Begrijp het project en de clients
Vaultwarden is een afzonderlijk project, dus controleer de actuele clientcompatibiliteit, ondersteunde implementatierichtlijnen en beveiligingsupdates. Een kleine resourcevoetafdruk mag niet leiden tot een achteloos onderhoudsproces.
Beperk toegangspunten
Gebruik HTTPS, sterke accountbeveiliging en bewuste aanmeldingscontroles. Bescherm of schakel beheerendpoints uit waar ondersteund. Houd de host en reverse proxy actueel en beperk wie toegang heeft tot privéconfiguratie.
Houd herstel onafhankelijk
Bewaar herstelcodes en back-uptoegang privé buiten de server. Maak de enige route naar je back-up niet afhankelijk van inloggegevens die alleen in de kluis zijn opgeslagen. Denk na over hoe je weer toegang krijgt na zowel serververlies als apparaatverlies.
Maak een back-up van een consistente status
Volg de ondersteunde procedure voor de database, bijlagen, configuratie en sleutels. Versleutel offsite back-ups en test het herstel zorgvuldig. Een gekopieerde container-image bevat niet alle persistente vaultgegevens.
Test een volledig accountherstelscenario
Gebruik een wegwerp-testaccount om inloggen, een tweede factor, kluisexport waar van toepassing en de herstelroute te verifiëren. Bewaar noodinformatie buiten de gehoste kluis. Test geen destructieve herstelacties op de enige kopie van een echt account.
Controleer de blootstelling na elke proxywijziging
Controleer de publieke routes, administratieve interface, websocket- of notificatievereisten voor de geïnstalleerde versie en de werkelijke TLS-origin. Een applicatieconfiguratie die privé was achter één proxy kan openbaar worden na een netwerk- of containerwijziging.
Scheid de kluisdienst van het herstelsysteem
Kies een onderhouden Vaultwarden-release en verifieer de compatibiliteit met de Bitwarden-clients die je wilt gebruiken. Bereid een stabiele HTTPS-oorsprong, persistente privégegevens en een onafhankelijke herstelroute voor. Bewaar het enige back-upwachtwoord en accountherstelmateriaal buiten de gehoste kluis. Een compacte dienst kan nog steeds de sleutels tot vele andere accounts bevatten, dus geef prioriteit aan een geteste update- en herstelprocedure boven het besparen van een klein deel van de RAM-toewijzing.
- Kies doordachte registratie- en uitnodigingsregels.
- Beperk administratieve toegang onafhankelijk van toegang tot gebruikerskluizen.
- Controleer de vereisten voor meldingen en reverse-proxy voor de geïnstalleerde release.
Officiële documentatie: Vaultwarden-implementatievoorbeelden
Sluit setup-toegang na de eerste accounttest
Implementeer met het door het project ondersteunde voorbeeld, maak de datadirectory persistent en stel het openbare domein in op de werkelijke HTTPS-oorsprong. Als je de beheerinterface gebruikt, volg dan de richtlijnen voor tokens/hashes en beperk wie erbij kan; verwar een URL die moeilijk te raden is niet met authenticatie. Controleer na het aanmaken van de beoogde eigenaar de aanmeldings-/uitnodigingsinstellingen vanuit een uitgelogde browser. Test een tweede factor en het meldingsgedrag voordat je echte geheimen toevoegt.
Officiële documentatie: Bescherming van de Vaultwarden-beheerpagina
Test elke client met wegwerpkluisgegevens
Gebruik een testlogin in de webkluis, een desktopclient en elke mobiele/browserextensie die je wilt ondersteunen. Bevestig synchronisatie na het wijzigen van een item en bevestig dat een uitgelogde gebruiker het niet kan lezen. Controleer de geconfigureerde aangepaste server URL en het certificaat als slechts één client faalt. Als meldingen mislukken maar handmatige synchronisatie werkt, inspecteer dan de actuele proxy/websocket-vereisten. Houd een gedocumenteerde export-/herstelmethode aan en bewaar noodcodes via een aparte vertrouwde route.
Herstel de database en de bijbehorende bestanden
Volg de ondersteunde methode voor databaseback-ups; het achteloos kopiëren van een live SQLite-bestand kan recente write-ahead-log-status weglaten. Neem vereiste bijlagen, configuratie en sleutelmateriaal uit de persistente datadirectory op. Versleutel de herstelkopie en test een herstel voor een wegwerpgebruiker in een geïsoleerde omgeving. Vertrouw niet op de containerimage als databack-up. Een updateplan moet zowel clientcompatibiliteit als een haalbaar databaseherstelpad bevestigen voordat de draaiende release wordt vervangen.
Officiële documentatie: Back-upvereisten voor Vaultwarden