Розумійте проєкт і клієнти
Vaultwarden — це окремий проєкт, тому перевіряйте поточну сумісність клієнтів, підтримувані настанови щодо розгортання та оновлення безпеки. Малий обсяг ресурсів не повинен призводити до недбалого процесу обслуговування.
Обмежте точки входу
Використовуйте HTTPS, надійний захист облікового запису та продумані засоби контролю реєстрації. Захищайте або вимикайте адміністративні кінцеві точки, якщо це підтримується. Тримайте хост і зворотний проксі в актуальному стані та обмежуйте доступ до приватної конфігурації.
Тримайте відновлення незалежним
Зберігайте коди відновлення та доступ до резервних копій приватно поза сервером. Не робіть єдиний шлях до вашої резервної копії залежним від облікових даних, що зберігаються лише всередині сховища. Подумайте, як ви відновите доступ після втрати і сервера, і пристрою.
Створюйте резервні копії узгодженого стану
Дотримуйтеся підтримуваної процедури для бази даних, вкладень, конфігурації та ключів. Шифруйте резервні копії поза майданчиком і ретельно перевіряйте відновлення. Скопійований образ контейнера не містить усіх постійних даних сховища.
Перевірте повний сценарій відновлення облікового запису
Використовуйте одноразовий тестовий обліковий запис, щоб перевірити вхід, другий фактор, експорт сховища за потреби та шлях відновлення. Тримайте аварійну інформацію поза розміщеним сховищем. Уникайте тестування руйнівних дій відновлення на єдиній копії реального облікового запису.
Перевіряйте видимість після кожної зміни проксі
Перегляньте публічні маршрути, адміністративний інтерфейс, вимоги до websocket чи сповіщень для встановленої версії та фактичного походження TLS. Конфігурація застосунку, що була приватною за одним проксі, може стати публічною після зміни мережі чи контейнера.
Відокремте службу сховища від системи відновлення
Виберіть підтримуваний випуск Vaultwarden і перевірте сумісність із клієнтами Bitwarden, які плануєте використовувати. Підготуйте стабільне походження HTTPS, постійні приватні дані та незалежний шлях відновлення. Зберігайте єдиний пароль резервної копії та матеріали відновлення облікового запису поза розміщеним сховищем. Компактний сервіс усе одно може зберігати ключі до багатьох інших облікових записів, тож віддавайте перевагу перевіреній процедурі оновлення й відновлення, а не економії невеликої частини виділення RAM.
- Виберіть продумані правила реєстрації та запрошень.
- Тримайте адміністративний доступ обмеженим незалежно від доступу користувачів до сховища.
- Перегляньте вимоги до сповіщень і зворотного проксі для встановленого випуску.
Офіційна документація: Приклади розгортання Vaultwarden
Закрийте доступ до налаштування після першого тесту облікового запису
Розгортайте за допомогою підтримуваного прикладу проєкту, зберігайте його каталог даних і встановіть публічний домен на фактичне походження HTTPS. Якщо використовуєте інтерфейс адміністратора, дотримуйтеся його вказівок щодо токена/хешу та обмежте, хто може до нього дістатися; не сприймайте URL, який важко вгадати, за автентифікацію. Після створення потрібного власника перевірте налаштування реєстрації/запрошень із браузера, де ви вийшли з облікового запису. Перевірте другий фактор і поведінку сповіщень, перш ніж додавати справжні секрети.
Офіційна документація: Захист сторінки адміністратора Vaultwarden
Перевірте кожен клієнт із одноразовими даними сховища
Використовуйте тестовий вхід у веб-сховищі, настільному клієнті та будь-якому мобільному/браузерному розширенні, яке плануєте підтримувати. Підтвердьте синхронізацію після зміни елемента та переконайтеся, що користувач, який вийшов із системи, не може його прочитати. Перевірте налаштований URL користувацького сервера та сертифікат, якщо не працює лише один клієнт. Якщо сповіщення не працюють, але ручна синхронізація працює, перевірте поточні вимоги до проксі/websocket. Зберігайте задокументований метод експорту/відновлення та зберігайте коди екстреного доступу через окремий довірений канал.
Відновіть базу даних та її супутні файли
Дотримуйтеся підтримуваного методу резервного копіювання бази даних; необережне копіювання живого файлу SQLite може пропустити нещодавній стан журналу попереднього запису. Включіть потрібні вкладення, конфігурацію та ключовий матеріал із каталогу постійних даних. Зашифруйте копію для відновлення та перевірте відновлення для одноразового користувача в ізольованому середовищі. Не покладайтеся на образ контейнера як на резервну копію даних. План оновлення має підтвердити як сумісність клієнта, так і життєздатний шлях відновлення бази даних перед заміною запущеного випуску.
Офіційна документація: Вимоги до резервного копіювання Vaultwarden