Vaultwarden или Bitwarden: что выбрать для своего сервера

Что на самом деле представляют собой Vaultwarden и Bitwarden self-hosted

Выбор между Vaultwarden и Bitwarden self-hosted — это выбор между двумя серверами, использующими один и тот же API клиента, а не выбор между двумя разными менеджерами паролей. Официальный стек Bitwarden запускает около дюжины контейнеров за Nginx, хранит все данные в Microsoft SQL Server и привязан к идентификатору установки, который регистрируется на адрес электронной почты. Vaultwarden — это неофициальная реализация API клиента Bitwarden, написанная на Rust, которая работает как один контейнер с одним файлом SQLite. Ваше расширение для браузера и мобильное приложение не видят разницы, так как оба сервера отвечают на одни и те же запросы.

Шифрование в обоих случаях идентично. Клиенты Bitwarden шифруют хранилище до того, как данные покинут устройство, поэтому сервер хранит только зашифрованные блоки, которые не может прочитать. Формат хранилища в обоих случаях принадлежит Bitwarden. Разница заключается в требованиях к ресурсам сервера, поддержке кода, платных функциях и процедуре резервного копирования.

В файле README проекта Vaultwarden прямо указано: «Этот проект не связан с Bitwarden или Bitwarden, Inc.». Это волонтерский проект без службы поддержки и каких-либо гарантий. Один из активных сопровождающих работает в Bitwarden и вносит вклад в проект в свободное время, что является личной инициативой, а не официальной поддержкой со стороны компании.

Три стека, которые можно установить

Большинство сравнений упускают из виду, что Bitwarden предлагает два разных продукта для self-hosted установки.

Bitwarden standard. Официальный вариант развертывания от вендора, управляемый shell-скриптом.

curl -Lso bitwarden.sh "https://func.bitwarden.com/api/dl/?app=self-host&platform=linux" \
  && chmod 700 bitwarden.sh
./bitwarden.sh install

Установщик запрашивает ваш домен, необходимость запроса сертификата Let's Encrypt, идентификатор и ключ установки, которые вы получаете на https://bitwarden.com/host, указав адрес электронной почты, а также ваш регион (US или EU). Затем ./bitwarden.sh start загружает образы и запускает стек. Bitwarden указывает 2 ГБ оперативной памяти и 12 ГБ дискового пространства как минимум, 4 ГБ и 25 ГБ как рекомендуемые требования, а также Docker Engine версии 26 или новее с плагином Compose. База данных представляет собой образ MSSQL Express, для которого Bitwarden заявляет ограничение в 10 ГБ на размер реляционной базы данных. Если этого недостаточно, вы можете перенаправить развертывание на внешнюю базу данных.

Bitwarden lite. Это вариант развертывания, который раньше назывался Bitwarden Unified. Он вышел из стадии бета-тестирования и был переименован в декабре 2025 года. Один контейнер приложения плюс база данных на ваш выбор:

services:
  bitwarden:
    depends_on:
      - db
    env_file:
      - settings.env
    image: ghcr.io/bitwarden/lite
    restart: always
    ports:
      - "80:8080"
    volumes:
      - bitwarden:/etc/bitwarden
  db:
    environment:
      MARIADB_USER: "bitwarden"
      MARIADB_PASSWORD: "super_strong_password"
      MARIADB_DATABASE: "bitwarden_vault"
      MARIADB_RANDOM_ROOT_PASSWORD: "true"
    image: mariadb:10
    restart: always
    volumes:
      - data:/var/lib/mysql
volumes:
  bitwarden:
  data:

Он поддерживает MariaDB или MySQL, PostgreSQL, SQLite и MSSQL, требуя 200 МБ оперативной памяти и 1 ГБ дискового пространства. Документация самого Bitwarden содержит два предостережения. Этот вариант предназначен для личного использования и домашних лабораторий, а не для бизнеса, и он не выполняет автоматическое резервное копирование базы данных, поэтому эта задача полностью ложится на вас.

Vaultwarden. Один контейнер, согласно README проекта:

docker run --detach --name vaultwarden \
  --env DOMAIN="https://vw.domain.tld" \
  --volume /vw-data/:/data/ \
  --restart unless-stopped \
  --publish 127.0.0.1:8000:80 \
  vaultwarden/server:latest

Строка publish привязывает порт 8000 только к loopback, и это сделано намеренно. Vaultwarden работает по обычному HTTP и ожидает, что перед ним будет стоять reverse proxy для завершения TLS (transport layer security). TLS здесь не является опциональным: веб-хранилище выполняет шифрование с помощью WebCrypto API браузера, который работает только в безопасном контексте, поэтому при использовании обычного http страница входа выдает ошибку в браузере еще до того, как будет отправлен запрос к серверу. В полном руководстве по установке Vaultwarden рассматриваются настройка прокси и сертификата.

Сколько оперативной памяти потребляет Vaultwarden по сравнению с self-hosted Bitwarden?

Минимальные системные требования от поставщика указывают лишь на то, при каких условиях установщик позволит запустить ПО, а не на реальное потребление ресурсов. Данные в таблице ниже получены с помощью docker stats --no-stream на простаивающих инсталляциях: один пользователь, небольшое хранилище, отсутствие вложений, ОС Ubuntu 24.04 с 4 ГБ ОЗУ. Дисковое пространство включает образы и каталог данных после первого успешного запуска.

[
  {
    "label": "Vaultwarden (SQLite)",
    "idle_ram_mb": 58,
    "containers": 1,
    "disk_gb": 0.4
  },
  {
    "label": "Bitwarden lite + MariaDB",
    "idle_ram_mb": 470,
    "containers": 2,
    "disk_gb": 1.6
  },
  {
    "label": "Bitwarden standard (MSSQL)",
    "idle_ram_mb": "2,400",
    "containers": 12,
    "disk_gb": 6.5
  }
]

Vaultwarden в одном контейнере потребляет в простое 58 МБ. Стандартный стек Bitwarden потребляет около 2,400 МБ, распределенных по 12 контейнерам, причем основная часть приходится на контейнер MSSQL. Bitwarden lite с контейнером MariaDB занимает промежуточное положение — 470 МБ. Выполните ту же команду на своем сервере, прежде чем доверять этим цифрам, так как они меняются в зависимости от количества пользователей, вложений и интенсивности синхронизации, а MSSQL увеличивает объем используемой памяти в процессе работы.

Практический вывод для небольшого VPS: Vaultwarden с SQLite комфортно работает на тарифе с 1 ГБ ОЗУ, в то время как стандартный стек Bitwarden там не запустится. На тарифе с 2 ГБ ОЗУ стандартный стек соответствует заявленному минимуму, оставляя крайне мало ресурсов для операционной системы, из-за чего срабатывание OOM-killer (Out of Memory) становится реальной угрозой. Когда это происходит, dmesg выводит строку с именем завершенного процесса, и в данном стеке это обычно sqlservr. Для стандартного развертывания выделяйте 4 ГБ ОЗУ. Если на этом же VPS планируется разместить что-то еще, рассчитайте потребление других сервисов перед выбором тарифа, так как сервер фотографий, например PhotoPrism или Immich требует гораздо больше памяти, чем Vaultwarden. Впрочем, не все соседи столь требовательны: например, Halcyon, который стилизует библиотеку Jellyfin под видеопрокат 90-х — это фронтенд для браузера, который полагается на медиасервер, а не на собственную базу данных. Память — не единственный ресурс, который стоит учитывать, поскольку релей RustDesk для сеансов удаленного рабочего стола почти не виден в docker stats, но активно расходует лимит пропускной способности вашего тарифа.

Какие платные функции доступны бесплатно в Vaultwarden?

Запуск сервера Bitwarden бесплатен, но платные функции остаются заблокированными до загрузки файла лицензии. Лицензия требуется для индивидуальных премиум-аккаунтов и платных корпоративных планов, которые можно разместить на собственном сервере (Families и Enterprise; Bitwarden не предоставляет возможности самостоятельного хостинга для плана Teams). Файл лицензии скачивается из облачного веб-хранилища: в разделе Settings, затем Subscription для индивидуальных пользователей, или в Admin Console, затем Billing и Subscription для организаций, после чего загружается на ваш экземпляр. Лицензии для организаций привязываются к идентификатору установки (installation ID), который хранится в ./bwdata/env/global.override.env. Таким образом, организация на собственном сервере по-прежнему сохраняет платную подписку и взаимодействует с облаком Bitwarden для оплаты.

Vaultwarden активирует эти же функции без лицензии и подписки. Список функций приведен в вики проекта:

• организации, коллекции и группы
• вложения файлов
• двухэтапная аутентификация через email, Duo, YubiKey и FIDO2
• экстренный доступ (Emergency Access)
• Bitwarden Send
• персональные API-ключи
• SSO через OpenID Connect

SSO — самая новая из этих функций, она настраивается с помощью SSO_ENABLED, SSO_AUTHORITY, SSO_CLIENT_ID и SSO_CLIENT_SECRET. Она аутентифицирует только вход в систему. В вики четко указано, что мастер-пароль по-прежнему обязателен и не контролируется вашим поставщиком идентификационных данных (identity provider), так как именно этот пароль генерирует ключ для расшифровки хранилища. Укажите в SSO_AUTHORITY адрес discovery issuer самостоятельно развернутого поставщика идентификационных данных Authentik, чтобы пользователи могли входить через него, а затем разблокировать хранилище мастер-паролем. Значение должно совпадать с полем issuer, которое возвращает discovery endpoint, без суффикса /.well-known/openid-configuration в конце.

Чего вы не получаете при использовании Vaultwarden, так это официального вендора. Bitwarden обладает сертификатами SOC 2 Type 2 и ISO 27001, публикует отчеты о сторонних аудитах и проводит частную программу bug bounty на платформе HackerOne. Эти меры относятся к коду и сервису Bitwarden, а не к серверу, который вы установили самостоятельно. Если аудитору требуется наличие официального поставщика, стоящего за вашим менеджером паролей, добровольная переработка кода может стать предметом сложного обсуждения.

Работают ли официальные приложения Bitwarden с Vaultwarden?

Да. Vaultwarden реализует клиентский API, поэтому расширения для браузеров, десктопные и мобильные приложения, а также встроенный веб-сейф полностью совместимы. В каждом клиенте необходимо указать URL вашего сервера на экране параметров перед входом в систему, а не после.

Одна функция требует дополнительной настройки: push-уведомления для мобильных приложений. Без них приложение синхронизируется только при открытии или по собственному таймеру, поэтому пароль, измененный на ноутбуке, не появится на телефоне, пока вы не откроете приложение. Vaultwarden может использовать push-релей Bitwarden, для чего потребуются installation ID и ключ с той же страницы https://bitwarden.com/host, которую использует официальный установщик.

PUSH_ENABLED=true
PUSH_INSTALLATION_ID=<your installation id>
PUSH_INSTALLATION_KEY=<your installation key>

Для серверов в регионе EU также требуются PUSH_RELAY_URI=https://api.bitwarden.eu и PUSH_IDENTITY_URI=https://identity.bitwarden.eu. В вики описаны две ловушки, о которых стоит знать, прежде чем тратить час на отладку. Приложение, установленное из F-Droid или Neo Store, не имеет поддержки Firebase и не будет получать push-уведомления, независимо от настроек сервера. Если приложение было подключено до версии Vaultwarden 1.30.2, необходимо очистить его данные, чтобы оно зарегистрировало push-токен.

Насколько безопасна повторная реализация?

История аудитов Bitwarden обширна и находится в открытом доступе. Компания Cure53 проводила проверки в 2018, 2021, 2022, 2023, 2024 и 2025 годах. В 2025 году аудит охватил расширение для браузера и оверлей автозаполнения, основное приложение, десктопную версию, веб-хранилище, а также библиотеку и крейт RustCrypto. В 2024 году клиенты проверяли IOActive и Mandiant, в 2024 и 2025 годах Fracture Labs проводила оценку веб-части и сетевой инфраструктуры, в 2025 году Unit 42 проанализировала мобильные приложения, а группа прикладной криптографии ETH Zurich провела аудит криптографических механизмов.

Vaultwarden также проходил сторонние проверки, что удивляет тех, кто полагает, будто проект никто не изучает. Федеральное управление по информационной безопасности Германии (BSI) в период с февраля по май 2024 года поручило компании mgm security partners протестировать его в рамках проекта по анализу кода Caos 3.0; по результатам проверки две находки получили высокий рейтинг опасности. Отдельно компания ERNW сообщила об уязвимости обхода аутентификации, затрагивающей версии ниже 1.32.5 (CVE-2024-55225), которая была устранена в ноябре 2024 года. Версия 1.37.0, вышедшая в июле 2026 года, содержала исправления для SSRF (подделка запроса на стороне сервера) через эндпоинт иконок, межорганизационного доступа к шифрам и обхода политики организации при импорте из каталога. Версия 1.37.4, вышедшая в октябре 2026 года, устранила еще ряд уязвимостей, включая уязвимость с высоким рейтингом опасности при отзыве прав члена организации, а также проблемы в двухфакторной аутентификации, приглашениях в организацию и вложениях.

Эта история демонстрирует проект с работающим процессом раскрытия информации. Она также указывает на область, в которой постоянно возникают проблемы: страница администратора. Относитесь к этой странице как к критически важному компоненту. Она остается выключенной, пока не установлена переменная ADMIN_TOKEN, и вам следует хранить хеш, а не токен в открытом виде.

docker run --rm -it vaultwarden/server /vaultwarden hash

Эта команда выводит строку Argon2 PHC (формат конкурса хеширования паролей), которую нужно вставить в ADMIN_TOKEN. Включите HTTPS перед тем, как активировать страницу администратора, так как токен передается в запросе, и токен в открытом виде при обычном HTTP-соединении может быть перехвачен любым узлом на пути следования трафика. Именно этот токен и ваш файл резервной копии, а не криптография, представляют собой основной практический риск, и процедура усиления безопасности работающего экземпляра позволяет проработать оба этих аспекта. По возможности держите /admin вне публичного доступа в Интернете и дополните это стандартными мерами по усилению безопасности хоста, такими как ограничение доступа по SSH к серверу.

Что ломается при изменении официального API

Это риск, который многие недооценивают. Bitwarden выпускает клиенты, и эти клиенты обновляются из магазинов приложений автоматически. Vaultwarden должен следовать за ними. Когда в новой версии клиента меняется контракт API, необновленный Vaultwarden сталкивается с клиентом, который уже изменился, и на устройствах, которые вы не трогали, перестают работать вход в систему или синхронизация.

В примечаниях к выпуску есть конкретный пример. Vaultwarden 1.37.0 гласит: «Это обновление требуется для поддержки клиентов версии 2026.7.0+, пожалуйста, обновитесь перед тем, как сообщать о каких-либо проблемах с ними». Месяц спустя версия 1.37.2, опубликованная 22 августа 2026 года, повторила это предупреждение для клиентов версии 2026.8.0 и новее, поэтому сервер, оставшийся на версии 1.37.0 или 1.37.1, уже отстает от приложений. По состоянию на 27 октября 2026 года текущим является выпуск 1.37.4, опубликованный 5 октября 2026 года, после версии 1.37.3 от 13 сентября 2026 года.

Две привычки помогут избежать проблем. Закрепите конкретный тег образа вместо latest, чтобы автоматическое обновление не изменило версию сервера в 3 часа ночи. Затем следите за лентой выпусков и обновляйтесь осознанно, предварительно читая примечания, так как именно там объявляются критические изменения. Предупреждение для версии 1.37.2 также было опубликовано в GitHub Discussions проекта вместе с инструкциями по восстановлению для клиентов, которые продолжают работать некорректно после обновления сервера: выйдите из системы и войдите снова, затем очистите кэш приложения или расширения, а переустановку мобильного приложения или расширения используйте только в крайнем случае. Версия 1.35.5, например, при обновлении аннулировала все существующие токены «запомнить меня» для двухфакторной аутентификации, из-за чего у пользователей сбрасывался этап, который, как они считали, был сохранен.

Стандартное развертывание Bitwarden имеет зеркальную проблему. Обновления выполняются через ./bitwarden.sh updateself и ./bitwarden.sh update, и обновление применяет миграции базы данных. Резервная копия, созданная до миграции, не является средством отката для схемы после нее, поэтому создавайте резервную копию и фиксируйте версию, на которой она была сделана.

Резервные копии: здесь чаще всего теряют хранилища

Каталог данных Vaultwarden — это и есть сервер. Сохраняйте следующее:

• db.sqlite3
• все файлы rsa_key*, включая rsa_key.pem и rsa_key.der
• attachments/
• config.json
• sends/

Не копируйте db.sqlite3 с помощью cp во время работы контейнера. SQLite может находиться в процессе записи, поэтому копия может оказаться поврежденной базой данных, которая выглядит исправной до момента восстановления. Вместо этого используйте API для онлайн-резервного копирования:

sqlite3 data/db.sqlite3 ".backup '/path/to/backups/db-$(date '+%Y%m%d-%H%M').sqlite3'"

Начиная с версии 1.32.1, в образ также встроена команда /vaultwarden backup. В любом случае, снапшот остается на том же диске, что и оригинал, пока вы его не переместите, поэтому выгружайте его с сервера с помощью снапшотов restic во внешнее хранилище по расписанию. Задача резервного копирования, которая тихо перестала выполняться, выглядит точно так же, как та, которой никогда не существовало, поэтому настройте таймер так, чтобы он сообщал о своих сбоях туда, где вы это заметите; именно для этого нужен собственный сервер ntfy, подключенный к unit-файлу systemd OnFailure. Файлы rsa_key важны не меньше, чем база данных: сервер подписывает ими токены сессий, поэтому база данных, восстановленная рядом со свежесгенерированным ключом, завершит все сеансы пользователей и нарушит приглашения в организации, которые находились в процессе обработки.

Стандартная версия Bitwarden выполняет больше собственных резервных копий. Контейнер mssql каждую ночь записывает резервные копии базы данных в ./bwdata/mssql/backups и хранит их 30 дней, пока контейнер запущен; вы также можете принудительно запустить создание копии:

docker exec -i bitwarden-mssql /backup-db.sh

Каталоги, которые необходимо сохранять: ./bwdata/env (переменные окружения, включая пароли от базы данных и сертификатов), ./bwdata/core/attachments, ./bwdata/mssql/data и ./bwdata/core/aspnet-dataprotection. Последний — это то, о чем люди забывают. В нем хранятся материалы для защиты данных на уровне фреймворка, включая токены аутентификации и некоторые столбцы базы данных, поэтому восстановление базы данных без него делает защищенные им столбцы нечитаемыми. Версия Bitwarden lite не делает автоматических резервных копий вообще, поэтому выбор lite означает необходимость самостоятельной настройки расписания дампов, как и в случае с Vaultwarden.

Миграция в любом направлении

Процесс миграции выполняется через клиентские приложения, а не через серверы, так как функции экспорта и импорта являются клиентскими. Благодаря этому процедура в обоих направлениях идентична.

Каждый пользователь выполняет экспорт из веб-хранилища или десктопного приложения, создает учетную запись на новом сервере и выполняет импорт. Доступны следующие форматы: обычный текст .json, обычный текст .csv, зашифрованный .json и .zip, который содержит JSON-данные вместе с файловыми вложениями для отдельных хранилищ. Банковские карты, идентификационные данные, сохраненные ключи доступа (passkeys) и SSH-ключи сохраняются только в форматах JSON, поэтому при миграции через CSV эти данные будут без предупреждения удалены. Ни один формат экспорта не включает содержимое корзины или элементы Sends, а данные, принадлежащие организации, не являются частью индивидуального экспорта.

Относитесь к экспорту в обычном текстовом формате как к активному секрету, так как по сути это и есть ваш полный сейф в открытом виде на диске. Выполните экспорт, импорт и удаление файла за один сеанс. Никогда не пересылайте этот файл через электронную почту или мессенджеры.

Существует одна ловушка, с которой пользователи сталкиваются в процессе миграции. Зашифрованный экспорт, привязанный к вашей учетной записи, невозможно импортировать в другую учетную запись, а смена сервера по определению означает использование другой учетной записи. Выбирайте вариант экспорта с защитой паролем, так как он является переносимым.

Переход с Vaultwarden на стандартный Bitwarden — более сложная задача, так как структура организации не переносится при экспорте. Вам потребуется заново создать организацию на новом сервере, повторно пригласить пользователей, и каждый пользователь должен будет импортировать свое личное хранилище. Запланируйте для этого окно обслуживания, чтобы не столкнуться с необходимостью решения этих задач в последний момент.

Что выбрать?

Используйте Vaultwarden, если вы единственный пользователь, семья или домашняя лаборатория на VPS с 1 ГБ или 2 ГБ ОЗУ. Функции Organisations, Emergency Access и Send предоставляются бесплатно, потребление памяти в простое сопоставимо с одной вкладкой браузера, а резервная копия состоит из файла SQLite и небольшой директории. Именно это сочетание делает его лидером в сфере self-hosted менеджеров паролей.

Используйте официальный сервер Bitwarden, если от него профессионально зависят другие люди: например, компании, которой требуется договор на техническую поддержку, соблюдение требований комплаенса с указанием конкретного вендора или корпоративные функции, за которые вы уже платите. Выделите для стандартного развертывания 4 ГБ ОЗУ и относитесь к файлу лицензии и installation ID как к неотъемлемой части инфраструктуры, а не как к бюрократии.

Bitwarden lite занимает неудобную промежуточную нишу. Это код от вендора с гораздо меньшими системными требованиями, что выглядит привлекательно, однако Bitwarden позиционирует его для личного использования и домашних лабораторий, при этом в нем отсутствуют автоматические резервные копии. Вы берете на себя эксплуатационную нагрузку Vaultwarden, не получая при этом его бесплатного набора функций. Выбирайте этот вариант, если код от вендора важнее функциональности, а вы готовы самостоятельно заниматься обслуживанием базы данных.

Если вы еще решаете, какие сервисы разместить на сервере, общий список self-hosted решений поможет сопоставить этот выбор с другими сервисами, конкурирующими за тот же объем оперативной памяти.

FAQ

Достаточно ли безопасен Vaultwarden для использования в качестве полноценного менеджера паролей?

Для личного и семейного использования — да, при соблюдении определенных условий. Клиентские приложения шифруют хранилище до того, как оно попадает на сервер, поэтому Vaultwarden никогда не получает доступ к вашему мастер-паролю или данным в открытом виде. Проект прошел внешние проверки: BSI организовало тестирование силами mgm security partners в период с февраля по май 2024 года, а компания ERNW обнаружила уязвимость обхода аутентификации, которая была исправлена в версии 1.32.5. Поддерживайте актуальную версию ПО, держите страницу администратора отключенной или защищенной паролем с хешированием Argon2 ADMIN_TOKEN, а также используйте только HTTPS. Организациям, которым требуется поддержка от вендора или документация для аудита, следует использовать официальный сервер Bitwarden.

Сколько оперативной памяти требуется Vaultwarden по сравнению с self-hosted версией Bitwarden?

При замерах в режиме простоя с помощью docker stats --no-stream, Vaultwarden с базой данных SQLite потреблял около 58 МБ в одном контейнере. Стандартная установка Bitwarden потребляла около 2,400 МБ, распределенных по 12 контейнерам, причем основная часть ресурсов приходилась на базу данных MSSQL. В документации Bitwarden указано 2 ГБ как минимум и 4 ГБ как рекомендуемый объем для стандартного стека, а для версии Bitwarden lite — 200 МБ. Vaultwarden стабильно работает на VPS с 1 ГБ оперативной памяти, оставляя свободные ресурсы.

Нужна ли лицензия Bitwarden для самостоятельного хостинга?

Для бесплатного личного хранилища — нет. Запуск сервера бесплатен. Файл лицензии необходим для активации премиум-функций для частных лиц и платных корпоративных тарифов. Bitwarden позволяет самостоятельно хостить только тарифы Families и Enterprise. Вы скачиваете файл из облачного веб-хранилища и загружаете его на свой экземпляр; корпоративные лицензии привязываются к идентификатору установки (installation ID), который хранится в ./bwdata/env/global.override.env. Vaultwarden не требует лицензии и активирует корпоративные функции самостоятельно.

Можно ли позже перейти с Vaultwarden на Bitwarden или обратно?

Да, в обоих направлениях, используя клиентские приложения. Каждый пользователь экспортирует свое хранилище из веб-интерфейса или десктопного приложения, а затем импортирует его на новый сервер после создания там учетной записи. Экспорт в формате .zip сохраняет вложения для личных хранилищ, а JSON-файлы содержат данные банковских карт, удостоверений, ключи доступа (passkeys) и SSH-ключи. Удаленные элементы и функция Sends не экспортируются, а элементы, принадлежащие организации, должны быть экспортированы отдельно владельцем. Планируйте повторное создание организации и приглашение пользователей на новом сервере.