Wiki de Vaultwarden

Bienvenido a la wiki de Vaultwarden, un gestor de contraseñas autoalojado compatible con Bitwarden.

📋 Índice de Contenidos

Despliegue

Traefik: Despliegue con Traefik como reverse proxy (requiere override)
Nginx Proxy Manager: Despliegue con Nginx Proxy Manager (usa compose base)

Configuración y Mantenimiento

Configuración Inicial: Primeros pasos tras el despliegue
Personalización: Configurar SMTP, usuarios, organizaciones
Backup y Restauración: Protege tus contraseñas
Actualización: Mantener Vaultwarden actualizado
Solución de Problemas: Resolver errores comunes

🔐 ¿Qué es Vaultwarden?

Vaultwarden es una implementación alternativa del servidor Bitwarden escrita en Rust. Ofrece las mismas funcionalidades que Bitwarden oficial pero con:

🚀 Menor consumo de recursos: Ideal para self-hosting
💰 Todas las características gratuitas: Incluye organizaciones, 2FA, etc.
🔒 Mismo nivel de seguridad: Cifrado de extremo a extremo
📱 Compatible 100%: Usa los clientes oficiales de Bitwarden

⚠️ Consideraciones de Seguridad

Antes de desplegar Vaultwarden:

HTTPS es obligatorio: Los clientes de Bitwarden requieren conexión segura
ADMIN_TOKEN fuerte: Genera un token de al menos 32 caracteres
Backups regulares: Un gestor de contraseñas sin backup es un riesgo crítico
Desactiva registros públicos: Establece SIGNUPS_ALLOWED=false
Contraseña maestra única: No la reutilices en otros servicios
Habilita 2FA: Protege tu cuenta con autenticación de dos factores

🔑 Generar ADMIN_TOKEN

Antes de cualquier despliegue, genera un token en formato Argon2 seguro:

# 1. Generar token aleatorio
openssl rand -base64 48

# 2. Convertir a Argon2
docker run --rm -it vaultwarden/server:latest /vaultwarden hash
# Pega el token del paso 1 cuando lo solicite

Usa el hash Argon2 resultante (empieza con $argon2id$ ) como ADMIN_TOKEN.

⚠️ Importante: Guarda este hash entre comillas simples en el archivo .env para evitar que $ se interprete como variable. Ejemplo: ADMIN_TOKEN='$argon2id$v=19$m=65540,t=3,p=4$...'

🚀 Inicio Rápido

Elección del Modo de Despliegue

Modo	Recomendado	Requisitos	Características
Traefik	✅ Sí	Red `proxy`, Traefik con Let's Encrypt	SSL automático, WebSocket integrado
NPM	✅ Sí	Red `proxy`, NPM configurado	Requiere activar WebSocket manualmente

Variables de Entorno

Todas las configuraciones requieren:

ADMIN_TOKEN='$argon2id$...'  # Hash Argon2 entre comillas simples

Para Traefik necesitas también:

DOMAIN_HOST=vaultwarden.tudominio.com      # Sin protocolo

Nota: Otras opciones (DOMAIN, SIGNUPS_ALLOWED, SMTP, etc.) se configuran desde el panel de administración /admin después del despliegue.

📚 Recursos Adicionales

🆘 Soporte

Si encuentras problemas:

Consulta la página Solución de Problemas
Revisa los logs: docker compose logs vaultwarden
Verifica la configuración en /admin
Consulta la documentación oficial de Vaultwarden

Última actualización: Diciembre 2025