Bitwarden on Liangweidong's blog

Vaultwarden 密码管理自托管：Bitwarden 兼容 + WebSocket + Nginx 反代

Wed, 15 Mar 2023 00:00:00 +0800

密码管理是企业 / 个人最值得投资的安全基础设施之一。1Password / LastPass 商业版每年几十美元 / 用户，Vaultwarden（Bitwarden 兼容）自托管只要 1 个 Docker 容器——而且数据完全掌控在自己手里。本篇把完整部署、Nginx 反代、WebSocket 通知、生产加固整理清楚。

阅读对象：技术团队负责人 / 注重个人隐私的开发者 覆盖范围：Vaultwarden 基础部署 + 完整 docker-compose + WebSocket 通知 + Nginx 反代 + 备份恢复 + 高级加固

一、为什么选 Vaultwarden

Bitwarden 是开源密码管理器，跨平台支持完善（Windows / macOS / Linux / iOS / Android / 浏览器扩展）。但官方服务端需要 SQL Server（商业版），自托管成本高。

Vaultwarden 是 Bitwarden 服务端的社区重写版（原名 bitwarden_rs）：

维度	官方 Bitwarden	Vaultwarden
镜像大小	~ 1.5 GB（含 SQL Server）	~ 80 MB
内存占用	2GB+	50-100 MB
数据库	SQL Server（必须）	SQLite / PostgreSQL / MySQL
客户端兼容	官方客户端	官方客户端全兼容
API 兼容	原生	100% 兼容
项目维护	Bitwarden Inc.	社区

2021-04-27 项目从 bitwarden_rs 更名为 Vaultwarden，客户端仍是 Bitwarden 官方客户端——只是服务端换成 Vaultwarden 即可。

When to use：

团队 / 公司有 5+ 员工，需要共享密码

注重数据隐私，不想把密码交给第三方

已经买了 1Password 商业版但想降本

二、基础部署

2.1 SQLite 版本（个人 / 小团队）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


docker run -d \
 --name vaultwarden \
 --restart always \
 -e WEBSOCKET_ENABLED=true \
 -e SIGNUPS_ALLOWED=false \
 -e WEB_VAULT_ENABLED=true \
 -v /home/vw/data:/data \
 -p 8087:80 \
 -p 3012:3012 \
 vaultwarden/server:1.25.1-alpine

环境变量：

WEBSOCKET_ENABLED=true：启用 WebSocket（密码同步通知）
SIGNUPS_ALLOWED=false：禁止注册——第一次部署时自己注册后改 false
WEB_VAULT_ENABLED=true：启用 Web 客户端
ADMIN_TOKEN=...（可选）：后台管理密码

2.2 docker-compose 完整版

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


version: '3'
services:
 vaultwarden:
 image: vaultwarden/server:1.25.1-alpine
 container_name: vaultwarden
 restart: always
 environment:
 WEBSOCKET_ENABLED: "true"
 SIGNUPS_ALLOWED: "false"
 WEB_VAULT_ENABLED: "true"
 ADMIN_TOKEN: "{{REDACTED}}" # 用 openssl rand -base64 48 生成
 ROCKET_PORT: "8087"
 DOMAIN: "https://vw.example.com"
 SHOW_PASSWORD_HINT: "false"
 LOG_LEVEL: "warn"
 volumes:
 - /home/vw/data:/data
 ports:
 - "8087:8087"
 - "3012:3012"

ADMIN_TOKEN 用 openssl rand -base64 48 生成——这是后台管理面板 /admin 的访问密码。

2.3 PostgreSQL 版本（生产推荐）

SQLite 在并发写入时容易锁库——团队 20+ 用户推荐 PostgreSQL：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31


version: '3'
services:
 vaultwarden:
 image: vaultwarden/server:latest
 container_name: vaultwarden
 restart: always
 depends_on:
 - postgres
 environment:
 DATABASE_URL: postgresql://vaultwarden:{{DB_PASS}}@postgres:5432/vaultwarden
 WEBSOCKET_ENABLED: "true"
 SIGNUPS_ALLOWED: "false"
 WEB_VAULT_ENABLED: "true"
 ADMIN_TOKEN: "{{REDACTED}}"
 DOMAIN: "https://vw.example.com"
 volumes:
 - /home/vw/data:/data
 ports:
 - "8087:8087"
 - "3012:3012"

 postgres:
 image: postgres:13-alpine
 container_name: vaultwarden-db
 restart: always
 environment:
 POSTGRES_USER: vaultwarden
 POSTGRES_PASSWORD: "{{DB_PASS}}"
 POSTGRES_DB: vaultwarden
 volumes:
 - /home/vw/pgdata:/var/lib/postgresql/data

生产推荐用 PostgreSQL，性能 + 并发 + 备份工具都更成熟。

三、Nginx 反向代理

直接用 :8087 端口访问不安全——必须套 HTTPS。

3.1 完整 Nginx 配置

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58


server {
 listen 80;
 server_name vw.example.com;
 return 301 https://$server_name$request_uri;
}

server {
 listen 443 ssl http2;
 server_name vw.example.com;

 ssl_certificate /etc/nginx/ssl/vw.example.com.fullchain.pem;
 ssl_certificate_key /etc/nginx/ssl/vw.example.com.privkey.pem;
 ssl_protocols TLSv1.2 TLSv1.3;

 # HSTS
 add_header Strict-Transport-Security "max-age=63072000" always;

 # 反代主应用
 location / {
 proxy_pass http://127.0.0.1:8087;
 proxy_http_version 1.1;
 proxy_cache_bypass $http_upgrade;
 proxy_set_header Upgrade $http_upgrade;
 proxy_set_header Connection "upgrade";
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_set_header X-Forwarded-Host $host;
 proxy_set_header X-Forwarded-Port $server_port;
 }

 # WebSocket 通知（密码同步实时推送）
 location /notifications/hub {
 proxy_pass http://127.0.0.1:3012;
 proxy_set_header Upgrade $http_upgrade;
 proxy_set_header Connection "upgrade";
 }

 # WebSocket 协商
 location /notifications/hub/negotiate {
 proxy_pass http://127.0.0.1:8087;
 }

 # 后台管理面板
 location /admin {
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_pass http://127.0.0.1:8087;
 }

 # 防止搜索引擎抓取（重要！）
 location = /robots.txt {
 root /home/wwwroot/Bitwarden;
 }
}

关键点：

proxy_http_version 1.1：必须 1.1，HTTP/1.0 不支持 Upgrade
proxy_set_header Connection "upgrade"：触发协议升级
/notifications/hub 走 3012 端口（WebSocket 专用）
/admin 路径在 Vaultwarden 中默认不开放——要 ADMIN_TOKEN 启用

3.2 反代安全清单

风险	修复
`robots.txt` 让搜索引擎爬	必须配自定义 robots.txt 禁止爬取
弱密码	注册时强制密码强度，禁止 `123456` 等
`SIGNUPS_ALLOWED=true`	第一次注册后立刻改 false
暴露管理面板	`ADMIN_TOKEN` 用 48 字节随机数，别用生日
没限流	用 Nginx `limit_req` 防爆破

1
2
3
4
5
6
7


# 登录限流
limit_req_zone $binary_remote_addr zone=login:10m rate=5r/m;

location /api/auth {
 limit_req zone=login burst=3 nodelay;
 proxy_pass http://127.0.0.1:8087;
}

四、客户端使用

4.1 桌面客户端

打开 Bitwarden 桌面客户端 → 设置 → 服务器 URL → https://vw.example.com

4.2 浏览器扩展

Chrome / Edge / Firefox 商店搜 “Bitwarden” → 安装 → 设置 → 服务器 URL。

4.3 移动端

iOS / Android 装 Bitwarden 官方 App，首次登录用自托管 URL。

4.4 导入已有密码

Bitwarden 支持从以下来源导入：

1Password（.1pif）
LastPass（.csv）
Chrome / Firefox（.csv）
KeePass（.xml）
Dashlane / RoboForm / Enpass

Web 客户端 https://vw.example.com/#/tools/import 操作。

五、备份与恢复

5.1 SQLite 备份

1
2
3
4
5


# 在线备份（不锁库）
docker exec vaultwarden sqlite3 /data/db.sqlite3 ".backup '/data/backup/db-$(date +%Y%m%d).sqlite3'"

# 拷贝出来
docker cp vaultwarden:/data/backup ./vaultwarden_backup_$(date +%Y%m%d)

5.2 PostgreSQL 备份

1
2
3
4
5


# 逻辑备份
docker exec vaultwarden-db pg_dump -U vaultwarden vaultwarden > vw-$(date +%Y%m%d).sql

# 物理备份（推荐）
docker exec vaultwarden-db pg_basebackup -D /backup/$(date +%Y%m%d) -U vaultwarden -Fp -Xs -P

5.3 附件 / 密钥 / RSA 密钥

1
2
3
4
5


# 全量备份
tar czf vw-full-backup-$(date +%Y%m%d).tar.gz /home/vw/data

# 上传对象存储
ossutil cp vw-full-backup-*.tar.gz oss://backup-bucket/vaultwarden/

5.4 恢复

1
2
3
4
5
6
7
8


# 1. 停服
docker compose down

# 2. 恢复数据
tar xzf vw-full-backup-20240315.tar.gz -C /

# 3. 启动
docker compose up -d

自动备份到 OSS：

1
2


# crontab 每天 3 点
0 3 * * * /usr/local/bin/vw_backup.sh

六、Admin 后台

启用 ADMIN_TOKEN 后访问 https://vw.example.com/admin：

1
2
3


# 生成强 token
openssl rand -base64 48
# 输出：eK7vN9pQ2xR5tY8wA1bC3dF6gH0iJ4kL7mN9oP2qR5tU8vW1xY4zA7bC0dF3gH6i

后台功能：

查看用户列表
禁用 / 启用用户
强制 2FA（团队必开）
查看登录日志
删除用户及其数据

强 2FA 策略：

1
2


# 禁止非 2FA 用户登录（管理面板）
# 后台 → Users → 用户 → 勾选 "Require 2FA"

七、生产加固清单

7.1 网络层

强制 HTTPS（Nginx 301 重定向）
限流（Nginx limit_req 防爆破）
IP 白名单（后台 /admin 限定内网）
fail2ban（自动封禁多次失败 IP）

7.2 应用层

SIGNUPS_ALLOWED=false（注册后必关）
强 ADMIN_TOKEN（48 字节随机）
数据库连接加密（PostgreSQL SSL）
禁用密码提示：SHOW_PASSWORD_HINT=false

7.3 监控

1
2
3
4
5
6


# 接入 Loki
docker run -d \
 --name vaultwarden \
 --log-driver=loki \
 --log-opt loki-url="http://internal.example.com:3100/loki/api/v1/push" \
 ...

告警规则：

失败登录 > 100/小时：可能有人在爆破
新用户注册：SIGNUPS_ALLOWED=false 后应为 0
数据库连接失败：PostgreSQL 健康检查

八、典型坑位

8.1 WebSocket 连接 404

症状：客户端同步卡死，提示 WebSocket 失败。

修复：

WEBSOCKET_ENABLED=true 环境变量
3012 端口在 Nginx 暴露：location /notifications/hub
proxy_http_version 1.1 + proxy_set_header Connection "upgrade"

8.2 文件上传 413

症状：上传附件 > 1MB 失败。

修复：

1

client_max_body_size 100m;

8.3 团队成员密码泄露

应急：

1
2
3
4


# 1. 后台 /admin 禁用该用户
# 2. 强制全员改主密码
# 3. 检查登录日志，看是否有异常 IP
docker logs vaultwarden 2>&1 | grep -E "Failed login|Invalid"

8.4 Vaultwarden 升级失败

症状：升级后数据库迁移报错。

修复：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


# 1. 升级前必备份
docker exec vaultwarden-db pg_dump -U vaultwarden vaultwarden > vw-backup.sql

# 2. 升级
docker compose pull vaultwarden
docker compose up -d

# 3. 启动失败时查看日志
docker logs vaultwarden

# 4. 回滚
docker compose down
docker compose up -d vaultwarden-server:1.25.0 # 回退到旧版本

九、Vaultwarden vs 其他方案

工具	开源	自托管	跨平台	团队功能	2FA
Vaultwarden	✅	✅	✅	✅	✅
1Password	❌	❌	✅	✅	✅
LastPass	❌	❌	✅	✅	✅
KeePass + SyncTrayzor	✅	✅	⚠️	❌	⚠️
Bitwarden 官方	✅	⚠️	✅	✅	✅

自托管 + 团队功能两个条件同时满足，Vaultwarden 是唯一靠谱的开源选择。

十、完整 docker-compose 生产示例

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46


version: '3.8'
services:
 vaultwarden:
 image: vaultwarden/server:1.30.0-alpine
 container_name: vaultwarden
 restart: always
 depends_on:
 - postgres
 environment:
 DATABASE_URL: postgresql://vaultwarden:{{DB_PASS}}@postgres:5432/vaultwarden
 WEBSOCKET_ENABLED: "true"
 SIGNUPS_ALLOWED: "false"
 WEB_VAULT_ENABLED: "true"
 ADMIN_TOKEN: "{{REDACTED}}"
 DOMAIN: "https://vw.example.com"
 SHOW_PASSWORD_HINT: "false"
 LOG_LEVEL: "warn"
 SIGNUPS_DOMAINS_WHITELIST: "example.com" # 只允许企业邮箱注册（首次）
 INVITATIONS_ALLOWED: "true" # 团队邀请
 DISABLE_ICON_DOWNLOAD: "true" # 防止外网图片泄露
 volumes:
 - /home/vw/data:/data
 networks:
 - vw-net
 healthcheck:
 test: ["CMD", "curl", "-f", "http://localhost:8087/alive"]
 interval: 30s
 timeout: 5s
 retries: 3

 postgres:
 image: postgres:15-alpine
 container_name: vaultwarden-db
 restart: always
 environment:
 POSTGRES_USER: vaultwarden
 POSTGRES_PASSWORD: "{{DB_PASS}}"
 POSTGRES_DB: vaultwarden
 volumes:
 - /home/vw/pgdata:/var/lib/postgresql/data
 networks:
 - vw-net

networks:
 vw-net:
 driver: bridge

首次部署流程：

启动 → 访问 https://vw.example.com/#/register
注册一个管理员账户（比如 admin@example.com）
立刻改 SIGNUPS_ALLOWED=false，重启
用该账户登录 → 邀请团队成员
强制全员开 2FA

2024+ 视角补充

本文写于 2023-03，2024-2026 期间 Vaultwarden 关键演进：

Vaultwarden 1.30+（2024-08）：Passkey / WebAuthn 完整支持（vs 老版本仅 TOTP）——2024+ 无密码化趋势下的核心能力
Vaultwarden 1.32+（2025-Q1）：内置 SSO（SAML 2.0 / OIDC）——企业 AD / Okta / Azure AD 集成开箱即用
Vaultwarden 1.33+（2025-Q3）：Send 端到端加密文件分享（vs 老版本仅文字）；风险评估报告（用户密码健康度）
Bitwarden 官方 2024 重构：原 Bitwarden 服务端（商业版）2024-2025 全面转向 Rust 重写，性能 3x 提升——但 Vaultwarden 仍 100% 兼容官方客户端
替代品（2024+ 视角）：
- Bitwarden 官方（商业）：2024 起免费版限制到 2 用户——中小企业必须付费
- Proton Pass（2024-Q3）：Proton 公司出品，E2EE 邮件 + 密码一体化——隐私党新选择
- 1Password 8.x（2024）：Linux 客户端 GA，CLI 工具完善，企业级SCIM 同步
- Passwork / Psono（2024）：欧洲 GDPR 友好，自托管 + 团队功能
- KeePassXC + KeePassDX（移动）+ Syncthing 同步：纯本地方案 2024 仍活跃

实战建议（2025-2026 视角）：

个人 / 小团队 → Vaultwarden 1.33+ 仍是首选自托管方案
企业 / 合规 → Vaultwarden 1.32+ 的 SSO + RBAC 满足等保 / SOC 2 基础要求
无密码化 → Passkey + Vaultwarden 1.30+ 已是稳态组合
云服务 → Bitwarden / 1Password / Proton Pass 三足鼎立

下一步

想看 VPN 与代理自托管（OpenVPN / V2Ray）→ VPN 与代理自托管
想看 站点与博客自托管（WordPress / WVP 视频监控）→ 站点与博客自托管
想看 Watchtower 容器自动更新（守护所有容器的升级）→ Watchtower 容器自动更新
想看 MinIO 对象存储实战（S3 兼容对象存储）→ MinIO 对象存储实战

Vaultwarden 自托管密码管理：Bitwarden 兼容 + 轻量部署

Sun, 25 Dec 2022 00:00:00 +0800

密码多了记不住、用一个密码到处用又不安全，密码管理器就成了现代数字生活的刚需。1Password / LastPass 是闭源 SaaS，价格不菲、数据出境也有合规风险。Bitwarden 是开源免费的密码管理器，官方有 SaaS 版也可以自托管——但官方服务端是 .NET + MSSQL，重型不友好。Vaultwarden（原 bitwarden_rs）是 Bitwarden 服务端的第三方 Rust 重写版，完全兼容官方客户端，资源占用只有官方的 1/10——一个容器、单文件二进制、SQLite 存储，1C1G 都能跑。这篇文章讲清楚部署、反代、客户端使用。

阅读对象：想给团队/个人自托管密码管理器、又想用 Bitwarden 官方客户端体验的同学
覆盖范围：Vaultwarden 容器化部署、Nginx 反代（WebSocket + /admin）、Robots 屏蔽、客户端使用

一、背景

项目	状态	特点
Bitwarden 官方服务端	闭源、.NET + MSSQL	重型、SaaS 也用
Vaultwarden（原 `bitwarden_rs`）	活跃	Rust 重写、Bitwarden 兼容、SQLite
Bitwarden 客户端	闭源客户端 / 开源 SDK	全平台（Win/macOS/Linux/iOS/Android/浏览器）

重要时间线：

2021-04-27：bitwarden_rs 项目更名为 Vaultwarden（因为 Bitwarden 官方要求改名）

后续社区全力投入 Vaultwarden 维护，Bitwarden 官方也认可 Vaultwarden 兼容客户端

兼容客户端：Vaultwarden 部署后，所有 Bitwarden 官方客户端（桌面、移动、浏览器扩展）都能直接连接 Vaultwarden 服务端。

二、容器化部署

2.1 拉镜像

1

docker pull vaultwarden/server:1.25.1-alpine

Alpine 版 ~50MB，比 Debian 版小 5 倍。

2.2 最简启动

1
2
3
4
5
6


docker run -d \
 --name vaultwarden \
 --restart=always \
 -v /home/docker/vaultwarden/data:/data \
 -p 8087:80 \
 vaultwarden/server:1.25.1-alpine

访问 http://{{HOST}}:8087 看 Web 界面（其实 Web 端用得少，主要用客户端）。

2.3 数据持久化

/data 目录存 SQLite 数据库 + 附件，必须挂出来。

2.4 启用管理后台（可选）

容器内 /data/config.json：

1
2
3


{
 "admin_token": "{{ADMIN_TOKEN}}"
}

重启 Vaultwarden 后，访问 https://{{DOMAIN}}/admin，输入 {{ADMIN_TOKEN}} 进入管理后台：

查看注册用户数
邀请新用户
删除用户
查看系统状态

生产环境强烈建议开启：方便清退离职员工、清异常账号。

2.5 禁用注册（生产环境）

默认任何人都能注册。要么手动邀请（管理后台生成邀请链接），要么关掉：

1
2
3


{
 "disable_signup": true
}

关掉后只有管理后台邀请的邮箱能注册，安全得多。

2.6 关闭 Web Vault（可选）

如果你只用客户端、不需要 Web 端：

1
2
3


{
 "web_vault_enabled": false
}

减少攻击面。

三、Nginx 反向代理

Vaultwarden 涉及 WebSocket（实时通知）+ HTTPS（官方客户端要求） + /admin（管理后台） + /notifications/hub（实时通知）：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51


server {
 listen 443 ssl;
 server_name vault.example.com;

 ssl_certificate /www/cert/vault.example.com/fullchain.pem;
 ssl_certificate_key /www/cert/vault.example.com/privkey.pem;

 # 客户端上传
 client_max_body_size 128M;

 # Vaultwarden 主服务
 location / {
 proxy_pass http://127.0.0.1:8087;
 proxy_http_version 1.1;
 proxy_cache_bypass $http_upgrade;
 proxy_set_header Upgrade $http_upgrade;
 proxy_set_header Connection "upgrade";
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_set_header X-Forwarded-Host $host;
 proxy_set_header X-Forwarded-Port $server_port;
 }

 # 实时通知（WebSocket）
 location /notifications/hub {
 proxy_pass http://127.0.0.1:3012;
 proxy_set_header Upgrade $http_upgrade;
 proxy_set_header Connection "upgrade";
 }

 # 通知协商
 location /notifications/hub/negotiate {
 proxy_pass http://127.0.0.1:8087;
 }

 # 管理后台
 location /admin {
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_pass http://127.0.0.1:8087;
 }

 # 屏蔽搜索引擎
 location = /robots.txt {
 root /home/wwwroot/Bitwarden;
 }
}

/notifications/hub 必须用 WebSocket：客户端实时同步密码变更（多设备）依赖 WebSocket，缺了同步会有延迟。 robots.txt 屏蔽：Vaultwarden 路径不应当被搜索引擎收录，避免泄露用户邮箱前缀（注册验证邮件 URL）。 HTTPS 必须：Bitwarden 官方客户端要求 HTTPS，明文 HTTP 客户端拒绝连接。

3.1 /admin 必须 IP 白名单

/admin 是高权限入口，建议加 IP 白名单：

1
2
3
4
5
6


location /admin {
 allow 192.168.0.0/16; # 内网网段
 allow 10.0.0.0/8;
 deny all;
 # ... proxy 配置同上
}

四、客户端使用

4.1 桌面 / 移动客户端

到 https://bitwarden.com/download/ 下载对应平台客户端，安装过程和官方 SaaS 一样。

首次配置：

服务器 URL：填 https://vault.example.com（不是官方 https://vault.bitwarden.com）
邮箱 + 密码注册（如果开了 disable_signup，先用管理后台邀请）
登录后自动同步

4.2 浏览器扩展

Chrome / Edge / Firefox 都有 Bitwarden 官方扩展，安装后点"设置 → 服务器 URL"填自托管地址。

4.3 客户端特性

密码自动填充
跨设备同步（WebSocket 实时）
TOTP 双因素认证
密码生成器
安全审计（弱密码、重复密码、泄露检查）
附件 / 文件存储
紧急访问（指定信任人）

五、备份与安全

5.1 备份

SQLite 数据库（/data/db.sqlite3）：每周 sqlite3 .backup 或直接 cp
附件目录（/data/attachments）：增量备份到 OSS
config.json：包含 admin_token，单独保管

5.2 安全建议

强制 HTTPS——客户端拒绝明文 HTTP
管理后台 IP 白名单——见 3.1
强 admin_token——32+ 位随机字符串
开启 2FA——所有用户强制开启二次验证（管理后台可设）
禁用注册——disable_signup: true，只邀请
定期审计——/admin 看活跃用户、清退离职员工
fail2ban——/admin 加 fail2ban 防止爆破

六、踩坑清单

客户端连不上——HTTPS 没配 / 证书错误 / 客户端服务器 URL 填错
同步延迟——/notifications/hub WebSocket 没配，缺实时推送
/admin 502——config.json 没挂出来或 admin_token 没设
数据丢失——/data 没挂出来，容器销毁即丢
附件上传失败——client_max_body_size 默认 1M，调成 128M
被搜索引擎收录——/robots.txt 没配，路径暴露到 Google
多人协作看不到——disable_signup: true 后只用管理后台邀请，Organization 功能需要付费

七、参考资料

Vaultwarden 官方仓库：https://github.com/dani-garcia/vaultwarden
Vaultwarden 文档：https://github.com/dani-garcia/vaultwarden/wiki
Bitwarden 客户端：https://bitwarden.com/download/
Bitwarden 自托管文档：https://bitwarden.com/help/install-on-premise/

下一步

想要 HTTPS 网关？→ Nginx 反向代理实战一文
想要 VPN？→ OpenVPN 自建 VPN 服务一文
想做安全监控？→ HertzBeat 轻量监控告警一文