La vostra caixa forta de Vaultwarden ha de ser només per VPN? Tres condicions

El primer inici de sessió en un telèfon de substitució és on una caixa forta només per VPN mostra el seu cost: l’aplicació no té memòria cau, el servidor és darrere d’un túnel i la credencial del túnel pot ser dins de la caixa forta que no podeu obrir. És una qüestió de disseny, no una caiguda, i és més barat respondre-la abans del desplegament que després. Tres condicions decideixen si una caixa forta privada és pràctica per als vostres usuaris. Si alguna falla, la resposta correcta sol ser una exposició més estreta i no un mur de VPN.

Condició 1: els usuaris arriben al servidor el primer dia

Un dispositiu nou no té memòria cau, ni sessió, ni confiança. Necessita que es resolgui el nom d’amfitrió del servidor, la ruta per arribar-hi i un perfil de VPN ja instal·lat abans que l’usuari intenti iniciar sessió. Si qualsevol d’aquests tres arriba només després del primer inici de sessió, el desplegament falla en el pitjor moment possible. Compteu quants passos ha de completar una nova incorporació abans de poder obrir la seva caixa forta.

Un túnel dividit sovint encaixa millor aquí: transporteu només el punt final de la caixa forta i el camí de DNS que necessita, i deixeu la resta del trànsit de l’usuari tranquil. És una decisió d’encaminament que cal prendre amb el propietari de la VPN, no una suposició que cada client mòbil respecta la mateixa política. Totes dues famílies d’adreces i el nom d’amfitrió del servei han de ser coherents amb aquesta elecció.

Si els usuaris no poden arribar al servidor abans de tenir credencials que funcionin, aquesta condició falla i el mur de VPN té la forma equivocada.

Condició 2: l’accés en memòria cau és només de lectura, i això n’hi ha prou

Els clients de Bitwarden poden mostrar una caixa forta ja desbloquejada sense arribar al servidor, i aquesta còpia fora de línia és només de lectura. És útil per llegir una contrasenya durant una caiguda; no és un inici de sessió nou ni és edició. Decidiu si només la lectura és acceptable per als vostres usuaris abans de dissenyar-hi al voltant.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Bloquejar i tancar la sessió són estats diferents, i la diferència importa aquí. Un client bloquejat manté la caixa forta local xifrada i la pot desbloquejar de nou amb la contrasenya mestra o la biometria; tancar la sessió elimina aquesta còpia local i requereix el servidor. Si un script de suport diu als usuaris que tanquin la sessió i la tornin a obrir per arreglar un problema de sincronització, també elimina el seu accés fora de línia. Reviseu l’acció de temps d’espera a cada client en lloc de suposar el valor predeterminat.

Una còpia en memòria cau no és una còpia de seguretat. Viu en un sol dispositiu, està lligada a un sol compte i desapareix amb un tancament de sessió o una esborrada.

Condició 3: la recuperació no passa per la mateixa caixa forta

El cas circular és fàcil de construir per accident: la credencial de la VPN es guarda a la caixa forta, la caixa forta és darrere de la VPN i l’únic dispositiu amb memòria cau és el que s’ha perdut. Llavors la recuperació depèn d’un document o d’una persona fora del sistema. Escriviu aquest camí d’arrencada i proveu-lo amb un compte recuperable abans que ningú el necessiti. Un procediment d’emergència que ningú no ha practicat és només una esperança.

Proveu la seqüència de manera controlada: confirmeu quins elements existents continuen sent llegibles fora de línia, després restaureu el camí de xarxa i verifiqueu que un inici de sessió nou i una sincronització funcionen tots dos. Eviteu tancar la sessió de l’única còpia en memòria cau com a experiment tret que hi hagi una altra ruta de tornada. Anoteu el que heu observat, inclosa la versió del client.

Si la recuperació requereix la caixa forta, aquesta condició falla. La solució és un camí fora de banda documentat, no un avís més fort al document d’acollida.

Què conserveu en qualsevol cas: HTTPS, còpies de seguretat i actualitzacions

HTTPS es manté al seu lloc fins i tot darrere de la VPN. Dóna al servei web una identitat que el navegador pot comprovar i manté la connexió de l’aplicació protegida independentment d’on acabi el túnel. Un punt final privat no ha d’ensenyar als usuaris a saltar-se els avisos de certificat, perquè aquest hàbit els segueix als llocs públics.

Les còpies de seguretat són una disciplina separada de la disponibilitat. Vaultwarden desa les dades en una base de dades, i una còpia coherent presa amb el servei aturat, o una còpia a nivell de base de dades, val més que un fitxer copiat d’un procés en marxa. Mantingueu la còpia fora de l’amfitrió de la caixa forta i proveu una restauració. El material exportat de la caixa forta necessita la mateixa protecció que l’original, perquè una exportació no està xifrada com l’emmagatzematge del servidor.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Després manteniu actualitzats el servidor i els clients. L’accés només per VPN redueix l’exposició; no fa inofensiva una implementació vulnerable ni protegeix un punt final compromès. Les tres condicions decideixen el model d’accés, i el manteniment decideix si aquest model sobreviu l’any.