Risposta rapida
Come self-hosto Vaultwarden su un VPS?
Per self-hostare Vaultwarden su un VPS, esegua l'immagine vaultwarden/server con Docker Compose, metta Caddy davanti per HTTPS automatico su un dominio che possiede, crei il Suo account, poi disattivi le registrazioni. Il piano Dusk di Gloamport, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, costa $5.25 al mese con durata di 12 mesi.
Che cosa contiene la configurazione Compose di Vaultwarden?
| Parte | Valore | Nota |
|---|---|---|
| Immagine Vaultwarden | vaultwarden/server:latest | Dati conservati in ./vw-data montato su /data |
| Reverse proxy | caddy:2 | Porte 80, 443 e 443/udp pubblicate |
| Variabile DOMAIN | https://vault.example.com | Obbligatoria dietro un reverse proxy; HTTPS è necessario per gli allegati |
| Certificati | Caddy, sfida ACME HTTP-01 | Il dominio deve raggiungere il VPS sulla porta 80 |
| Registrazioni | SIGNUPS_ALLOWED | True per creare il Suo account, poi false |
| Pagina di amministrazione | ADMIN_TOKEN | Disattivata finché non viene impostato un token; la wiki consiglia un hash argon2 |
| Piano consigliato | Dusk: 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic | Elenco dei piani Gloamport |
Prezzi verificati il
È una buona idea ospitare da sé il proprio password manager?
Fa per Lei se accetta il compito di mantenerlo, con backup e patch. Vaultwarden conserva la cassaforte cifrata, ma il server decide comunque chi può accedere e detiene l'unica copia, a meno che non ne faccia altre. Se perde i dati non c'è un fornitore che li ripristini.
Tre fatti guidano la decisione. Nessun piano include backup: conservi una copia di tutto ciò che non può perdere. Una cassaforte è disponibile solo quanto il VPS che la porta, quindi conservi anche un'esportazione offline della cassaforte. E il dominio che usa è pubblico nel DNS e nei log dei certificati, quindi ne scelga uno senza il Suo nome. Se questi punti sono accettabili, un singolo VPS piccolo è una casa normale per essa.
Come installare Vaultwarden con Docker Compose e Caddy
Le serve un dominio il cui record A punti al VPS. I comandi girano su Debian 13 o Ubuntu 24.04.
Installi Docker Engine con il plugin Compose
Segua la pagina di installazione di Docker per Debian o Ubuntu, poi esegua la riga apt install per docker-ce e docker-compose-plugin dal primo blocco di codice. Verifichi con docker run hello-world.
Crei la cartella del progetto e il Caddyfile
Crei una cartella vaultwarden e scriva il Caddyfile e il docker-compose.yml dai blocchi di codice. Sostituisca vault.example.com con il Suo dominio e l'email con un indirizzo per il certificato. L'indirizzo serve all'autorità di certificazione, non a Gloamport.
Apra le porte web
Le porte 80 e 443 devono raggiungere il VPS: la sfida HTTP-01 richiede la porta 80 per ottenere il certificato. Se usa ufw o un altro firewall, consenta 80/tcp, 443/tcp e 443/udp oltre a SSH.
Avvii lo stack
Esegua docker compose up -d nella cartella. Caddy richiede il certificato al primo avvio. Apra https://vault.example.com e crei il Suo account.
Chiuda le registrazioni
Imposti SIGNUPS_ALLOWED su "false" nel file compose ed esegua di nuovo docker compose up -d. Nuovi account potranno quindi essere aggiunti solo su invito o da Lei.
Faccia il backup della cartella dei dati
Usi la procedura di backup di Vaultwarden nell'ultimo blocco di codice, in modo programmato, con una copia conservata fuori dal VPS.
# After adding Docker's apt repository (docs.docker.com/engine/install/debian/)
sudo apt install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin
sudo docker run hello-world
mkdir -p ~/vaultwarden && cd ~/vaultwarden
# write docker-compose.yml and Caddyfile (below), then:
sudo docker compose up -dservices:
vaultwarden:
image: vaultwarden/server:latest
container_name: vaultwarden
restart: always
environment:
DOMAIN: "https://vault.example.com"
SIGNUPS_ALLOWED: "true"
volumes:
- ./vw-data:/data
caddy:
image: caddy:2
container_name: caddy
restart: always
ports:
- 80:80
- 443:443
- 443:443/udp
volumes:
- ./Caddyfile:/etc/caddy/Caddyfile:ro
- ./caddy-config:/config
- ./caddy-data:/data
environment:
DOMAIN: "https://vault.example.com"
EMAIL: "[email protected]"{$DOMAIN} {
tls {$EMAIL}
encode zstd gzip
reverse_proxy vaultwarden:80 {
header_up X-Real-IP {remote_host}
}
}# Optional admin page: hash a long random password, put the result in ADMIN_TOKEN
sudo docker exec -it vaultwarden /vaultwarden hash
# Database backup while the server runs (SQLite online backup)
sqlite3 vw-data/db.sqlite3 ".backup '/root/backups/db-$(date +%Y%m%d-%H%M).sqlite3'"
# Also copy: vw-data/attachments/, vw-data/config.json, vw-data/rsa_key*Che cosa deve includere il backup di un server Vaultwarden?
Faccia il backup di db.sqlite3, della cartella degli allegati, di config.json e dei file rsa_key. La pagina di backup di Vaultwarden elenca db.sqlite3 e gli allegati come obbligatori, config.json e i file rsa_key come consigliati, e send e la cache delle icone come facoltativi. Dice di usare il comando .backup di SQLite invece di copiare il file mentre è aperto, e di evitare di affidarsi a snapshot del file system o della macchina virtuale.
La pagina avverte anche che config.json contiene alcuni segreti in chiaro, quindi lo cifri prima che esca dal VPS. Esegua il backup ogni giorno, conservi una copia altrove e ripristini una volta su una macchina di prova per verificare che funzioni. Le versioni di Vaultwarden dalla 1.32.1 hanno anche un comando di backup integrato, descritto nella wiki.
Quale piano Gloamport gestisce Vaultwarden?
Dusk è il piano da cui partiremmo: 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, $5.25 al mese con durata di 12 mesi, $10.50 per un solo mese. La wiki di Vaultwarden non dà cifre di dimensionamento e non abbiamo fatto benchmark, quindi consideri Dusk un punto di partenza. Se gestisce anche un server di chat e un motore di ricerca sullo stesso VPS, Gloam (2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic, $8.25 al mese con durata di 12 mesi) è indicato per Un server Matrix, Vaultwarden e SearXNG insieme.
Nessuna verifica dell'identità, né ora né dopo: nessun caricamento di documenti, nessun selfie, nessuna prova di residenza, nessuna carta e nessun numero di telefono. Secondo l'indagine di Gloamport su 10 novembre 2026, 28 dei 49 fornitori elencati non chiedono un documento d'identità in registrazione. La pagina dei piani e delle durate elenca ogni taglia.
Come proteggere la pagina di amministrazione e il server?
Lasci la pagina di amministrazione disattivata finché non serve, e metta in sicurezza SSH prima di tutto il resto. La wiki dice che la pagina esiste solo dopo aver impostato un token di autenticazione, che il token fa da password per l'area di amministrazione, e che HTTPS deve essere attivo prima di abilitarla. Consiglia di conservare il token come hash argon2, così non può essere semplicemente letto dalla configurazione.
Sull'host, usi SSH solo con chiave e un firewall, come in Come rafforzo SSH su un nuovo VPS?. Un server di password manager è un bersaglio primario, quindi applichi gli aggiornamenti scaricando di nuovo le immagini ed eseguendo docker compose up -d. Per un secondo servizio sullo stesso VPS veda Come ospito un server Matrix su un VPS?.
In sintesi
- Vaultwarden gira da vaultwarden/server con i dati in ./vw-data.
- Caddy ottiene il certificato HTTPS con la sfida HTTP-01; il dominio deve raggiungere la porta 80.
- Imposti DOMAIN sull'URL https; la wiki dice che HTTPS è necessario per gli allegati.
- Crei il Suo account, poi imposti SIGNUPS_ALLOWED su false.
- La pagina di amministrazione richiede un ADMIN_TOKEN; la wiki consiglia un hash argon2.
- Faccia il backup di db.sqlite3 con .backup, più gli allegati, config.json e i file rsa_key.
- Dusk, $5.25 al mese con durata di 12 mesi, è un piano di partenza.
Self-hosting di Vaultwarden: domande frequenti
Serve un nome di dominio?
Sì per la configurazione qui descritta. DOMAIN deve essere un URL https e Caddy ottiene il certificato per quel nome. La wiki descrive una strada con sfida DNS per istanze private senza accesso pubblico.
Vaultwarden è la stessa cosa di Bitwarden?
No. Vaultwarden è un server separato e più leggero che funziona con i client Bitwarden. Usa le app Bitwarden e le indirizza all'indirizzo del Suo server.
Come impedisco ad altre persone di creare account?
Imposti SIGNUPS_ALLOWED su false dopo aver creato il Suo account, poi ricrei il container. Gli inviti possono comunque aggiungere utenti quando la registrazione è chiusa.
Che succede se il VPS si guasta?
Ripristina dal Suo backup. Nessun piano include backup: conservi una copia di tutto ciò che non può perdere. Conservi il backup cifrato fuori dal VPS e verifichi una volta che il ripristino funzioni.
Quali immagini offre Gloamport?
Immagini: Debian 13, Debian 12, Ubuntu 24.04 LTS, AlmaLinux 10, Rocky Linux 10. Docker funziona su Debian 13 e Ubuntu 24.04, entrambi elencati.
Fonti (4)
- Wiki di Vaultwarden: uso di Docker Compose — Vaultwarden project (checked 2026-11-10)
- Wiki di Vaultwarden: attivazione della pagina di amministrazione — Vaultwarden project (checked 2026-11-10)
- Wiki di Vaultwarden: backup della cassaforte — Vaultwarden project (checked 2026-11-10)
- Installare Docker Engine su Debian — Docker Inc. (checked 2026-11-10)