- Vaultwarden permite auto-alojar la API de Bitwarden en hardware ligero como Raspberry Pi, eliminando costes y dependencias cloud.
- El acceso remoto seguro requiere obligatoriamente HTTPS, ya sea mediante un Reverse Proxy con certificados SSL o el uso de una VPN.
- La seguridad se refuerza desactivando los registros públicos tras la creación de la cuenta y utilizando hashes Argon2 para el panel de administración.
¿Estás harto de confiar tus claves más sensibles a una empresa externa o te sientes limitado por gestores que obligan a sincronizar archivos a mano? Montar tu propia instancia de Vaultwarden es la solución. Con tu propio hardware, sin cuotas mensuales y con el control total de dónde aterrizan tus datos, con la posibilidad de poder acceder a Vaultwarden desde fuera de casa, evitando así que cualquier fallo en la nube te deje fuera de tus propias cuentas.
Lo mejor de todo es que no hace falta tener un superordenador para esto; con una Raspberry Pi 4 o un servidor modesto en casa es más que suficiente. Al estar desarrollado en Rust, es increíblemente ligero, consumiendo apenas una fracción de los recursos que requeriría la versión oficial. En este artículo vamos a desgranar cómo ponerlo en marcha, cómo abrirlo al mundo exterior de forma segura y los trucos para que no te vuelvas loco con la configuración.
¿Qué es Vaultwarden y por qué te debería interesar?
Básicamente, Vaultwarden es una implementación alternativa de la API de Bitwarden. Esto significa que engaña a las aplicaciones oficiales de Bitwarden (las de móvil, escritorio y extensiones de navegador) para que crean que están hablando con el servidor central, cuando en realidad están conectadas a tu propia máquina. Gracias a esto, disfrutas de funciones premium totalmente gratis y de una privacidad absoluta, ya que tus contraseñas nunca salen de tu casa.
A diferencia de otras opciones como KeePassXC, donde tienes que pelearte con archivos .KBDX y sincronizarlos mediante Syncthing o Dropbox, aquí tienes una experiencia cloud privada. Te olvidas de copiar archivos manualmente entre dispositivos; haces un cambio en el móvil y, al instante, aparece en el PC. En este post nos fijamos en una de sus funcionalidades más interesantes: acceder a Vaultwarden desde fuera de casa.
Instalación paso a paso con Docker Compose
Para montar esto, la vía más rápida y limpia es instalar Vaultwarden con Docker y Docker Compose. Solo necesitas crear un archivo docker-compose.yml. Si solo quieres probarlo en casa, una configuración básica exponiendo el puerto 8080 sería suficiente, pero si vas en serio, lo ideal es no exponer puertos directamente y usar una red interna de Docker conectada a un proxy.
Un ejemplo de despliegue sólido incluye la imagen vaultwarden/server y el montaje de un volumen persistente (como /vw-data) para que, si el contenedor se reinicia, no pierdas todas tus claves. Recuerda que la variable DOMAIN es obligatoria y debe incluir el protocolo (http o https) para que cosas como los adjuntos funcionen correctamente.
Acceder a Vaultwarden desde fuera de casa: El reto del HTTPS
Aquí es donde la mayoría de la gente se atasca. Para que las extensiones de Bitwarden funcionen, es imperativo usar HTTPS debido a las restricciones de la Web Crypto API. Tienes dos caminos principales para lograrlo:
- Reverse Proxy (Nginx Proxy Manager o Caddy): Es la opción más común. Instalas un proxy que gestione los certificados de Let’s Encrypt automáticamente. El flujo es: Usuario → Dominio (puerto 443) → Proxy → Vaultwarden (puerto 80). Caddy es especialmente recomendado por su sencillez extrema.
- VPN (Tailscale o WireGuard): Si no quieres abrir puertos en tu router ni exponer tu servidor a todo internet, esta es la vía más segura. Creas un túnel privado y accedes a tu bóveda como si estuvieras en el sofá de tu salón, aunque estés en la otra punta del mundo.
Un problema típico cuando queremos acceder a Vaultwarden desde fuera de casa es el hairpin NAT: cuando intentas entrar con tu dominio estando dentro de tu propia red y el router no lo permite, dándote un error de conexión. Esto se soluciona configurando un DNS local o usando el proxy correctamente.
Configuraciones críticas de seguridad
Una vez que el servidor respira, no puedes dejarlo abierto de cualquier manera. Lo primero es crear tu cuenta y, acto seguido, cambiar la variable SIGNUPS_ALLOWED a false para que ningún extraño se registre en tu servidor. Para gestionar el sistema, puedes activar el ADMIN_TOKEN, que te da acceso a un panel de control avanzado en /admin.
Ojo con el token de administración: en versiones modernas ya no se pone en texto plano. Debes generar un hash Argon2 usando el propio binario de Vaultwarden para evitar avisos de seguridad al arrancar. Además, es vital configurar el 2FA (Autenticación de Dos Factores) mediante TOTP o llaves físicas como YubiKey para blindar el acceso.
Mantenimiento, Backups y Actualizaciones
Tener el control total implica también la responsabilidad de no perder los datos. La base de datos de Vaultwarden es un archivo SQLite. La forma más rudimentaria de hacer copia es detener el contenedor y copiar la carpeta de datos, pero para evitar cortes de servicio, lo ideal es ejecutar un comando de backup en caliente de SQLite.
Para mantener el sistema al día, basta con hacer un docker compose pull y reiniciar el servicio. Si prefieres automatizarlo, Watchtower es una herramienta genial, aunque para algo tan crítico como las contraseñas, siempre es más prudente actualizar a mano tras leer las notas de la versión.
Gestión de Organizaciones y Usuarios
Una de las joyas de Vaultwarden es que permite crear organizaciones sin pagar suscripciones. Puedes compartir contraseñas familiares en Vaultwarden creando colecciones compartidas para tu familia o equipo de trabajo, asignando permisos de solo lectura o edición. Esto convierte tu servidor en una herramienta colaborativa potente donde puedes centralizar las claves del hogar o de una pequeña empresa de forma totalmente gratuita.
Configurar el servidor de correo (SMTP) es fundamental aquí, ya que permite enviar invitaciones a nuevos miembros y recibir notificaciones de seguridad, asegurando que la gestión de usuarios sea fluida y profesional.
Montar tu propio gestor de claves con Vaultwarden te devuelve la soberanía digital, eliminando la dependencia de terceros y optimizando el consumo de hardware. Combinando un despliegue en Docker, un proxy seguro para el acceso remoto y una rutina de copias de seguridad, consigues una herramienta de nivel empresarial que protege tu identidad digital sin coste alguno.
Redactor especializado en temas de tecnología e internet con más de diez años de experiencia en diferentes medios digitales. He trabajado como editor y creador de contenidos para empresas de comercio electrónico, comunicación, marketing online y publicidad. También he escrito en webs de economía, finanzas y otros sectores. Mi trabajo es también mi pasión. Ahora, a través de mis artículos en Tecnobits, intento explorar todas las novedades y nuevas oportunidades que el mundo de la tecnología nos ofrece día a día para mejorar nuestras vidas.