Înțelegeți proiectul și clienții
Vaultwarden este un proiect separat, așa că verificați compatibilitatea actuală a clienților, ghidul de implementare acceptat și actualizările de securitate. O amprentă redusă de resurse nu ar trebui să ducă la un proces de întreținere neglijent.
Restrângeți punctele de intrare
Folosiți HTTPS, protecție puternică a contului și controale deliberate la înregistrare. Protejați sau dezactivați punctele finale administrative, după cum este acceptat. Mențineți gazda și proxy-ul invers la zi și restricționați cine poate accesa configurația privată.
Mențineți recuperarea independentă
Stochează codurile de recuperare și accesul la backup în privat, în afara serverului. Nu face singura rută către backupul tău dependentă de credențiale stocate doar în interiorul seifului. Gândește-te cum ai recupera accesul după pierderea atât a serverului, cât și a dispozitivului.
Fă backup la o stare consistentă
Urmează procedura acceptată pentru baza de date, atașamente, configurație și chei. Criptează copiile de rezervă offsite și testează cu atenție restaurarea. O imagine de container copiată nu conține toate datele persistente ale seifului.
Testați un scenariu complet de recuperare a contului
Folosiți un cont de test de unică folosință pentru a verifica autentificarea, un al doilea factor, exportul seifului unde este cazul și ruta de recuperare. Păstrați informațiile de urgență în afara seifului găzduit. Evitați testarea acțiunilor de recuperare distructive pe singura copie a unui cont real.
Verificați expunerea după fiecare modificare a proxy-ului
Examinați rutele publice, interfața administrativă, cerințele de websocket sau notificare pentru versiunea instalată și originea reală TLS. O configurație de aplicație care era privată în spatele unui proxy poate deveni publică după o modificare de rețea sau container.
Separați serviciul de seif de sistemul de recuperare
Selectează o versiune Vaultwarden întreținută și verifică compatibilitatea cu clienții Bitwarden pe care intenționezi să îi folosești. Pregătește un origin HTTPS stabil, date private persistente și o rută de recuperare independentă. Păstrează singura parolă de backup și materialele de recuperare a contului în afara seifului găzduit. Un serviciu compact poate totuși deține cheile multor altor conturi, așa că prioritizează o procedură testată de actualizare și recuperare în loc să reduci puțin din alocarea RAM.
- Alege reguli deliberate de înregistrare și invitație.
- Păstrați accesul administrativ restricționat independent de accesul utilizatorilor la seif.
- Examinați cerințele de notificare și de proxy invers pentru versiunea instalată.
Documentație oficială: Exemple de implementare Vaultwarden
Închideți accesul de configurare după primul test al contului
Implementați folosind exemplul acceptat al proiectului, păstrați directorul său de date și setați domeniul public la originea HTTPS reală. Dacă utilizați interfața de administrare, urmați indicațiile acesteia privind tokenul/hash-ul și restricționați cine o poate accesa; nu confundați un URL greu de ghicit cu autentificarea. După crearea proprietarului dorit, verificați setările de înregistrare/invitare dintr-un browser deconectat. Testați un al doilea factor și comportamentul notificărilor înainte de a adăuga secrete reale.
Documentație oficială: Protecția paginii de administrare Vaultwarden
Testați fiecare client cu date de seif de unică folosință
Folosește un login de test în seiful web, un client desktop și orice extensie mobilă/de browser pe care intenționezi să o suporți. Confirmă sincronizarea după modificarea unui element și confirmă că un utilizator deconectat nu îl poate citi. Verifică URL serverului personalizat configurat și certificatul dacă doar un client eșuează. Dacă notificările eșuează dar sincronizarea manuală funcționează, inspectează cerințele actuale de proxy/websocket. Păstrează o metodă documentată de export/recuperare și stochează codurile de urgență printr-o rută de încredere separată.
Restaurați baza de date și fișierele sale însoțitoare
Urmați metoda de backup a bazei de date acceptată; copierea neglijentă a unui fișier SQLite activ poate omite starea recentă din write-ahead-log. Includeți atașamentele necesare, configurația și materialul de chei din directorul de date persistent. Criptați copia de recuperare și testați o restaurare de utilizator de unică folosință într-un mediu izolat. Nu vă bazați pe imaginea containerului ca backup de date. Un plan de actualizare ar trebui să confirme atât compatibilitatea clientului, cât și o cale viabilă de recuperare a bazei de date înainte de a înlocui versiunea în execuție.
Documentație oficială: Cerințe de backup Vaultwarden