אחסון Vaultwarden: שרת מנהל סיסמאות משלכם

‏Vaultwarden הוא שרת מנהל סיסמאות בקוד פתוח (AGPL-3.0) שנכתב ב-Rust. הוא מממש את אותו API כמו השרת של Bitwarden, כך שתוספי הדפדפן, אפליקציות המחשב והמובייל הרשמיים של Bitwarden יכולים לעבוד מולו, אבל זה פרויקט קהילתי נפרד, שלא נוצר ולא נתמך על ידי Bitwarden, Inc. בוחרים אותו עם חבילה, משלמים, ואנחנו מקימים את ה-VPS (‏KVM, ‏NVMe, ‏Ubuntu 24.04 LTS) ומתקינים אותו תוך כשתי דקות אחרי שהשרת עולה. מקבלים:

• Vaultwarden 1.37.4 עם כספת הווב שלו, על מסד נתונים קטן משלו.
• כתובת HTTPS כמו yourname-x7k2.devoster.app עם תעודת Let's Encrypt. האפליקציות דורשות HTTPS, אז זה חשוב.
• הרשמה סגורה מההתחלה. רק האימייל של החשבון שלכם מוזמן, כך שאף אחד אחר שמגיע לכתובת לא יכול ליצור חשבון.
• עמוד /admin למשתמשים, הזמנות והגדרות השרת, שנפתח עם הסיסמה שמוצגת בלוח הבקרה של Devoster.
• שליטה מלוח הבקרה: פתיחת הכספת, איפוס סיסמת הניהול, ריסטארט, עצירה והפעלה, צפייה בלוגים, עדכון וחיבור דומיין משלכם.

האפליקציה בחינם; משלמים רק על חבילת ה-VPS, עם 10% הנחה בתשלום שנתי. השרת מגיע עם root מלא, גיבוי לילי חינם שנשמר 3 ימים ועוד Snapshot אחד, כתובת IPv4 ייעודית והגנת DDoS. כבר יש לכם VPS ב-Devoster? אפשר להתקין עליו את Vaultwarden מ-VPS Control, אחרי שהפאנל בודק את מערכת ההפעלה, שהפורטים 80/443 פנויים ואת הדיסק, או להתקין מחדש את השרת איתו, בלי תשלום. אפליקציות נוספות שמותקנות כך נמצאות בעמוד האפליקציות בלחיצה אחת.

בניגוד לרוב האפליקציות בלחיצה אחת, ‏Vaultwarden לא מגיע עם התחברות שיצרנו בשבילכם, וזה מכוון. כספת מוצפנת מקצה לקצה עם מפתח שנגזר מהסיסמה הראשית שלכם, על המכשיר שלכם. אם אנחנו היינו קובעים את הסיסמה, היה לנו מפתח לכספת שלכם. לכן:

• פתחו את הכתובת ובחרו "Create account" עם כתובת האימייל של חשבון ה-Devoster שלכם. זו הכתובת היחידה שמוזמנת.
• בחרו סיסמה ראשית משלכם. ‏Devoster אף פעם לא רואה אותה, והיא אף פעם לא יוצאת מהמכשיר שלכם בצורה שיכולה לפתוח את הכספת.
• עשו את זה מיד, ברגע שהאפליקציה מוכנה, כדי שאתם תהיו אלה שמשתמשים בהזמנה.

הסיסמה בלוח הבקרה של Devoster היא משהו אחר: היא פותחת את עמוד /admin, לא את הכספת. איפוס שלה מלוח הבקרה משנה רק את הסיסמה של עמוד הניהול.

סיסמה ראשית שאבדה אי אפשר לשחזר, לא אנחנו ולא אף אחד אחר; זו המשמעות של הצפנה מקצה לקצה. הדרך היחידה חזרה היא למחוק את המשתמש ב-/admin ולהתחיל מחדש עם כספת ריקה. רשמו את הסיסמה הראשית ושמרו אותה במקום בטוח, ושמרו גם ייצוא מוצפן של הכספת.

מתקינים את התוסף הרשמי של Bitwarden לדפדפן, או את האפליקציה לטלפון או למחשב. במסך ההתחברות בוחרים באפשרות של שרת באירוח עצמי (self-hosted) ומזינים את כתובת ה-HTTPS שלכם, ואז מתחברים עם האימייל והסיסמה הראשית. כל מה שאתם שומרים מסתנכרן דרך השרת שלכם.

• ייבוא: מייצאים ממנהל הסיסמאות הנוכחי (רובם יודעים לכתוב קובץ CSV או JSON) ומייבאים בכספת הווב תחת Tools. מחקו את קובץ הייצוא הגלוי אחר כך.
• סנכרון חי: כספת הווב ואפליקציות המחשב מקבלות שינויים מיד דרך חיבור websocket.
• פוש למובייל: פוש מיידי לאפליקציות המובייל דורש מזהה התקנה ומפתח משלכם מ-bitwarden.com/host. בלעדיהם, אפליקציות המובייל מסתנכרנות כשפותחים אותן או מושכים לרענון, וזה מספיק לרוב האנשים.
• דומיין משלכם: חברו אותו לפני שאתם מגדירים את האפליקציות, ולפני שאתם רושמים מפתחות אבטחה או passkeys לאימות דו-שלבי, כי הם קשורים לכתובת. כתובת ה-devoster.app מפנה אליו אחר כך.

פורטי הדואר היוצא חסומים כברירת מחדל בחבילות ה-VPS של Devoster, ובהתקנה לא מוגדר SMTP. זה משפיע על כמה דברים:

• אימות דו-שלבי: השתמשו באפליקציית אימות (TOTP) או במפתח אבטחה. קודים במייל כגורם שני דורשים SMTP ולא עובדים. שמרו את קוד השחזור ש-Vaultwarden נותן לכם.
• אין מיילים להזמנות, לגישת חירום או להתחברות ממכשיר חדש. אם אתם רוצים אותם, בעמוד /admin של Vaultwarden יש הגדרות SMTP לספק דואר חיצוני, שאת פורט ה-submission שלו אפשר לפתוח לפי בקשה ואחרי אישור.
• בני משפחה או צוות: הזמינו את כתובת האימייל שלהם ב-/admin. בלי SMTP, כתובת מוזמנת יכולה ללכת ישר ל-"Create account" ולבחור סיסמה ראשית משלה; ספרו להם על הכתובת בעצמכם.
• שיתוף סיסמאות: צרו ארגון (organization) בכספת הווב ושתפו אוספים (collections) עם האנשים שבו.

מעט מאוד. ‏Vaultwarden הוא שירות קל ויחיד, וכספת היא בעיקר טקסט מוצפן קטן. חבילת Nano (‏1 vCPU, ‏1GB, ‏25GB) מריצה אותו בנוחות לאדם, למשפחה או לצוות קטן, ולכן היא גם המינימום וגם ההמלצה.

בחרו ב-Micro (‏1 vCPU, ‏2GB, ‏50GB) רק אם אתם מתכננים לשמור הרבה קבצים מצורפים גדולים, או רוצים מקום להריץ משהו נוסף על אותו שרת. השרת שלכם עם root מלא, אז אפשר; רק זכרו שכל דבר נוסף שתוסיפו חולק את המכונה שמחזיקה את הסיסמאות שלכם.

גיבויים: הגיבויים הליליים (נשמרים 3 ימים) ומקום ה-Snapshot שלכם מכסים את כל ה-VPS. כיוון שכספת היא דבר קריטי, ייצאו אותה מדי פעם גם מכספת הווב (ייצוא מוצפן עדיף) ושמרו את הקובץ מחוץ לשרת. אפליקציות Bitwarden שומרות גם עותק אופליין של הכספת בכל מכשיר, כך שהשבתה קצרה של השרת לא נועלת אתכם מחוץ לסיסמאות.

עדכונים: אנחנו בודקים גרסאות חדשות של Vaultwarden ומחילים אותן בשעת תחזוקה שאתם בוחרים, או כשאתם לוחצים Update now. לפני כן נלקח Snapshot של ה-VPS, ואם Vaultwarden לא חוזר לפעול תקין השרת חוזר אחורה אוטומטית.

השרת לא מנוהל: יש לכם root מלא, והאבטחה שלו באחריותכם. הסיסמאות שלכם מוצפנות לפני שהן מגיעות אליו, אבל עדיין כדאי להקשיח את השרת: צ'קליסט ההקשחה שלנו ל-VPS מכסה מפתחות SSH ופיירוול, ואפשר להוריד את הכספת מהאינטרנט הפתוח ולהגיע אליה דרך שרת ה-WireGuard VPN שלנו.