Hiểu dự án và các ứng dụng khách
Vaultwarden là một dự án riêng, vì vậy hãy kiểm tra khả năng tương thích hiện tại của ứng dụng khách, hướng dẫn triển khai được hỗ trợ và các bản cập nhật bảo mật. Dấu chân tài nguyên nhỏ không nên dẫn đến một quy trình bảo trì tùy tiện.
Hạn chế điểm truy cập
Sử dụng HTTPS, bảo vệ tài khoản mạnh mẽ và kiểm soát đăng ký có chủ đích. Bảo vệ hoặc vô hiệu hóa các điểm cuối quản trị theo mức hỗ trợ. Giữ máy chủ và reverse proxy luôn cập nhật và hạn chế ai có thể truy cập cấu hình riêng tư.
Giữ khả năng khôi phục độc lập
Lưu mã khôi phục và quyền truy cập bản sao lưu một cách riêng tư bên ngoài máy chủ. Đừng để con đường duy nhất đến bản sao lưu của bạn phụ thuộc vào thông tin đăng nhập chỉ được lưu bên trong kho lưu trữ. Hãy cân nhắc cách bạn sẽ lấy lại quyền truy cập sau khi mất cả máy chủ lẫn thiết bị.
Sao lưu trạng thái nhất quán
Thực hiện theo quy trình được hỗ trợ cho cơ sở dữ liệu, tệp đính kèm, cấu hình và khóa. Mã hóa bản sao lưu ngoài site và kiểm tra khôi phục cẩn thận. Một image container được sao chép không chứa toàn bộ dữ liệu vault lâu dài.
Kiểm tra kịch bản khôi phục tài khoản hoàn chỉnh
Dùng một tài khoản thử nghiệm dùng một lần để xác minh đăng nhập, yếu tố thứ hai, xuất vault khi phù hợp và tuyến khôi phục. Giữ thông tin khẩn cấp bên ngoài vault được lưu trữ. Tránh thử nghiệm các hành động khôi phục có tính hủy hoại trên bản sao duy nhất của một tài khoản thật.
Kiểm tra mức độ phơi lộ sau mỗi lần thay đổi proxy
Xem xét các tuyến công khai, giao diện quản trị, yêu cầu websocket hoặc thông báo cho phiên bản đã cài đặt và nguồn gốc TLS thực tế. Một cấu hình ứng dụng từng riêng tư sau một proxy có thể trở nên công khai sau thay đổi mạng hoặc container.
Tách dịch vụ kho bí mật khỏi hệ thống khôi phục
Chọn một bản phát hành Vaultwarden được duy trì và xác minh khả năng tương thích với các ứng dụng khách Bitwarden mà bạn định dùng. Chuẩn bị một nguồn gốc HTTPS ổn định, dữ liệu riêng tư bền vững và một tuyến khôi phục độc lập. Giữ mật khẩu sao lưu duy nhất và tài liệu khôi phục tài khoản bên ngoài kho lưu trữ được lưu trữ. Một dịch vụ nhỏ gọn vẫn có thể nắm giữ chìa khóa của nhiều tài khoản khác, vì vậy hãy ưu tiên quy trình cập nhật và khôi phục đã được kiểm chứng hơn là cắt giảm một chút từ phân bổ RAM.
- Chọn quy tắc đăng ký và mời có chủ đích.
- Giữ quyền truy cập quản trị bị hạn chế độc lập với quyền truy cập kho của người dùng.
- Xem lại các yêu cầu về thông báo và reverse-proxy cho bản phát hành đã cài đặt.
Tài liệu chính thức: Ví dụ triển khai Vaultwarden
Đóng quyền truy cập thiết lập sau lần kiểm tra tài khoản đầu tiên
Triển khai bằng ví dụ được dự án hỗ trợ, duy trì thư mục dữ liệu của nó và đặt tên miền công khai thành origin HTTPS thực tế. Nếu dùng giao diện quản trị, hãy làm theo hướng dẫn về token/hash của nó và hạn chế ai có thể truy cập; đừng nhầm một URL khó đoán với xác thực. Sau khi tạo chủ sở hữu dự định, hãy xác minh cài đặt đăng ký/lời mời từ trình duyệt đã đăng xuất. Kiểm tra yếu tố thứ hai và hành vi thông báo trước khi thêm bí mật thật.
Tài liệu chính thức: Bảo vệ trang quản trị Vaultwarden
Thử mọi ứng dụng khách với dữ liệu kho dùng một lần
Sử dụng đăng nhập thử nghiệm trong kho web, ứng dụng khách máy tính để bàn và bất kỳ tiện ích mở rộng di động/trình duyệt nào bạn dự định hỗ trợ. Xác nhận đồng bộ sau khi thay đổi một mục và xác nhận rằng người dùng đã đăng xuất không thể đọc mục đó. Kiểm tra URL máy chủ tùy chỉnh được cấu hình và chứng chỉ nếu chỉ một ứng dụng khách gặp lỗi. Nếu thông báo không hoạt động nhưng đồng bộ thủ công vẫn hoạt động, hãy kiểm tra các yêu cầu proxy/websocket hiện tại. Giữ một phương thức xuất/khôi phục được ghi lại và lưu trữ mã khẩn cấp qua một tuyến đáng tin cậy riêng biệt.
Khôi phục cơ sở dữ liệu và các tệp đi kèm
Tuân theo phương pháp sao lưu cơ sở dữ liệu được hỗ trợ; sao chép tệp SQLite đang hoạt động một cách bất cẩn có thể bỏ sót trạng thái write-ahead-log gần đây. Bao gồm các tệp đính kèm, cấu hình và tài liệu khóa cần thiết từ thư mục dữ liệu liên tục. Mã hóa bản sao phục hồi và kiểm tra khôi phục người dùng dùng một lần trong môi trường cách ly. Không dựa vào image container làm bản sao lưu dữ liệu. Kế hoạch cập nhật nên xác nhận cả khả năng tương thích của client và đường phục hồi cơ sở dữ liệu khả thi trước khi thay thế bản phát hành đang chạy.
Tài liệu chính thức: Yêu cầu sao lưu Vaultwarden