Respuesta rápida
¿Cómo autoalojo Vaultwarden en un VPS?
Para autoalojar Vaultwarden en un VPS, ejecute la imagen vaultwarden/server con Docker Compose, ponga Caddy delante para HTTPS automático en un dominio que posea, cree su cuenta y luego desactive los registros. El plan Dusk de Gloamport, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, cuesta $5.25 al mes con el plazo de 12 meses.
¿Qué contiene la configuración de Compose de Vaultwarden?
| Parte | Valor | Nota |
|---|---|---|
| Imagen de Vaultwarden | vaultwarden/server:latest | Datos guardados en ./vw-data montados en /data |
| Proxy inverso | caddy:2 | Puertos 80, 443 y 443/udp publicados |
| Variable DOMAIN | https://vault.example.com | Obligatoria tras un proxy inverso; HTTPS es necesario para los adjuntos |
| Certificados | Caddy, desafío ACME HTTP-01 | El dominio debe llegar al VPS por el puerto 80 |
| Registros | SIGNUPS_ALLOWED | True para crear su cuenta, luego false |
| Página de administración | ADMIN_TOKEN | Desactivada hasta definir un token; la wiki recomienda un hash argon2 |
| Plan sugerido | Dusk: 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic | Lista de planes de Gloamport |
Precios comprobados el
¿Es buena idea alojar su propio gestor de contraseñas?
Le conviene si acepta el trabajo de mantenerlo, con copias de seguridad y parches. Vaultwarden guarda su bóveda cifrada, pero el servidor sigue decidiendo quién puede iniciar sesión y guarda la única copia, salvo que haga otras. Si pierde los datos, no hay ningún proveedor que los restaure.
Tres hechos definen la decisión. Ningún plan incluye copias de seguridad: guarde su propia copia de todo lo que no pueda perder. Una bóveda solo está tan disponible como el VPS que la transporta, así que guarde también una exportación sin conexión de su bóveda. Y el dominio que use para ello es público en DNS y en los registros de certificados, así que elija uno que no lleve su nombre. Si estos puntos le parecen aceptables, un VPS pequeño es un hogar normal para ello.
Cómo instalar Vaultwarden con Docker Compose y Caddy
Necesita un dominio cuyo registro A apunte al VPS. Los comandos se ejecutan en Debian 13 o Ubuntu 24.04.
Instale Docker Engine con el plugin Compose
Siga la página de instalación de Docker para Debian o Ubuntu, y luego ejecute la línea apt install de docker-ce y docker-compose-plugin del primer bloque de código. Compruébelo con docker run hello-world.
Cree la carpeta del proyecto y el Caddyfile
Cree una carpeta vaultwarden y escriba el Caddyfile y el docker-compose.yml de los bloques de código. Sustituya vault.example.com por su dominio y el correo electrónico por una dirección para el certificado. La dirección es para la autoridad de certificación, no para Gloamport.
Abra los puertos web
Los puertos 80 y 443 deben llegar al VPS: el desafío HTTP-01 necesita el puerto 80 para obtener el certificado. Si usa ufw u otro cortafuegos, permita 80/tcp, 443/tcp y 443/udp además de SSH.
Arranque la pila
Ejecute docker compose up -d en la carpeta. Caddy pide el certificado en el primer arranque. Abra https://vault.example.com y cree su cuenta.
Cierre los registros
Defina SIGNUPS_ALLOWED en "false" en el archivo compose y ejecute docker compose up -d de nuevo. Las cuentas nuevas solo podrán añadirse por invitación o por usted.
Haga copia de seguridad de la carpeta de datos
Use el procedimiento de copia de seguridad de Vaultwarden del último bloque de código, programado, con una copia guardada fuera del VPS.
# After adding Docker's apt repository (docs.docker.com/engine/install/debian/)
sudo apt install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin
sudo docker run hello-world
mkdir -p ~/vaultwarden && cd ~/vaultwarden
# write docker-compose.yml and Caddyfile (below), then:
sudo docker compose up -dservices:
vaultwarden:
image: vaultwarden/server:latest
container_name: vaultwarden
restart: always
environment:
DOMAIN: "https://vault.example.com"
SIGNUPS_ALLOWED: "true"
volumes:
- ./vw-data:/data
caddy:
image: caddy:2
container_name: caddy
restart: always
ports:
- 80:80
- 443:443
- 443:443/udp
volumes:
- ./Caddyfile:/etc/caddy/Caddyfile:ro
- ./caddy-config:/config
- ./caddy-data:/data
environment:
DOMAIN: "https://vault.example.com"
EMAIL: "[email protected]"{$DOMAIN} {
tls {$EMAIL}
encode zstd gzip
reverse_proxy vaultwarden:80 {
header_up X-Real-IP {remote_host}
}
}# Optional admin page: hash a long random password, put the result in ADMIN_TOKEN
sudo docker exec -it vaultwarden /vaultwarden hash
# Database backup while the server runs (SQLite online backup)
sqlite3 vw-data/db.sqlite3 ".backup '/root/backups/db-$(date +%Y%m%d-%H%M).sqlite3'"
# Also copy: vw-data/attachments/, vw-data/config.json, vw-data/rsa_key*¿Qué debe guardar en copia de seguridad de un servidor Vaultwarden?
Haga copia de seguridad de db.sqlite3, la carpeta de adjuntos, config.json y los archivos rsa_key. La página de copias de seguridad de Vaultwarden indica db.sqlite3 y los adjuntos como obligatorios, config.json y los archivos rsa_key como recomendados, y los envíos y la caché de iconos como opcionales. Indica que use el comando .backup propio de SQLite en lugar de copiar el archivo mientras está abierto, y que evite depender de instantáneas del sistema de archivos o de la máquina virtual.
La página también advierte de que config.json contiene algunos secretos en texto plano, así que cífrelo antes de que salga del VPS. Haga la copia cada día, guarde una copia en otro lugar y restáurela una vez en una máquina de repuesto para comprobar que funciona. Las versiones de Vaultwarden desde la 1.32.1 también tienen un comando de copia integrado en la wiki.
¿Qué plan de Gloamport ejecuta Vaultwarden?
Dusk es el plan con el que empezaríamos: 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, $5.25 al mes con el plazo de 12 meses, $10.50 con un único mes. La wiki de Vaultwarden no da cifras de dimensionamiento y no lo hemos medido, así que trate Dusk como punto de partida. Si además ejecuta un servidor de chat y un buscador en el mismo VPS, Gloam (2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic, $8.25 al mes con el plazo de 12 meses) está indicado para Un servidor Matrix, Vaultwarden y SearXNG juntos.
Ninguna verificación de identidad, ahora ni después: ni subida de documento, ni selfie, ni prueba de domicilio, ni tarjeta ni número de teléfono. Según la encuesta de Gloamport sobre 10 de noviembre de 2026, 28 de los 49 proveedores listados no piden documento de identidad al registrarse. La página de planes y plazos enumera todos los tamaños.
¿Cómo protege la página de administración y el servidor?
Deje la página de administración desactivada salvo que la necesite, y asegure SSH antes que nada. La wiki indica que la página de administración existe solo una vez definido un token de autenticación, que el token actúa como contraseña del área de administración, y que HTTPS debe estar activo antes de activarla. Recomienda guardar el token como hash argon2 para que no pueda leerse sin más en la configuración.
En el host, use SSH solo con clave y un cortafuegos, como en ¿Cómo endurezco SSH en un VPS nuevo?. Un servidor de gestor de contraseñas es un objetivo prioritario, así que aplique las actualizaciones volviendo a descargar las imágenes y ejecutando docker compose up -d. Para un segundo servicio en el mismo VPS, vea ¿Cómo alojo un servidor Matrix en un VPS?.
Resumen
- Vaultwarden se ejecuta desde vaultwarden/server con sus datos en ./vw-data.
- Caddy obtiene el certificado HTTPS con el desafío HTTP-01; el dominio debe llegar al puerto 80.
- Defina DOMAIN con la URL https; la wiki indica que HTTPS es necesario para los adjuntos.
- Cree su cuenta y luego defina SIGNUPS_ALLOWED en false.
- La página de administración necesita un ADMIN_TOKEN; la wiki recomienda un hash argon2.
- Haga copia de db.sqlite3 con .backup, además de los adjuntos, config.json y los archivos rsa_key.
- Dusk, $5.25 al mes con 12 meses, es un plan de partida.
Autoalojar Vaultwarden: preguntas frecuentes
¿Necesito un nombre de dominio?
Sí, para la configuración de aquí. DOMAIN debe ser una URL https y Caddy obtiene su certificado para ese nombre. La wiki describe una ruta con desafío DNS para instancias privadas sin acceso público.
¿Es Vaultwarden lo mismo que Bitwarden?
No. Vaultwarden es un servidor aparte y más ligero que funciona con los clientes de Bitwarden. Usa las aplicaciones de Bitwarden y las apunta a la dirección de su propio servidor.
¿Cómo evito que otras personas creen cuentas?
Defina SIGNUPS_ALLOWED en false después de crear su cuenta, y luego recree el contenedor. Las invitaciones pueden seguir añadiendo usuarios cuando el registro está cerrado.
¿Qué pasa si el VPS falla?
Restaure desde su copia de seguridad. Ningún plan incluye copias de seguridad: guarde su propia copia de todo lo que no pueda perder. Guarde la copia cifrada fuera del VPS y pruebe una restauración una vez.
¿Qué imágenes ofrece Gloamport?
Imágenes: Debian 13, Debian 12, Ubuntu 24.04 LTS, AlmaLinux 10, Rocky Linux 10. Docker funciona en Debian 13 y Ubuntu 24.04, ambos incluidos en la lista.
Fuentes (4)
- Wiki de Vaultwarden: uso de Docker Compose — Vaultwarden project (checked 2026-11-10)
- Wiki de Vaultwarden: activar la página de administración — Vaultwarden project (checked 2026-11-10)
- Wiki de Vaultwarden: copia de seguridad de su bóveda — Vaultwarden project (checked 2026-11-10)
- Instalar Docker Engine en Debian — Docker Inc. (checked 2026-11-10)