Vaultwarden hay Bitwarden self-hosted cho VPS?

Vaultwarden và Bitwarden self-hosted thực sự là gì

Vaultwarden và Bitwarden self-hosted là lựa chọn giữa hai server sử dụng cùng một client API, không phải lựa chọn giữa hai password manager. Stack chính thức của Bitwarden chạy khoảng một tá container phía sau nginx, lưu toàn bộ dữ liệu trong Microsoft SQL Server và gắn với một installation ID được đăng ký bằng địa chỉ email. Vaultwarden là bản triển khai lại không chính thức của Bitwarden client API, được viết bằng Rust, chạy dưới dạng một container và sử dụng một file SQLite. Browser extension và điện thoại của bạn không thể phân biệt hai server này, vì cả hai đều trả lời cùng các endpoint.

Mã hóa giống hệt nhau trong cả hai trường hợp. Bitwarden client mã hóa vault trước khi bất kỳ dữ liệu nào rời khỏi thiết bị. Vì vậy server chỉ lưu các blob mà nó không thể đọc, và định dạng vault trong cả hai trường hợp đều thuộc về Bitwarden. Điểm khác nhau là bạn phải thuê máy có cấu hình lớn đến mức nào, ai duy trì code, những tính năng nào phải trả phí và bạn phải backup những gì.

README của Vaultwarden nói rõ về trạng thái của dự án: "Dự án này không liên quan đến Bitwarden hoặc Bitwarden, Inc." Đây là một dự án do tình nguyện viên duy trì, không có bộ phận hỗ trợ và không có bảo hành. Một maintainer đang hoạt động làm việc tại Bitwarden và đóng góp trong thời gian cá nhân. Đây là một sự hỗ trợ thiện chí, không phải sự xác nhận chính thức.

Ba stack bạn có thể cài đặt

Hầu hết các bài so sánh đều bỏ qua việc Bitwarden phát hành hai sản phẩm self-hosted khác nhau.

Bitwarden standard. Bộ triển khai của vendor, được điều khiển bằng shell script.

curl -Lso bitwarden.sh "https://func.bitwarden.com/api/dl/?app=self-host&platform=linux" \
  && chmod 700 bitwarden.sh
./bitwarden.sh install

Trình cài đặt hỏi domain của bạn, có yêu cầu chứng chỉ Let's Encrypt hay không, installation ID và key mà bạn lấy từ https://bitwarden.com/host bằng cách nhập địa chỉ email, cùng region của bạn (US hoặc EU). Sau đó ./bitwarden.sh start pull các image và khởi động stack. Bitwarden ghi rõ 2 GB RAM và 12 GB storage là mức tối thiểu, 4 GB và 25 GB là mức khuyến nghị, cùng Docker Engine 26 trở lên có Compose plugin. Database là image MSSQL Express, được Bitwarden ghi rõ có giới hạn kích thước relational database tối đa 10 GB. Nếu mức này quá thấp, bạn có thể trỏ bộ triển khai đến một database bên ngoài.

Bitwarden lite. Đây là bộ triển khai trước đây có tên Bitwarden Unified. Sản phẩm này đã rời beta và được đổi tên vào tháng 12 năm 2025. Một application container cùng database do bạn chọn:

services:
  bitwarden:
    depends_on:
      - db
    env_file:
      - settings.env
    image: ghcr.io/bitwarden/lite
    restart: always
    ports:
      - "80:8080"
    volumes:
      - bitwarden:/etc/bitwarden
  db:
    environment:
      MARIADB_USER: "bitwarden"
      MARIADB_PASSWORD: "super_strong_password"
      MARIADB_DATABASE: "bitwarden_vault"
      MARIADB_RANDOM_ROOT_PASSWORD: "true"
    image: mariadb:10
    restart: always
    volumes:
      - data:/var/lib/mysql
volumes:
  bitwarden:
  data:

Nó hỗ trợ MariaDB hoặc MySQL, PostgreSQL, SQLite và MSSQL, đồng thời yêu cầu 200 MB RAM và 1 GB storage. Có hai điểm cần lưu ý theo chính tài liệu của Bitwarden. Sản phẩm này được ghi rõ dành cho mục đích cá nhân và home lab, không dành cho môi trường doanh nghiệp; ngoài ra, nó không tự động backup database, nên bạn phải tự chịu trách nhiệm hoàn toàn cho việc này.

Vaultwarden. Một container, lấy trực tiếp từ project README:

docker run --detach --name vaultwarden \
  --env DOMAIN="https://vw.domain.tld" \
  --volume /vw-data/:/data/ \
  --restart unless-stopped \
  --publish 127.0.0.1:8000:80 \
  vaultwarden/server:latest

Dòng publish chỉ bind port 8000 vào loopback, và đó là chủ ý. Vaultwarden cung cấp plain HTTP và yêu cầu một reverse proxy đứng trước để thực hiện TLS termination (transport layer security). TLS là bắt buộc ở đây: web vault mã hóa bằng WebCrypto API của browser, mà browser chỉ cung cấp trong secure context. Vì vậy, khi dùng plain http, trang đăng nhập sẽ fail trên browser trước khi server của bạn được yêu cầu xử lý. Hướng dẫn cài đặt Vaultwarden đầy đủ trình bày phần proxy và certificate.

Vaultwarden dùng bao nhiêu RAM khi chạy cùng Bitwarden self-hosted?

Mức tối thiểu do nhà cung cấp công bố cho biết installer sẽ từ chối chạy dưới mức nào, không cho biết phần mềm thực tế chiếm bao nhiêu tài nguyên. Các số liệu dưới đây lấy từ docker stats --no-stream trên các bản cài đặt ở trạng thái idle, mỗi bản có một user, một vault nhỏ và không có attachment, chạy trên Ubuntu 24.04 với 4 GB RAM. Dung lượng disk gồm images và data directory sau lần khởi động thành công đầu tiên.

[
  {
    "label": "Vaultwarden (SQLite)",
    "idle_ram_mb": 58,
    "containers": 1,
    "disk_gb": 0.4
  },
  {
    "label": "Bitwarden lite + MariaDB",
    "idle_ram_mb": 470,
    "containers": 2,
    "disk_gb": 1.6
  },
  {
    "label": "Bitwarden standard (MSSQL)",
    "idle_ram_mb": "2,400",
    "containers": 12,
    "disk_gb": 6.5
  }
]

Vaultwarden ở trạng thái idle dùng 58 MB trong một container duy nhất. Bitwarden stack tiêu chuẩn ở trạng thái idle dùng khoảng 2,400 MB trên 12 container, trong đó container MSSQL chiếm phần lớn dung lượng. Bitwarden lite nằm giữa hai lựa chọn này, dùng 470 MB cùng container MariaDB. Hãy chạy cùng command trên máy của bạn trước khi tin vào các số liệu này, vì chúng thay đổi theo số lượng user, attachment và sync traffic; MSSQL cũng tăng working set theo thời gian chạy.

Với một VPS nhỏ, có thể hiểu thực tế như sau: Vaultwarden dùng SQLite chạy ổn trên plan 1 GB, còn Bitwarden stack tiêu chuẩn sẽ không khởi động được ở mức này. Trên plan 2 GB, stack tiêu chuẩn đạt mức tối thiểu được tài liệu công bố nhưng còn rất ít RAM cho operating system, vì vậy kernel out of memory killer có thể thực sự được kích hoạt. Khi đó, dmesg sẽ in một dòng ghi rõ process bị kill, và trên stack này process đó thường là sqlservr. Hãy cấp 4 GB cho deployment tiêu chuẩn. Nếu VPS đó còn phải chạy nhiều hơn một vault, hãy tính mức tối thiểu của các service khác trước khi chọn plan, vì một photo server như PhotoPrism hoặc Immich cần nhiều memory hơn Vaultwarden rất nhiều. Tuy nhiên, không phải service nào cũng ngốn nhiều như vậy: chẳng hạn Halcyon, ứng dụng biến giao diện thư viện Jellyfin thành một cửa hàng cho thuê băng đĩa kiểu thập niên 90 chỉ là browser front end, dựa vào media server mà nó trỏ đến thay vì tự mang theo database riêng. Memory cũng không phải mức tối thiểu duy nhất cần kiểm tra, vì một RustDesk relay cho các phiên remote desktop hầu như không đáng kể trong docker stats nhưng lại sử dụng bandwidth allowance của plan.

Những tính năng trả phí nào được miễn phí trong Vaultwarden?

Việc chạy server của Bitwarden không mất phí, nhưng các tính năng trả phí vẫn bị khóa cho đến khi bạn upload file licence. Tài khoản cá nhân Premium và các gói organisation trả phí có thể self-host, gồm Families và Enterprise (Bitwarden không cho phép self-host Teams), đều cần file này. Bạn tải file từ cloud web vault, vào Settings rồi Subscription đối với tài khoản cá nhân, hoặc vào Admin Console, chọn Billing rồi Subscription đối với organisation, sau đó upload file lên instance của bạn. Licence của organisation được cấp dựa trên installation ID lưu trong ./bwdata/env/global.override.env. Vì vậy, một organisation self-host vẫn có subscription trả phí và vẫn kết nối đến cloud của Bitwarden để xử lý billing.

Vaultwarden bật các tính năng tương tự mà không cần licence và subscription. Wiki của project liệt kê các tính năng này:

• organisation, collection và group
• file đính kèm
• đăng nhập hai bước bằng email, Duo, YubiKey và FIDO2
• Emergency Access
• Bitwarden Send
• personal API key
• SSO thông qua OpenID Connect

SSO là tính năng mới nhất trong số này và được cấu hình bằng SSO_ENABLED, SSO_AUTHORITY, SSO_CLIENT_ID và SSO_CLIENT_SECRET. Tính năng này chỉ xác thực việc đăng nhập. Wiki nêu rõ rằng master password vẫn bắt buộc và không do identity provider của bạn kiểm soát, vì password này được dùng để tạo key giải mã vault. Trỏ SSO_AUTHORITY đến discovery issuer của identity provider Authentik self-host rồi để người dùng đăng nhập tại đó, sau đó mở khóa bằng master password. Giá trị này phải khớp với trường issuer mà discovery endpoint trả về, nhưng bỏ hậu tố /.well-known/openid-configuration ở cuối.

Vaultwarden không cung cấp vendor. Bitwarden có các chứng nhận SOC 2 Type 2 và ISO 27001, công bố báo cáo audit của bên thứ ba và vận hành chương trình bug bounty riêng trên HackerOne. Các chứng nhận và báo cáo này áp dụng cho code và service của Bitwarden, không áp dụng cho server bạn đã cài đặt. Tuy nhiên, nếu auditor yêu cầu một nhà cung cấp cụ thể đứng sau password manager của bạn, việc dùng một bản reimplementation do cộng đồng tình nguyện phát triển sẽ khó giải thích.

Các ứng dụng Bitwarden chính thức có hoạt động với Vaultwarden không?

Có. Vaultwarden triển khai client API, nên browser extension, desktop app, mobile app và web vault đi kèm đều hoạt động với nó. Trong mỗi client, bạn đặt URL server self-hosted trên màn hình environment trước khi đăng nhập, không phải sau đó.

Một tính năng cần cấu hình thêm: push notification cho mobile app. Nếu không có push notification, app sẽ sync khi bạn mở app hoặc theo timer riêng, nên mật khẩu được thay đổi trên laptop sẽ không xuất hiện trên điện thoại cho đến khi bạn mở app. Vaultwarden có thể dùng push relay của Bitwarden và cần installation ID cùng key từ chính trang https://bitwarden.com/host mà installer chính thức sử dụng.

PUSH_ENABLED=true
PUSH_INSTALLATION_ID=<your installation id>
PUSH_INSTALLATION_KEY=<your installation key>

Server trong khu vực EU cũng cần PUSH_RELAY_URI=https://api.bitwarden.eu và PUSH_IDENTITY_URI=https://identity.bitwarden.eu. Wiki ghi lại 2 vấn đề cần biết trước khi bạn mất cả giờ để debug. App được cài từ F-Droid hoặc Neo Store không có hỗ trợ Firebase và sẽ không bao giờ nhận push, bất kể server được cấu hình thế nào. App đã kết nối trước Vaultwarden 1.30.2 phải được xóa data để đăng ký push token.

Mức độ an toàn của một bản reimplementation là bao nhiêu?

Lịch sử audit của Bitwarden rất dài và được công khai. Cure53 đã review dự án này vào các năm 2018, 2021, 2022, 2023, 2024 và 2025. Đợt review năm 2025 bao phủ browser extension và autofill overlay, ứng dụng lõi, desktop application, web vault, cùng RustCrypto crate và library. IOActive và Mandiant đã review các client vào năm 2024. Fracture Labs thực hiện các đánh giá web và network trong năm 2024 và 2025. Unit 42 đánh giá mobile app vào năm 2025. Nhóm Applied Cryptography tại ETH Zurich review phần cryptography vào năm 2025.

Vaultwarden cũng đã được các bên bên ngoài kiểm tra, dù nhiều người ngạc nhiên vì cho rằng không ai xem xét dự án này. Federal Office for Information Security (BSI) của Đức đã thuê mgm security partners kiểm thử dự án từ tháng 2 đến tháng 5 năm 2024 trong khuôn khổ dự án phân tích code Caos 3.0. Đợt review đó đánh giá hai finding ở mức high. Ngoài ra, ERNW đã báo cáo một lỗi authentication bypass ảnh hưởng đến các version dưới 1.32.5 (CVE-2024-55225); lỗi này được sửa vào tháng 11 năm 2024. Version 1.37.0, phát hành vào tháng 7 năm 2026, sửa các lỗi SSRF (server side request forgery) qua icon endpoint, truy cập cipher giữa các organisation và bypass organisation policy khi import directory. Version 1.37.4, phát hành vào tháng 10 năm 2026, sửa thêm một nhóm lỗi. Trong đó có một lỗi được đánh giá ở mức high trong việc thu hồi organisation member, cùng các lỗi liên quan đến two factor authentication, organisation invitation và attachment.

Lịch sử này cho thấy dự án có quy trình disclosure đang hoạt động. Nó cũng cho thấy một bề mặt tấn công thường xuyên xuất hiện: admin page. Vì vậy, hãy xem page này là thành phần nhạy cảm đúng như bản chất của nó. Page này bị tắt trừ khi ADMIN_TOKEN được set. Bạn nên lưu một hash thay vì token dạng plaintext.

docker run --rm -it vaultwarden/server /vaultwarden hash

Lệnh này in ra một chuỗi Argon2 PHC (password hashing competition format) để dán vào ADMIN_TOKEN. Hãy enable HTTPS trước khi enable admin page, vì token được gửi trong request. Token dạng plaintext trên kết nối HTTP không mã hóa có thể bị bất kỳ bên nào trên đường truyền đọc được. Token và file backup mới là nơi chứa rủi ro thực tế, không phải cryptography. Quy trình hardening cho instance đang chạy xử lý cả hai phần này. Nếu có thể, hãy giữ /admin ngoài public internet và kết hợp với các biện pháp hardening host thông thường như khóa chặt quyền truy cập SSH trên server.

Các lỗi xảy ra khi API chính thức thay đổi

Đây là rủi ro thường bị đánh giá thấp. Bitwarden phát hành các client, và các client đó tự update qua app store trong đêm. Vaultwarden phải theo kịp. Khi một bản release của client thay đổi API contract, Vaultwarden chưa được upgrade sẽ gặp một client đã chuyển sang contract mới, khiến login hoặc sync bắt đầu fail trên những thiết bị mà bạn không hề thay đổi.

Release notes đưa ra một ví dụ cụ thể. Vaultwarden 1.37.0 ghi rằng: "Bản update này là bắt buộc để hỗ trợ các client từ version 2026.7.0 trở lên, hãy update trước khi báo cáo bất kỳ vấn đề nào với các client đó." Một tháng sau, 1.37.2, được publish vào ngày 22 tháng 8 năm 2026, lặp lại cảnh báo cho các client ở version 2026.8.0 trở lên. Vì vậy, server vẫn chạy 1.37.0 hoặc 1.37.1 đã không còn theo kịp các app. Tính đến ngày 27 tháng 10 năm 2026, release hiện tại là 1.37.4, được publish vào ngày 5 tháng 10 năm 2026, sau 1.37.3 vào ngày 13 tháng 9 năm 2026.

Hai thói quen giúp việc này không trở nên phức tạp. Hãy pin một image tag cụ thể thay vì latest để một pull không giám sát không tự chuyển server của bạn sang version mới lúc 3am. Sau đó monitor release feed và upgrade có chủ đích, đọc notes trước, vì breaking change được thông báo ở đó. Cảnh báo về 1.37.2 cũng được đăng trong GitHub Discussions của project, kèm các bước khôi phục cho những client vẫn gặp lỗi sau khi server upgrade: log out rồi log in lại, sau đó xóa cache của app hoặc extension, và chỉ reinstall mobile app hoặc extension khi không còn cách nào khác. Chẳng hạn, version 1.35.5 đã invalidate mọi two factor remember token hiện có khi upgrade, khiến người dùng bị log out khỏi một bước mà họ nghĩ đã được lưu.

Bộ triển khai Bitwarden standard gặp vấn đề ngược lại. Upgrade được thực hiện qua ./bitwarden.sh updateself và ./bitwarden.sh update, đồng thời update áp dụng các database migration. Backup tạo trước migration không phải là rollback cho schema sau migration, vì vậy hãy tạo backup và ghi lại version tại thời điểm tạo backup.

Backup là phần khiến mọi người thực sự làm mất vault

Thư mục dữ liệu của Vaultwarden chính là toàn bộ server. Hãy giữ lại các mục sau:

• db.sqlite3
• mọi file rsa_key*, bao gồm cả rsa_key.pem và rsa_key.der
• attachments/
• config.json
• sends/

Không được sao chép db.sqlite3 bằng cp khi container đang chạy. SQLite có thể đang ghi dở, vì vậy bản sao có thể là một database bị hỏng nhưng vẫn trông bình thường cho đến khi bạn restore. Thay vào đó, hãy dùng API backup online:

sqlite3 data/db.sqlite3 ".backup '/path/to/backups/db-$(date '+%Y%m%d-%H%M').sqlite3'"

Từ 1.32.1, image cũng có command /vaultwarden backup tích hợp sẵn. Dù dùng cách nào, snapshot vẫn nằm trên cùng disk với bản gốc cho đến khi bạn di chuyển nó. Vì vậy, hãy định kỳ đẩy snapshot ra khỏi máy bằng restic snapshot đến storage ngoài site. Một backup job âm thầm ngừng chạy trông không khác gì một job chưa từng tồn tại. Vì vậy, hãy để timer tự báo lỗi đến một nơi bạn sẽ chú ý. Một server ntfy tự host được nối với unit systemd OnFailure dùng cho mục đích này. Các file rsa_key quan trọng không kém database: server dùng key đó để ký session token. Vì vậy, restore database cùng một key mới được tạo sẽ đăng xuất tất cả mọi người và làm hỏng các lời mời vào organisation đang được xử lý.

Bitwarden Standard tự backup nhiều thành phần hơn. Container mssql ghi các bản backup database hằng đêm vào ./bwdata/mssql/backups và giữ lại 30 ngày, miễn là container đang chạy. Bạn cũng có thể buộc chạy backup:

docker exec -i bitwarden-mssql /backup-db.sh

Các thư mục cần giữ là ./bwdata/env (biến môi trường, bao gồm mật khẩu database và certificate), ./bwdata/core/attachments, ./bwdata/mssql/data và ./bwdata/core/aspnet-dataprotection. Mục cuối cùng thường bị bỏ quên. Nó chứa dữ liệu bảo vệ ở cấp framework, bao gồm authentication token và một số cột database. Vì vậy, restore database mà không có thư mục này sẽ khiến các cột được bảo vệ không thể đọc được. Bitwarden Lite hoàn toàn không tự động backup. Chọn Lite đồng nghĩa với việc bạn phải tự quản lý lịch dump, giống như với Vaultwarden.

Di chuyển theo cả hai chiều

Quá trình di chuyển được thực hiện qua client, không phải server, vì export và import là các tính năng của client. Do đó, cả hai chiều đều dùng cùng một quy trình.

Mỗi người dùng export dữ liệu từ web vault hoặc desktop app, tạo account trên server mới rồi import. Các định dạng gồm plaintext .json, plaintext .csv, encrypted .json và một .zip chứa JSON cùng các file đính kèm cho từng vault. Card, identity, passkey đã lưu và SSH key chỉ được giữ lại trong các dạng JSON, nên việc di chuyển bằng CSV sẽ âm thầm làm mất chúng. Không định dạng export nào bao gồm các mục trong trash hoặc Sends. Dữ liệu thuộc organisation cũng không nằm trong export của từng người dùng.

Hãy xem export plaintext như một secret đang hoạt động, vì đó chính là bản sao toàn bộ vault của bạn ở dạng clear text trên disk. Export, import rồi xóa nó trong cùng một lần thao tác. Không bao giờ gửi file này qua email hoặc chat.

Có một lỗi dễ gặp khi đang di chuyển. Export encrypted gắn với account của bạn không thể được import vào account khác. Di chuyển server đồng nghĩa với việc dùng account khác. Vì vậy, hãy chọn tùy chọn export được bảo vệ bằng password. Định dạng này có thể di chuyển giữa các account.

Di chuyển từ Vaultwarden sang Bitwarden standard khó hơn, vì cấu trúc organisation không được giữ trong export. Bạn phải tạo lại organisation trên server mới, mời lại người dùng, rồi để từng người dùng import vault của họ. Hãy lên kế hoạch cho một maintenance window thay vì đến ngày thực hiện mới phát hiện vấn đề này.

Bạn nên chạy phiên bản nào?

Chạy Vaultwarden nếu bạn là một cá nhân, một gia đình hoặc đang vận hành home lab trên VPS 1 GB hoặc 2 GB. Organisations, Emergency Access và Send được cung cấp miễn phí, mức tiêu thụ memory khi idle gần bằng một tab trình duyệt, còn việc backup chỉ cần một file SQLite và một directory nhỏ. Đây là lý do Vaultwarden chiếm ưu thế trong nhóm giải pháp quản lý password tự host.

Chạy server chính thức của Bitwarden khi những người khác phụ thuộc vào nó trong công việc: công ty cần hợp đồng hỗ trợ, yêu cầu compliance chỉ định rõ vendor, hoặc bạn đã trả phí cho các tính năng enterprise. Cấp cho bản triển khai tiêu chuẩn 4 GB, đồng thời xem licence file và installation ID là một phần của deployment, không chỉ là thủ tục giấy tờ.

Bitwarden lite nằm ở khoảng giữa khá khó xử. Đây là code của vendor nhưng có quy mô nhỏ hơn rất nhiều, nên thực sự hấp dẫn. Tuy nhiên, Bitwarden chỉ tài liệu hóa sản phẩm này cho mục đích cá nhân và home lab, đồng thời không có automatic backup. Bạn vẫn phải gánh phần vận hành của Vaultwarden nhưng không có bộ tính năng miễn phí của Vaultwarden. Hãy chọn Bitwarden lite khi code của vendor quan trọng với bạn hơn các tính năng, và bạn chấp nhận tự vận hành database.

Nếu bạn vẫn đang quyết định máy chủ đó sẽ host thêm gì, danh sách rút gọn rộng hơn về các dịch vụ tự host đặt lựa chọn này cạnh những dịch vụ khác đang cạnh tranh cùng lượng RAM.

FAQ

Vaultwarden có đủ an toàn để dùng làm password manager thực tế không?

Có, với điều kiện phù hợp cho cá nhân và gia đình. Các client mã hóa vault trước khi dữ liệu đến server, nên Vaultwarden không bao giờ thấy master password hoặc dữ liệu plaintext của bạn. Phần mềm đã được đánh giá bên ngoài: BSI đã yêu cầu các đối tác bảo mật mgm kiểm thử từ tháng 2 đến tháng 5 năm 2024, và ERNW đã báo cáo một lỗi bypass xác thực được khắc phục trong 1.32.5. Hãy luôn cập nhật version, tắt trang admin hoặc bảo vệ trang này bằng ADMIN_TOKEN đã hash bằng Argon2, và chỉ phục vụ qua HTTPS. Doanh nghiệp cần hỗ trợ từ vendor hoặc tài liệu audit nên chạy server chính thức của Bitwarden.

Vaultwarden cần bao nhiêu RAM so với Bitwarden self-hosted?

Trong các bản cài idle được đo bằng docker stats --no-stream, Vaultwarden dùng SQLite chiếm khoảng 58 MB trong một container, còn bản triển khai tiêu chuẩn của Bitwarden chiếm gần 2,400 MB trên 12 container; phần lớn là database MSSQL. Bitwarden ghi rõ 2 GB là mức tối thiểu và 4 GB là mức khuyến nghị cho stack tiêu chuẩn, còn Bitwarden lite cần 200 MB. Vaultwarden chạy được trên VPS 1 GB và vẫn còn dư RAM.

Tôi có cần licence Bitwarden để self-host không?

Không cần nếu bạn chỉ dùng vault cá nhân miễn phí. Chạy server là miễn phí. Cần có file licence để mở khóa các tính năng premium cá nhân và gói organisation trả phí; Families và Enterprise là 2 gói organisation duy nhất mà Bitwarden cho phép bạn self-host. Bạn tải file này từ cloud web vault rồi upload lên instance của mình. Licence organisation được cấp dựa trên installation ID lưu trong ./bwdata/env/global.override.env. Vaultwarden không cần licence và tự bật các tính năng organisation.

Sau này tôi có thể chuyển từ Vaultwarden sang Bitwarden hoặc chuyển ngược lại không?

Có, theo cả 2 chiều thông qua các client. Mỗi user export vault từ web vault hoặc desktop app, sau đó import vào server mới sau khi tạo account trên đó. Bản export .zip chứa attachment của vault cá nhân. Các định dạng JSON chứa card, identity, passkey và SSH key. Item trong Trash và Sends không có trong bất kỳ định dạng export nào. Item thuộc organisation phải được owner export riêng. Vì vậy, hãy lên kế hoạch tạo lại organisation và mời lại user trên server mới.