Resposta rápida
Como hospedo o Vaultwarden em uma VPS por conta própria?
Para hospedar o Vaultwarden em uma VPS, execute a imagem vaultwarden/server com Docker Compose, coloque o Caddy à frente para HTTPS automático em um domínio seu, crie sua conta e depois desligue os cadastros. O plano Dusk da Gloamport, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, custa $5.25 por mês no período de 12 meses.
O que a configuração Compose do Vaultwarden contém?
| Parte | Valor | Observação |
|---|---|---|
| Imagem do Vaultwarden | vaultwarden/server:latest | Dados guardados em ./vw-data montados em /data |
| Proxy reverso | caddy:2 | Portas 80, 443 e 443/udp publicadas |
| Variável DOMAIN | https://vault.example.com | Obrigatória atrás de um proxy reverso; o HTTPS é necessário para anexos |
| Certificados | Caddy, desafio ACME HTTP-01 | O domínio deve alcançar a VPS na porta 80 |
| Cadastros | SIGNUPS_ALLOWED | true para criar sua conta, depois false |
| Página de administração | ADMIN_TOKEN | Desligada até que um token seja definido; a wiki recomenda um hash argon2 |
| Plano sugerido | Dusk: 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic | Lista de planos da Gloamport |
Preços verificados em
É uma boa ideia hospedar o seu próprio gerenciador de senhas?
Serve para você se aceitar a tarefa de mantê-lo no ar, com backup e atualizado. O Vaultwarden guarda seu cofre criptografado, mas o servidor ainda decide quem pode fazer login e guarda a única cópia, a menos que você faça outras. Se perder os dados, não há provedor para restaurá-los.
Três fatos moldam a decisão. Nenhum plano inclui backups: mantenha sua própria cópia de tudo o que você não pode perder. Um cofre só está disponível na medida em que a VPS que o carrega está, então mantenha também uma exportação offline do seu cofre. E o domínio que você usa para ele é público no DNS e nos logs de certificados, então escolha um que não tenha o seu nome. Se esses pontos forem aceitáveis, uma VPS pequena e única é um lar normal para ele.
Como instalar o Vaultwarden com Docker Compose e Caddy
Você precisa de um domínio cujo registro A aponte para a VPS. Os comandos rodam no Debian 13 ou no Ubuntu 24.04.
Instale o Docker Engine com o plugin Compose
Siga a página de instalação do Docker para Debian ou Ubuntu, depois execute a linha apt install de docker-ce e docker-compose-plugin do primeiro bloco de código. Verifique com docker run hello-world.
Crie a pasta do projeto e o Caddyfile
Crie uma pasta vaultwarden e escreva o Caddyfile e o docker-compose.yml a partir dos blocos de código. Substitua vault.example.com pelo seu domínio e o e-mail por um endereço para o certificado. O endereço é para a autoridade certificadora, não para a Gloamport.
Abra as portas web
As portas 80 e 443 precisam alcançar a VPS: o desafio HTTP-01 precisa da porta 80 para obter o certificado. Se você usar ufw ou outro firewall, permita 80/tcp, 443/tcp e 443/udp, além do SSH.
Inicie a pilha
Execute docker compose up -d na pasta. O Caddy pede o certificado na primeira inicialização. Abra https://vault.example.com e crie sua conta.
Feche os cadastros
Defina SIGNUPS_ALLOWED como "false" no arquivo compose e execute docker compose up -d novamente. Novas contas só poderão ser adicionadas por convite ou por você.
Faça backup da pasta de dados
Use o procedimento de backup do Vaultwarden no último bloco de código, em uma agenda, com uma cópia guardada fora da VPS.
# After adding Docker's apt repository (docs.docker.com/engine/install/debian/)
sudo apt install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin
sudo docker run hello-world
mkdir -p ~/vaultwarden && cd ~/vaultwarden
# write docker-compose.yml and Caddyfile (below), then:
sudo docker compose up -dservices:
vaultwarden:
image: vaultwarden/server:latest
container_name: vaultwarden
restart: always
environment:
DOMAIN: "https://vault.example.com"
SIGNUPS_ALLOWED: "true"
volumes:
- ./vw-data:/data
caddy:
image: caddy:2
container_name: caddy
restart: always
ports:
- 80:80
- 443:443
- 443:443/udp
volumes:
- ./Caddyfile:/etc/caddy/Caddyfile:ro
- ./caddy-config:/config
- ./caddy-data:/data
environment:
DOMAIN: "https://vault.example.com"
EMAIL: "[email protected]"{$DOMAIN} {
tls {$EMAIL}
encode zstd gzip
reverse_proxy vaultwarden:80 {
header_up X-Real-IP {remote_host}
}
}# Optional admin page: hash a long random password, put the result in ADMIN_TOKEN
sudo docker exec -it vaultwarden /vaultwarden hash
# Database backup while the server runs (SQLite online backup)
sqlite3 vw-data/db.sqlite3 ".backup '/root/backups/db-$(date +%Y%m%d-%H%M).sqlite3'"
# Also copy: vw-data/attachments/, vw-data/config.json, vw-data/rsa_key*O que você deve fazer backup em um servidor Vaultwarden?
Faça backup de db.sqlite3, da pasta de anexos, de config.json e dos arquivos rsa_key. A página de backup do Vaultwarden lista db.sqlite3 e os anexos como obrigatórios, config.json e os arquivos rsa_key como recomendados, e sends e o cache de ícones como opcionais. Ela diz para usar o comando .backup próprio do SQLite em vez de copiar o arquivo enquanto ele está aberto, e para evitar depender de snapshots do sistema de arquivos ou da VM.
A página também alerta que config.json guarda alguns segredos em texto simples, então criptografe-o antes que ele saia da VPS. Faça o backup diariamente, guarde uma cópia em outro lugar e restaure-o uma vez em uma máquina reserva para comprovar que funciona. As versões do Vaultwarden a partir da 1.32.1 também têm um comando de backup embutido, na wiki.
Qual plano da Gloamport roda o Vaultwarden?
O Dusk é o plano com que começaríamos: 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic a $5.25 por mês no período de 12 meses, $10.50 no plano de um único mês. A wiki do Vaultwarden não traz números de dimensionamento e não fizemos testes de desempenho, então trate o Dusk como ponto de partida. Se você também rodar um servidor de chat e um mecanismo de busca na mesma VPS, o Gloam (2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic, $8.25 por mês no período de 12 meses) é indicado para Um servidor Matrix, Vaultwarden e SearXNG juntos.
Nenhuma verificação de identidade, agora ou depois: sem envio de documento, sem selfie, sem comprovante de endereço, sem cartão e sem número de telefone. Segundo o levantamento da Gloamport sobre 10 de novembro de 2026, 28 dos 49 provedores listados não pedem documento de identidade no cadastro. A página de planos e períodos lista todos os tamanhos.
Como você protege a página de administração e o servidor?
Deixe a página de administração desligada, a menos que precise dela, e proteja o SSH antes de qualquer outra coisa. A wiki diz que a página de administração só existe depois que um token de autenticação é definido, que o token funciona como a senha da área de administração, e que o HTTPS deve estar ativo antes de você ligá-la. Ela recomenda guardar o token como um hash argon2, para que ele não possa ser simplesmente lido na configuração.
No host, use SSH somente por chave e um firewall, como em Como reforço o SSH em uma VPS nova?. Um servidor de gerenciador de senhas é um alvo principal, então aplique as atualizações puxando as imagens de novo e executando docker compose up -d. Para um segundo serviço na mesma VPS, veja Como hospedo um servidor Matrix em uma VPS?.
Resumo
- O Vaultwarden roda a partir de vaultwarden/server com os dados em ./vw-data.
- O Caddy obtém o certificado HTTPS com o desafio HTTP-01; o domínio deve alcançar a porta 80.
- Defina DOMAIN com a URL https; a wiki diz que o HTTPS é necessário para anexos.
- Crie sua conta e depois defina SIGNUPS_ALLOWED como false.
- A página de administração precisa de um ADMIN_TOKEN; a wiki recomenda um hash argon2.
- Faça backup de db.sqlite3 com .backup, além dos anexos, de config.json e dos arquivos rsa_key.
- O Dusk, $5.25 por mês no período de 12 meses, é um plano de partida.
Hospedagem própria do Vaultwarden: perguntas frequentes
Preciso de um nome de domínio?
Sim, para a configuração aqui. DOMAIN deve ser uma URL https e o Caddy obtém o certificado para esse nome. A wiki descreve uma rota de desafio DNS para instâncias privadas sem acesso público.
O Vaultwarden é o mesmo que o Bitwarden?
Não. O Vaultwarden é um servidor separado e mais leve que funciona com os clientes do Bitwarden. Você usa os aplicativos do Bitwarden e os aponta para o endereço do seu próprio servidor.
Como impeço que outras pessoas criem contas?
Defina SIGNUPS_ALLOWED como false depois de criar sua conta e depois recrie o contêiner. Convites ainda podem adicionar usuários quando o cadastro estiver fechado.
E se a VPS morrer?
Você restaura a partir do seu backup. Nenhum plano inclui backups: mantenha sua própria cópia de tudo o que você não pode perder. Guarde o backup criptografado fora da VPS e teste uma restauração uma vez.
Quais imagens a Gloamport oferece?
Imagens: Debian 13, Debian 12, Ubuntu 24.04 LTS, AlmaLinux 10, Rocky Linux 10. O Docker roda no Debian 13 e no Ubuntu 24.04, ambos listados.
Fontes (4)
- Wiki do Vaultwarden: uso do Docker Compose — Vaultwarden project (checked 2026-11-10)
- Wiki do Vaultwarden: ativação da página de administração — Vaultwarden project (checked 2026-11-10)
- Wiki do Vaultwarden: backup do seu cofre — Vaultwarden project (checked 2026-11-10)
- Instale o Docker Engine no Debian — Docker Inc. (checked 2026-11-10)