- Vaultwarden es una implementación ligera de Bitwarden escrita en Rust que permite el auto-alojamiento total de credenciales.
- La seguridad se potencia mediante el uso de Reverse Proxies con HTTPS, tokens de administración hasheados y protección contra fuerza bruta.
- El sistema ofrece funcionalidades premium gratuitas, como la gestión de organizaciones, TOTP interno y acceso de emergencia.
- La integridad de los datos se garantiza mediante backups consistentes de SQLite cifrados con criptografía asimétrica AGE.
Seguro que te ha pasado: intentas entrar en una web y te sueltan que tu clave es demasiado corta, que le falta un carácter chino o que no puede contener tu fecha de nacimiento. Es un auténtico dolor de cabeza que nos empuja a hacer lo más peligroso del mundo, que es usar la misma contraseña para todo o anotar los accesos en una libreta que cualquiera podría encontrar si nos roban el bolso.
Para evitar este estrés, la solución ideal es dar el salto a un gestor de contraseñas. Básicamente, es como tener una caja fuerte digital donde solo tienes que memorizar una clave maestra y el programa se encarga del resto. Aunque existen opciones en la nube, quienes no queremos que nuestros datos estén en el servidor de un tercero optamos por el auto-alojamiento, y ahí es donde entra en juego Vaultwarden.
¿Qué es exactamente Vaultwarden y por qué elegirlo?
Vaultwarden es una implementación alternativa del servidor compatible con Bitwarden, escrita en Rust y diseñada especialmente para instalaciones autoalojadas de particulares, familias y pequeños equipos. Ofrece la mayor parte de las funciones utilizadas habitualmente con un consumo reducido de recursos, aunque no reproduce todas las capacidades disponibles en el servidor oficial.
Una de sus principales ventajas es que resulta compatible con las aplicaciones oficiales de Bitwarden. Puedes utilizar la extensión del navegador, la aplicación móvil o el cliente de escritorio indicando la dirección de tu propio servidor. De esta forma, mantienes la infraestructura y los datos bajo tu control, aunque también asumes la responsabilidad de actualizar el servicio, protegerlo y mantener copias de seguridad válidas.
Instalación paso a paso con Docker Compose
La forma más limpia y moderna de desplegar este servicio es mediante contenedores. Para empezar, necesitas tener Docker y Docker Compose instalados en tu máquina. Lo ideal es crear un directorio específico, como /opt/vaultwarden, para mantener todo ordenado y facilitar las copias de seguridad.
Un archivo compose.yaml básico debe definir la imagen vaultwarden/server:latest y mapear un volumen para que los datos no se borren al reiniciar el contenedor. Es fundamental configurar la variable DOMAIN con la URL pública completa, incluyendo https:// y cualquier puerto o subdirectorio utilizado. Si esta dirección no coincide con la URL real de la instancia, funciones como los adjuntos, las invitaciones y determinados enlaces generados por el servidor pueden dejar de funcionar correctamente.
En una instalación utilizada en producción conviene documentar la versión desplegada y realizar una copia de seguridad antes de actualizar el contenedor. Después de descargar una nueva imagen, revisa los cambios publicados y comprueba que el acceso, los adjuntos, el correo y las aplicaciones cliente siguen funcionando correctamente.
Seguridad y Fortificación del Servidor
Lanzar el contenedor es la parte fácil; lo importante es evitar que quede expuesto de forma insegura. Mantén el puerto HTTP de Vaultwarden limitado a la red interna de Docker o a la interfaz local y publica el servicio mediante un proxy inverso con HTTPS, como Caddy, Nginx o Traefik. La interfaz web necesita un contexto seguro para utilizar correctamente las funciones criptográficas del navegador.
Otro punto crítico es el panel disponible en /admin, que solo se habilita cuando configuras un ADMIN_TOKEN. En lugar de almacenar este secreto en texto plano, genera una cadena Argon2 en formato PHC mediante el comando /vaultwarden hash y úsala como valor del token. Siempre que sea posible, limita además el acceso al panel mediante una VPN, una lista de direcciones permitidas o las reglas del proxy inverso.
Después de crear tu cuenta, configura SIGNUPS_ALLOWED=false para cerrar el registro público. Ten presente que los propietarios y administradores de organizaciones todavía pueden invitar a nuevos usuarios mientras INVITATIONS_ALLOWED permanezca activado. Si quieres bloquear también esta posibilidad, establece INVITATIONS_ALLOWED=false y realiza las altas necesarias desde el panel de administración.
Configuración de Notificaciones y SMTP
Para que el servidor pueda enviarte alertas de seguridad, códigos de verificación 2FA o invitaciones, necesitas configurar un servidor de correo SMTP. Puedes usar Gmail o cualquier proveedor profesional, configurando el host, el puerto (normalmente 587 con STARTTLS) y las credenciales de autenticación.
Esto no es solo un capricho cosmético; es vital para el Acceso de Emergencia. Esta función permite que un contacto de confianza (como un familiar) pueda solicitar acceso a tu bóveda si tú no estás disponible. Tras un periodo de espera configurado por ti, esa persona podrá entrar para rescatar información crítica.
Blindaje contra Ataques de Fuerza Bruta
Tener un servicio expuesto al mundo atrae a bots que intentarán adivinar tu contraseña. Para combatir esto, Fail2Ban es tu mejor aliado. Al configurar Vaultwarden para que escriba los logs en un archivo físico, Fail2Ban puede monitorizar los intentos fallidos de login y bloquear la IP del atacante en la cadena de iptables de Docker.
Es importante crear filtros específicos: uno para los usuarios normales y otro para el panel de administrador. Un límite de tres intentos fallidos suele ser suficiente para echar fuera a los bots sin bloquear accidentalmente a un usuario legítimo que se ha equivocado al escribir.
Estrategias de Backup y Recuperación de Desastres
Si pierdes la base de datos de tu gestor de contraseñas, estás en un problema serio. No basta con copiar la carpeta de datos mientras el servidor está encendido, ya que SQLite puede dejar el archivo corrupto. Lo correcto es usar el comando .backup de SQLite para generar una instantánea consistente del sistema.
Para llevar la seguridad al siguiente nivel, se recomienda cifrar los backups con la herramienta AGE (Advanced Encryption Standard). Esto permite que, aunque el backup esté en una nube pública como Google Drive o S3 (via rclone), nadie pueda leerlo sin tu llave privada asimétrica.
Un flujo de recuperación robusto implica: detener el contenedor, limpiar los archivos temporales WAL y SHM de la base de datos, restaurar el archivo db.sqlite3 y volver a levantar el servicio. Hacer pruebas de restauración periódicamente es la única forma de saber que tus datos están realmente a salvo.
Funciones avanzadas disponibles en Vaultwarden
Al auto-hospedar Vaultwarden, desbloqueas herramientas que en el Bitwarden oficial costarían dinero. Por ejemplo, el TOTP interno, que genera los códigos de seis dígitos directamente en la aplicación, evitando que tengas que usar apps externas como Authy para cada sitio.
También tienes acceso a Organizaciones Ilimitadas. Esto es oro puro para familias o equipos de trabajo, ya que permite compartir contraseñas familiares en Vaultwarden creando colecciones compartidas con diferentes niveles de permiso (solo lectura o edición), todo ello cifrado de extremo a extremo.
Finalmente, el sistema incluye reportes de auditoría que te avisan si alguna de tus claves ha sido filtrada en internet (usando la API de Have I Been Pwned) o si tienes contraseñas demasiado simples que deberías cambiar cuanto antes para no correr riesgos. Si vienes de otro navegador, recuerda que puedes importar contraseñas de Chrome a Vaultwarden para centralizar todo rápidamente.
Tener tu propia instancia de Vaultwarden es la mejor decisión para quien busca soberanía digital, permitiéndote gestionar miles de claves complejas con la tranquilidad de que el control absoluto reside en tu hardware, protegido por capas de cifrado moderno y backups automatizados.
Soy un apasionado de la tecnología que ha convertido sus intereses «frikis» en profesión. Llevo más de 10 años de mi vida utilizando tecnología de vanguardia y trasteando todo tipo de programas por pura curiosidad. Ahora me he especializado en tecnología de ordenador y videojuegos. Esto es por que desde hace más de 5 años que trabajo redactando para varias webs en materia de tecnología y videojuegos, creando artículos que buscan darte la información que necesitas con un lenguaje entendible por todos.
Si tienes cualquier pregunta, mis conocimientos van desde todo lo relacionado con el sistema operativo Windows así como Android para móviles. Y es que mi compromiso es contigo, siempre estoy dispuesto a dedicarte unos minutos y ayudarte a resolver cualquier duda que tengas en este mundo de internet.