O seu cofre Vaultwarden deve ser acessível apenas por VPN? Três condições

O primeiro início de sessão num telefone de substituição é o momento em que um cofre acessível apenas por VPN mostra o seu custo: a aplicação não tem cache, o servidor está atrás de um túnel e as credenciais do túnel podem estar dentro do cofre que não consegue abrir. É uma questão de conceção e não uma falha, e é mais barato respondê-la antes da implantação do que depois. Três condições decidem se um cofre privado é prático para os seus utilizadores. Se alguma falhar, a resposta correta costuma ser uma exposição mais estreita e não um muro de VPN.

Condição 1: os seus utilizadores chegam ao servidor no primeiro dia

Um dispositivo novo não tem cache, nem sessão, nem confiança. Precisa do nome de anfitrião do servidor resolvido, da rota para lá chegar e de um perfil de VPN já instalado antes de o utilizador tentar iniciar sessão. Se qualquer destes três só chegar depois do primeiro início de sessão, a implantação falha no pior momento possível. Conte quantos passos uma nova pessoa tem de completar antes de poder abrir o seu cofre.

Um túnel dividido costuma encaixar melhor aqui: transporte apenas o ponto final do cofre e o caminho de DNS de que precisa, e deixe o resto do tráfego do utilizador em paz. É uma decisão de encaminhamento tomada com o proprietário da VPN, não um pressuposto de que cada cliente móvel respeita a mesma política. Ambas as famílias de endereços e o nome de anfitrião do serviço têm de ser coerentes com essa escolha.

Se os utilizadores não conseguirem chegar ao servidor antes de terem credenciais funcionais, esta condição falha e o muro de VPN tem a forma errada.

Condição 2: o acesso em cache é só de leitura, e isso basta

Os clientes Bitwarden podem mostrar um cofre já desbloqueado sem chegar ao servidor, e essa cópia offline é só de leitura. É útil para ler uma palavra-passe durante uma falha; não é um novo início de sessão nem é edição. Decida se a leitura apenas é aceitável para os seus utilizadores antes de conceber em torno dela.

curl -sI https://vault.example.com/alive
openssl s_client -connect vault.example.com:443 -servername vault.example.com </dev/null

Bloquear e terminar sessão são estados diferentes, e a diferença importa aqui. Um cliente bloqueado mantém o cofre local cifrado e pode desbloqueá-lo de novo com a palavra-passe principal ou a biometria; terminar sessão remove essa cópia local e exige o servidor. Se um script de suporte disser aos utilizadores para terminarem e reiniciarem sessão para corrigir um problema de sincronização, também remove o seu acesso offline. Verifique a ação de tempo limite em cada cliente em vez de presumir o valor predefinido.

Uma cópia em cache não é uma cópia de segurança. Vive num só dispositivo, está ligada a uma só conta e desaparece com um término de sessão ou um apagamento.

Condição 3: a recuperação não passa pelo próprio cofre

O caso circular é fácil de construir por acidente: a credencial da VPN está guardada no cofre, o cofre está atrás da VPN e o único dispositivo com cache é o que se perdeu. A recuperação passa então a depender de um documento ou de uma pessoa fora do sistema. Escreva esse caminho de arranque e teste-o com uma conta recuperável antes de alguém precisar dele. Um procedimento de emergência que ninguém praticou é apenas uma esperança.

Teste a sequência de forma controlada: confirme que elementos existentes continuam legíveis offline, depois restaure o caminho de rede e verifique que um novo início de sessão e uma sincronização funcionam. Evite terminar sessão na única cópia em cache como experiência, a menos que exista outro caminho de volta. Anote o que observou, incluindo a versão do cliente.

Se a recuperação exigir o cofre, esta condição falha. A correção é um caminho fora de banda documentado, não um aviso mais forte no documento de integração.

O que conserva em qualquer caso: HTTPS, cópias de segurança e atualizações

O HTTPS mantém-se no lugar mesmo atrás da VPN. Dá ao serviço web uma identidade que o navegador pode verificar e mantém a ligação da aplicação protegida independentemente de onde o túnel termina. Um ponto final privado não deve ensinar os utilizadores a ignorar avisos de certificado, porque esse hábito acompanha-os nos sites públicos.

As cópias de segurança são uma disciplina separada da disponibilidade. O Vaultwarden guarda os dados numa base de dados, e uma cópia coerente tirada com o serviço parado, ou uma cópia ao nível da base de dados, vale mais do que um ficheiro copiado de um processo em execução. Mantenha a cópia fora do anfitrião do cofre e teste um restauro. O material exportado do cofre precisa da mesma proteção que o original, porque uma exportação não está cifrada como o armazenamento do servidor.

sqlite3 /data/db.sqlite3 ".backup '/backup/vault-2026-11-03.sqlite3'"
docker compose ps

Depois mantenha o servidor e os clientes atualizados. O acesso apenas por VPN reduz a exposição; não torna inofensiva uma implementação vulnerável nem protege um ponto final comprometido. As três condições decidem o modelo de acesso, e a manutenção decide se esse modelo sobrevive ao ano.