Vaultwarden: autoalojamiento de un gestor de contraseñas en 30 minutos

Vaultwarden — implementación no oficial del servidor Bitwarden en Rust (licencia AGPL-3.0, a septiembre de 2026 la versión vigente es 1.37.3). Requiere notablemente menos recursos que el servidor oficial, funciona con todos los clientes oficiales de Bitwarden y soporta la mayor parte de las funciones de pago. Es una opción cómoda para uso personal y equipos pequeños. En el artículo «Gestores de contraseñas: Parte 3 — Bitwarden y Vaultwarden» se explica en qué se diferencian Vaultwarden y Bitwarden y cuándo elegir cada uno.

Qué se necesita

• VPS con Ubuntu 22.04/24.04 (suficiente 1 vCPU y 1 GB de RAM).
• Docker y Docker Compose instalados.
• Un dominio con un registro A apuntando a la IP de tu servidor.
• Servicio SMTP para enviar correos del sistema (invitaciones, confirmaciones de acceso).

1. Configuración de docker-compose.yaml

Desplegamos dos contenedores: Vaultwarden y Nginx como proxy inverso con certificados Let’s Encrypt. HTTPS es obligatorio: sin él los clientes en navegador de Bitwarden no funcionan con el servidor, ya que la criptografía web en el navegador solo está disponible en un contexto seguro.

Cree un directorio de trabajo y el archivo docker-compose.yaml:

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      - SIGNUPS_ALLOWED=${VAULTWARDEN_SIGNUPS_ALLOWED}
      - ADMIN_TOKEN=${VAULTWARDEN_ADMIN_TOKEN}
    volumes:
      - ./vaultwarden-data:/data

  nginx:
    image: ${NGINX_IMAGE}
    container_name: nginx-proxy
    restart: unless-stopped
    ports:
      - "80:80"
      - "443:443"
    environment:
      - DOMAIN=${VAULTWARDEN_DOMAIN}
    volumes:
      - ./nginx-templates:/opt/nginx-templates:ro
      - ./letsencrypt:/etc/letsencrypt
    depends_on:
      - vaultwarden

Importante: ADMIN_TOKEN abre el panel de administración en /admin. Establézcalo como hash Argon2 (sección 2), no en texto plano, y elimínelo de la configuración cuando ya no necesite el panel. La variable separada WEBSOCKET_ENABLED ya no es necesaria: desde la versión 1.29 WebSocket funciona en el puerto principal.

2. Variables de entorno (.env)

Junto a docker-compose.yaml cree el archivo .env:

# Configuración básica
VAULTWARDEN_DOMAIN=vault.yourdomain.com
NGINX_IMAGE=your-preferred-nginx-image:latest

# Configuración de Vaultwarden
VAULTWARDEN_SIGNUPS_ALLOWED=false
# hash Argon2 entre comillas simples, los signos $ no se escapan
VAULTWARDEN_ADMIN_TOKEN='$argon2id$v=19$m=65540,t=3,p=4$...'

El token se define no como texto plano, sino como un hash Argon2id en formato PHC. Vaultwarden generará el hash por sí mismo: el comando pedirá una contraseña, que luego introducirás en la página /admin.

docker run --rm -it vaultwarden/server /vaultwarden hash
# parámetros reducidos según la recomendación de OWASP:
docker run --rm -it vaultwarden/server /vaultwarden hash --preset owasp

Cómo escribir el hash depende del lugar:

• en el archivo .env — tal cual, entre comillas simples;
• directamente en environment del archivo docker-compose.yaml — cada signo $ se duplica ($$argon2id$$v=19$$...), de lo contrario Compose lo interpretará como variable.

Si dejas el token en texto plano, Vaultwarden registrará una advertencia «You are using a plain text ADMIN_TOKEN which is insecure».

3. Configuración de Nginx

Cree el directorio ./nginx-templates y dentro el archivo vaultwarden.conf.template:

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;
    server_name __VAULTWARDEN_DOMAIN__;

    ssl_certificate /etc/letsencrypt/live/__VAULTWARDEN_DOMAIN__/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/__VAULTWARDEN_DOMAIN__/privkey.pem;

    client_max_body_size 128m;

    # WebSocket para live-sync (con Vaultwarden 1.29+ usa el mismo puerto 80)
    location /notifications/hub {
        proxy_pass http://vaultwarden:80;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    location / {
        proxy_pass http://vaultwarden:80;
        proxy_http_version 1.1;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_read_timeout 3600;
        proxy_send_timeout 3600;
    }
}

Si la imagen de Nginx no soporta sustitución automática de variables — reemplace __VAULTWARDEN_DOMAIN__ por el dominio real manualmente y renombre el archivo a .conf.

4. Ejecución

docker compose up -d

5. Configuración SMTP

Las configuraciones guardadas desde el panel /admin las escribe Vaultwarden en el archivo data/config.json, y para la mayoría de parámetros ese archivo tiene prioridad sobre las variables de entorno. Lo más sencillo es configurar SMTP desde el propio panel; a continuación se muestra cómo hacerlo sin él, editando el archivo directamente.

Rápidamente establecer la configuración de correo:

python3 -c "
import json
with open('./vaultwarden-data/config.json') as f:
    c = json.load(f)
c.update({
    'smtp_host': 'mail.your-provider.com',
    'smtp_port': 587,
    'smtp_security': 'starttls',
    'smtp_username': 'your-username',
    'smtp_password': 'your-password',
    'smtp_from': 'no-reply@yourdomain.com',
    'smtp_from_name': 'Vaultwarden',
    '_enable_smtp': True,
})
with open('./vaultwarden-data/config.json', 'w') as f:
    json.dump(c, f, indent=2)
"

Después de cambiar la configuración:

docker compose restart vaultwarden

Advertencia: Los puertos 25 y 587 a menudo están bloqueados por proveedores en la nube. Si el correo no se envía — pruebe 2525 o 8025.

6. Gestión de registros

Por defecto Vaultwarden permite el registro (SIGNUPS_ALLOWED=true), por eso en .env lo cerramos. Ábralo solo mientras añada un nuevo usuario (o invite usuarios desde el panel /admin`):

# Abrir el registro
sed -i 's/VAULTWARDEN_SIGNUPS_ALLOWED=false/VAULTWARDEN_SIGNUPS_ALLOWED=true/' .env
docker compose up -d --force-recreate vaultwarden

# Cerrar después de que el usuario haya creado la cuenta
sed -i 's/VAULTWARDEN_SIGNUPS_ALLOWED=true/VAULTWARDEN_SIGNUPS_ALLOWED=false/' .env
docker compose up -d --force-recreate vaultwarden

Si el registro no se activa mediante .env — compruebe el valor "signups_allowed" dentro de config.json: tiene prioridad.

7. ¿Qué respaldar?

Nunca copie db.sqlite3 directamente mientras el servidor está en funcionamiento — use el comando integrado:

sqlite3 ./vaultwarden-data/db.sqlite3 ".backup /backup/db.sqlite3"

Clientes

Todos los clientes oficiales de Bitwarden funcionan con su servidor. En el primer inicio haga clic en el engranaje (configuración del servidor) y en el campo Self-hosted URL indique https://vault.yourdomain.com.

Disponible para: Chrome, Firefox, Safari, iOS, Android, macOS, Windows, Linux y CLI.

Resumen

Desplegar Vaultwarden lleva alrededor de media hora y no requiere un servidor potente. Los puntos clave: token de administrador — solo como hash Argon2, HTTPS obligatorio, disponibilidad de los puertos SMTP, prioridad de config.json sobre .env y que desde la versión 1.29 WebSocket funciona en el puerto principal 80 y no en el 3012.

Siguiente: Bitwarden CLI — gestión de contraseñas desde la terminal y automatización CI/CD.