Vaultwarden — selvhostet passordbehandler guide for nybegynnere

Hva er Vaultwarden og hvordan skiller det seg fra Bitwarden?

Vaultwarden (tidligere kalt bitwarden_rs) er en uoffisiell, lettvektig Bitwarden-serverimplementasjon skrevet i Rust. Den er 100 % kompatibel med alle offisielle Bitwarden-klienter — nettleserutvidelser for Chrome, Firefox og Safari, stasjonære apper for Windows, macOS og Linux, og mobilapper for iOS og Android. Du bruker de offisielle Bitwarden-appene, men de kobler til din private server i stedet for Bitwardens skytjeneste.

Forskjellen fra offisiell Bitwarden-server er ressursbruk: Bitwardens offisielle server krever Microsoft SQL Server og betydelig RAM. Vaultwarden bruker SQLite eller PostgreSQL, kjører på under 100 MB RAM, og passer dermed på en Raspberry Pi eller rimelig VPS. For privatpersoner og små familier er Vaultwarden et ideelt valg — du beholder alt fra Bitwarden gratis, inkludert TOTP-autentisering som ellers koster penger i Bitwarden Premium.

Hvorfor selvhoste passordbehandleren din?

Det er gode argumenter for selvhosting av passordbehandler:

• Full kontroll — ingen tredjepart har tilgang til de krypterte dataene. Du eier serveren.
• Gratis Premium-funksjoner — Vaultwarden inkluderer TOTP-autentisering, nødfil-tilgang og organisasjonsfunksjoner uten abonnement.
• GDPR-trygghet — dataene dine forblir i Norge (om du bruker norsk hosting).
• Ingen abonnementskostnad — eneste kostnad er hosting (VPS fra ~30–60 kr/mnd, eller gratis på Raspberry Pi hjemme).
• Tilpassbar — du kontrollerer oppdateringstidspunkt, sikkerhetspolicy og dataoppbevaring.
• Læringsverdi — du forstår bedre hvordan passordbehandlere fungerer og styres.

Installasjon med Docker Compose

Lag en mappe for Vaultwarden og opprett en docker-compose.yml-fil. Minimaloppsettet: image: vaultwarden/server:latest, volum ./vw-data:/data for persistent lagring, miljøvariabel SIGNUPS_ALLOWED=false etter oppretting av konto (forhindrer uautoriserte registreringer), og port 80:80. Kjør docker compose up -d.

Vaultwarden er tilgjengelig på http://din-ip:80. Opprett kontoen din umiddelbart, og sett deretter SIGNUPS_ALLOWED=false i .env-filen og kjør docker compose restart. Slik er instansen din låst — bare du kan bruke den. Eksisterende brukere kan fortsatt logge inn, men ingen nye kan registrere seg uten at du aktiverer det manuelt.

HTTPS er obligatorisk — slik setter du det opp

Bitwarden-klienter krever HTTPS for å koble til. For hjemmenettverket er selvundertegnede sertifikater mulig men upraktisk. For ekstern tilgang trenger du et domenenavn og et Let's Encrypt-sertifikat. Caddy er den enkleste løsningen: installerCaddy på serveren, legg til én linje i Caddyfile: "vaultwarden.dittdomene.no { reverse_proxy localhost:80 }" — Caddy henter automatisk HTTPS-sertifikat og håndterer fornyelse.

For hjemmehosting uten statisk IP: bruk en gratis dynamisk DNS-tjeneste som DuckDNS eller Cloudflare (gratis plan). DuckDNS gir deg et subdomene som dittvalg.duckdns.org som automatisk oppdateres med hjemmets IP-adresse. Kombiner med Caddy for komplett HTTPS-oppsett.

Koble Bitwarden-klienter til Vaultwarden

I alle offisielle Bitwarden-klienter er det en innstilling for å velge server-URL. I nettleserutvidelsen: klikk tannhjulikonet under innloggingsskjermen, skriv inn "Self-hosted Environment" og fyll inn https://vaultwarden.dittdomene.no. På mobilapp: trykk tannhjulet i øvre venstre hjørne på innloggingsskjermen og skriv inn server-URL.

Etter innstillingen logger du inn med e-postadressen og masterpassordet du opprettet på Vaultwarden-serveren. Synkronisering skjer automatisk. Alle enheter som kobler til samme Vaultwarden-server vil ha samme passordvelv.

Sikkerhetstiltak for Vaultwarden

Disse sikkerhetstiltakene er viktige når du selvhoster:

Backup er ikke valgfritt

Mister du Vaultwarden-dataene uten backup, mister du alle passordene. SQLite-databasen ligger i vw-data/db.sqlite3 — ta daglig backup av hele vw-data-mappen. Bruk et cron-script som kopierer til ekstern lagring: rclone copy /vw-data/ backblaze:min-backup/vaultwarden/ kjøres daglig som systemjobb.

Test gjenoppretting jevnlig — en backup er verdiløs om den ikke fungerer. Eksporter også passordvelvet som kryptert JSON fra Bitwarden-klienten månedlig. Lagre dette krypterte eksporten på et trygt sted — en kryptert USB-pinne i en bankboks er ideelt for den virkelig paranoide.

Migrer fra 1Password, LastPass eller Dashlane

Alle større passordbehandlere støtter eksport til CSV-format. Logg inn på den eksisterende passordbehandleren din, eksporter til CSV, og importer via Bitwarden web vault (vault.bitwarden.com eller din Vaultwarden-URL). Bitwarden forstår eksportformater fra LastPass, 1Password, Dashlane, KeePass og mange andre.

Etter vellykket import: verifiser at alle passord kom med, sett opp to-faktor autentisering, og begynn å bruke Vaultwarden for alle nye innlogginger. Generer unike passord for kritiske tjenester (bank, epost, sosiale medier) som første prioritet.

Passordbehandlere og digital sikkerhet

Passordbehandler er det enkeltverktøyet som gir størst sikkerhetsgevinst.