Изучите проект и клиенты
Vaultwarden — отдельный проект, поэтому проверяйте актуальную совместимость с клиентами, поддерживаемые рекомендации по развёртыванию и обновления безопасности. Небольшой объём ресурсов не должен приводить к небрежному процессу обслуживания.
Ограничьте точки входа
Используйте HTTPS, надёжную защиту аккаунта и продуманные ограничения регистрации. Защищайте или отключайте административные эндпоинты, где это поддерживается. Поддерживайте хост и обратный прокси в актуальном состоянии и ограничивайте доступ к приватной конфигурации.
Обеспечьте независимость восстановления
Храните коды восстановления и доступ к резервным копиям приватно вне сервера. Не делайте единственный путь к вашей резервной копии зависимым от учётных данных, хранящихся только внутри хранилища. Подумайте, как вы восстановите доступ после потери и сервера, и устройства.
Резервное копирование согласованного состояния
Следуйте поддерживаемой процедуре для базы данных, вложений, конфигурации и ключей. Шифруйте внешние резервные копии и тщательно проверяйте восстановление. Скопированный образ контейнера не содержит всех постоянных данных хранилища.
Проверьте полный сценарий восстановления аккаунта
Используйте одноразовый тестовый аккаунт, чтобы проверить вход, второй фактор, экспорт хранилища где это уместно и маршрут восстановления. Храните аварийную информацию вне размещённого хранилища. Не тестируйте разрушительные действия восстановления на единственной копии реального аккаунта.
Проверяйте экспозицию после каждого изменения прокси
Проверьте публичные маршруты, административный интерфейс, требования к websocket или уведомлениям для установленной версии и фактический источник TLS. Конфигурация приложения, которая была приватной за одним прокси, может стать публичной после изменения сети или контейнера.
Отделите службу хранилища от системы восстановления
Выберите поддерживаемый релиз Vaultwarden и проверьте совместимость с клиентами Bitwarden, которые планируете использовать. Подготовьте стабильный источник HTTPS, постоянные приватные данные и независимый маршрут восстановления. Храните единственный пароль резервной копии и материалы восстановления аккаунта вне размещённого хранилища. Компактный сервис всё равно может хранить ключи ко многим другим аккаунтам, поэтому отдавайте приоритет проверенной процедуре обновления и восстановления, а не экономии небольшой части выделения RAM.
- Выберите продуманные правила регистрации и приглашений.
- Ограничивайте административный доступ независимо от доступа пользователей к хранилищу.
- Проверьте требования к уведомлениям и обратному прокси для установленной версии.
Официальная документация: Примеры развёртывания Vaultwarden
Закройте доступ к настройке после первой проверки аккаунта
Разверните с использованием поддерживаемого примера проекта, обеспечьте сохранность каталога данных и задайте публичный домен как фактический источник HTTPS. Если используете интерфейс администратора, следуйте его рекомендациям по токену/хешу и ограничьте доступ к нему; не путайте URL, который трудно угадать, с аутентификацией. После создания нужного владельца проверьте настройки регистрации/приглашений из браузера без входа. Протестируйте второй фактор и поведение уведомлений, прежде чем добавлять реальные секреты.
Официальная документация: Защита страницы администратора Vaultwarden
Проверьте каждый клиент на одноразовых данных хранилища
Используйте тестовый вход в веб-хранилище, настольный клиент и любое мобильное/браузерное расширение, которое планируете поддерживать. Подтвердите синхронизацию после изменения элемента и убедитесь, что вышедший из системы пользователь не может его прочитать. Проверьте настроенный URL пользовательского сервера и сертификат, если сбой возникает только в одном клиенте. Если уведомления не работают, а ручная синхронизация работает, проверьте текущие требования к прокси/websocket. Ведите документированный способ экспорта/восстановления и храните коды экстренного доступа через отдельный доверенный канал.
Восстановите базу данных и сопутствующие файлы
Следуйте поддерживаемому методу резервного копирования базы данных; небрежное копирование работающего файла SQLite может упустить недавнее состояние журнала упреждающей записи. Включайте необходимые вложения, конфигурацию и ключевые материалы из каталога постоянных данных. Шифруйте резервную копию и проверяйте восстановление для одноразового пользователя в изолированной среде. Не полагайтесь на образ контейнера как на резервную копию данных. План обновления должен подтверждать как совместимость клиента, так и рабочий путь восстановления базы данных перед заменой работающего выпуска.
Официальная документация: Требования к резервному копированию Vaultwarden