ตู้เซฟรหัสผ่านสมควรได้โฮสต์ที่รอบคอบ

เข้าใจโปรเจกต์และไคลเอนต์

Vaultwarden เป็นโปรเจกต์แยกต่างหาก ดังนั้นควรตรวจสอบความเข้ากันได้ของไคลเอนต์ในปัจจุบัน คำแนะนำการติดตั้งใช้งานที่รองรับ และการอัปเดตความปลอดภัย ทรัพยากรที่ใช้เพียงเล็กน้อยไม่ควรนำไปสู่กระบวนการบำรุงรักษาที่ไม่รอบคอบ

จำกัดจุดเข้าใช้งาน

ใช้ HTTPS การป้องกันบัญชีที่แข็งแกร่ง และการควบคุมการสมัครอย่างรอบคอบ ปกป้องหรือปิดใช้งานปลายทางสำหรับผู้ดูแลระบบตามที่รองรับ อัปเดตโฮสต์และรีเวิร์สพร็อกซีให้เป็นปัจจุบัน และจำกัดผู้ที่สามารถเข้าถึงการกำหนดค่าส่วนตัว

รักษาการกู้คืนให้เป็นอิสระ

เก็บรหัสกู้คืนและการเข้าถึงข้อมูลสำรองไว้เป็นส่วนตัวนอกเซิร์ฟเวอร์ อย่าให้เส้นทางเดียวสู่ข้อมูลสำรองของคุณขึ้นอยู่กับข้อมูลรับรองที่เก็บไว้ในตู้เซฟเท่านั้น พิจารณาว่าคุณจะกลับเข้าถึงได้อย่างไรหลังสูญเสียทั้งเซิร์ฟเวอร์และอุปกรณ์

สำรองข้อมูลสถานะที่สอดคล้องกัน

ปฏิบัติตามขั้นตอนที่รองรับสำหรับฐานข้อมูล ไฟล์แนบ การกำหนดค่า และคีย์ เข้ารหัสสำรองข้อมูลนอกสถานที่และทดสอบการกู้คืนอย่างระมัดระวัง อิมเมจคอนเทนเนอร์ที่คัดลอกมาไม่ได้มีข้อมูลถาวรทั้งหมดของ vault

ทดสอบสถานการณ์การกู้คืนบัญชีแบบครบวงจร

ใช้บัญชีทดสอบแบบใช้แล้วทิ้งเพื่อตรวจสอบการเข้าสู่ระบบ ปัจจัยที่สอง การส่งออก vault ตามความเหมาะสม และเส้นทางการกู้คืน เก็บข้อมูลฉุกเฉินไว้นอก vault ที่โฮสต์ หลีกเลี่ยงการทดสอบการกู้คืนที่ทำลายข้อมูลกับสำเนาเดียวของบัญชีจริง

ตรวจสอบการเปิดเผยหลังการเปลี่ยนแปลงพร็อกซีทุกครั้ง

ตรวจสอบเส้นทางสาธารณะ อินเทอร์เฟซการจัดการ ข้อกำหนดเว็บซ็อกเก็ตหรือการแจ้งเตือนสำหรับเวอร์ชันที่ติดตั้ง และต้นทาง TLS จริง การกำหนดค่าแอปพลิเคชันที่เป็นส่วนตัวหลังพร็อกซีตัวหนึ่งอาจกลายเป็นสาธารณะได้หลังการเปลี่ยนแปลงเครือข่ายหรือคอนเทนเนอร์

แยกบริการห้องนิรภัยออกจากระบบกู้คืน

เลือกเวอร์ชัน Vaultwarden ที่ยังได้รับการดูแลและตรวจสอบความเข้ากันได้กับไคลเอนต์ Bitwarden ที่คุณตั้งใจจะใช้ เตรียมต้นทาง HTTPS ที่เสถียร ข้อมูลส่วนตัวแบบถาวร และเส้นทางการกู้คืนที่เป็นอิสระ เก็บรหัสผ่านสำรองเพียงชุดเดียวและข้อมูลการกู้คืนบัญชีไว้นอกตู้เซฟที่โฮสต์ บริการขนาดกะทัดรัดยังสามารถถือกุญแจของบัญชีอื่นอีกหลายบัญชีได้ ดังนั้นให้ความสำคัญกับขั้นตอนการอัปเดตและการกู้คืนที่ผ่านการทดสอบมากกว่าการประหยัดเพียงเล็กน้อยจากการจัดสรร RAM

• เลือกกฎการลงทะเบียนและการเชิญอย่างรอบคอบ
• จำกัดการเข้าถึงของผู้ดูแลแยกจากการเข้าถึงตู้เซฟของผู้ใช้
• ตรวจสอบข้อกำหนดด้านการแจ้งเตือนและรีเวิร์สพร็อกซีสำหรับรีลีสที่ติดตั้งไว้

เอกสารอย่างเป็นทางการ: ตัวอย่างการติดตั้งใช้งาน Vaultwarden

ปิดการเข้าถึงการตั้งค่าหลังการทดสอบบัญชีครั้งแรก

ติดตั้งใช้งานโดยใช้ตัวอย่างที่โครงการรองรับ จัดเก็บไดเรกทอรีข้อมูลอย่างถาวร และตั้งโดเมนสาธารณะให้เป็นต้นทาง HTTPS จริง หากใช้ส่วนติดต่อผู้ดูแล ให้ปฏิบัติตามคำแนะนำเรื่องโทเคน/แฮช และจำกัดผู้ที่เข้าถึงได้ อย่าคิดว่า URL ที่เดายากคือการยืนยันตัวตน หลังจากสร้างเจ้าของที่ต้องการแล้ว ให้ตรวจสอบการตั้งค่าการสมัคร/การเชิญจากเบราว์เซอร์ที่ออกจากระบบแล้ว ทดสอบปัจจัยที่สองและพฤติกรรมการแจ้งเตือนก่อนเพิ่มข้อมูลลับจริง

เอกสารอย่างเป็นทางการ: การป้องกันหน้าผู้ดูแลของ Vaultwarden

ทดสอบไคลเอนต์ทุกตัวด้วยข้อมูลตู้เซฟแบบใช้แล้วทิ้ง

ใช้การเข้าสู่ระบบทดสอบในเว็บวอลต์ ไคลเอนต์เดสก์ท็อป และส่วนขยายมือถือ/เบราว์เซอร์ใดก็ตามที่คุณวางแผนจะรองรับ ยืนยันการซิงค์หลังจากเปลี่ยนรายการ และยืนยันว่าผู้ใช้ที่ออกจากระบบแล้วไม่สามารถอ่านได้ ตรวจสอบ URL ของเซิร์ฟเวอร์กำหนดเองที่ตั้งค่าไว้และใบรับรองหากมีไคลเอนต์เดียวที่ล้มเหลว หากการแจ้งเตือนล้มเหลวแต่การซิงค์ด้วยตนเองทำงานได้ ให้ตรวจสอบข้อกำหนดพร็อกซี/เว็บซ็อกเก็ตในปัจจุบัน เก็บวิธีการส่งออก/กู้คืนที่บันทึกไว้เป็นเอกสาร และจัดเก็บรหัสฉุกเฉินผ่านช่องทางที่เชื่อถือได้แยกต่างหาก

กู้คืนฐานข้อมูลและไฟล์ประกอบ

ปฏิบัติตามวิธีการสำรองฐานข้อมูลที่รองรับ การคัดลอกไฟล์ SQLite ที่กำลังใช้งานโดยไม่ระมัดระวังอาจละเลยสถานะ write-ahead-log ล่าสุด รวมไฟล์แนบที่จำเป็น การกำหนดค่า และวัสดุกุญแจจากไดเรกทอรีข้อมูลถาวร เข้ารหัสสำเนาการกู้คืนและทดสอบการกู้คืนของผู้ใช้แบบใช้แล้วทิ้งในสภาพแวดล้อมที่แยกออกมา อย่าพึ่งพาอิมเมจคอนเทนเนอร์เป็นข้อมูลสำรอง แผนการอัปเดตควรยืนยันทั้งความเข้ากันได้ของไคลเอนต์และเส้นทางการกู้คืนฐานข้อมูลที่เป็นไปได้ก่อนแทนที่รีลีสที่กำลังทำงาน

เอกสารอย่างเป็นทางการ: ข้อกำหนดการสำรองข้อมูลของ Vaultwarden