Vaultwarden 搭建教程 UserStory

摘要： Vaultwarden 是轻量的自托管密码管理服务，兼容 Bitwarden 客户端。用 Docker 在云服务器上部署，务必配好域名加 HTTPS（密码库必须走加密传输），再用浏览器插件和手机 App 接入，并定期做备份恢复演练。本教程强调 HTTPS 与备份两条安全底线。

Vaultwarden 是用 Rust 实现的轻量 Bitwarden 兼容服务端，资源占用极小，一条 Docker 命令就能跑起来。但密码库这类应用有两条不能妥协的安全底线：一是必须走 HTTPS——密码数据在公网明文传输等于裸奔，官方客户端也要求 HTTPS 才能正常连接；二是必须定期备份并演练恢复——密码库一旦损坏无备份，所有账号凭据都会丢失。下面围绕这两条底线给出完整部署流程。

一、Vaultwarden 是什么

Vaultwarden 是 Bitwarden 官方服务端的开源轻量替代实现，兼容 Bitwarden 的全部官方客户端（浏览器插件、手机 App、桌面端）。你可以自己掌控密码库数据，不依赖第三方密码服务。它用 Rust 编写，相比官方服务端资源占用低很多，一台入门级实例就能稳定运行。

适合注重数据自主、希望把密码库放在自己服务器上的开发者和安全爱好者。

二、部署前准备

Vaultwarden 极为轻量，腾讯云轻量应用服务器 Lighthouse 入门套餐即可胜任。Lighthouse 套餐式计费、内置防火墙与免费快照，适合这类长期运行的小型关键服务。

准备清单：一台装好 Docker 的实例；一个已解析到服务器公网 IP 的域名（密码库强烈建议用域名加 HTTPS，不要用裸 IP）；在防火墙放通 80、443。

三、用 Docker 部署 Vaultwarden

运行 Vaultwarden 容器，用数据卷持久化密码库数据：

docker run -d \
  --name vaultwarden \
  -v /opt/vaultwarden/data:/data \
  -p 8080:80 \
  --restart unless-stopped \
  vaultwarden/server

说明：-v /opt/vaultwarden/data:/data 把密码库数据持久化到服务器目录，这个目录就是后续备份的核心对象；-p 8080:80 映射 Web 端口；--restart unless-stopped 开机自启。

启动后 docker ps 确认容器 Up。

四、配置域名与 HTTPS（安全底线一）

密码库必须加密传输，用 Caddy 反向代理为域名自动签发 HTTPS 证书：

在 Caddyfile 写入域名指向 Vaultwarden 端口：

vault.example.com {
    reverse_proxy localhost:8080
}

reload Caddy 后，域名会自动获得 HTTPS 证书（参见反向代理配置方法）。只有在 HTTPS 下，Bitwarden 官方客户端才能正常连接自托管服务端，这不是可选项而是硬要求。

五、注册账号与客户端接入

浏览器用域名访问 Vaultwarden，注册你的账号（首次使用建议注册后在配置中关闭开放注册，防止他人注册）。

客户端接入：在浏览器安装 Bitwarden 插件、手机安装 Bitwarden App，在客户端的"设置－自托管环境"里，把服务器地址填成你的 Vaultwarden 域名，再用注册的账号登录。此后所有端的密码都同步到你自己的服务器。

六、备份与恢复演练（安全底线二）

密码库最怕"以为有备份，真要恢复时发现备份不可用"。所以不仅要备份，还要演练恢复。

备份什么：核心是第三步里挂载的数据目录 /opt/vaultwarden/data，它包含密码库数据库和密钥文件。

怎么备份：定期打包该目录并存到安全的异地位置。可写脚本配合定时任务自动打包，并把备份文件上传到腾讯云对象存储 COS——COS 提供高达 11 个 9 的数据持久性和异地容灾，把密码库备份放上去比只存在同一台服务器更可靠。

演练恢复：定期用备份在一台测试实例上还原数据目录、启动 Vaultwarden，确认能正常登录并看到密码——这一步才能证明备份真的可用。对服务器打快照也是一种整机备份手段，Lighthouse 提供免费快照额度。

七、怎么确认搭建成功了

三项验证：浏览器能用域名加 HTTPS 打开 Vaultwarden 并注册/登录；浏览器插件或手机 App 填入自托管地址后能成功登录并同步密码；用备份在测试环境还原后能正常读到密码库。第三项虽不是日常操作，但它才是密码库"真正可靠"的证明。

八、常见问题

客户端报错连不上：九成是没走 HTTPS 或证书无效。确认用域名加 HTTPS 访问、证书正常签发。

不想让别人注册：在 Vaultwarden 配置中关闭开放注册（设置相关环境变量），只保留已注册账号。

忘记主密码：Bitwarden 体系下主密码用于加密密码库，无法由服务端找回，这也是必须做好备份的原因之一。

说明：Vaultwarden 的配置项、环境变量可能随版本调整，请以 Vaultwarden 官方文档为准。

总结

搭建 Vaultwarden 的两条底线是 HTTPS 和备份：用 Docker 部署 → 域名加 HTTPS（客户端硬要求）→ 注册账号、各端接入 → 定期备份数据目录到对象存储并演练恢复。把这两条做扎实，自托管密码库才既好用又安全。

腾讯云轻量应用服务器 Lighthouse 提供开箱即用的 Docker 环境、内置防火墙与免费快照，配合对象存储 COS 的高持久性异地备份，适合稳妥托管 Vaultwarden 这类长期运行的关键服务。

了解产品：https://cloud.tencent.com/product/lighthouse

双十一活动：https://cloud.tencent.com/act/pro/double11-202611