Cómo instalar Vaultwarden en Saplo (gestor de contraseñas para equipos)

El Bitwarden de pago para un equipo tiene un coste por persona y mes que aumenta con cada nuevo empleado. Con una docena de personas, la factura anual puede superar el coste de todo el Box, donde podría alojarse el resto de la infraestructura de la empresa. Vaultwarden es una implementación de código abierto del servidor Bitwarden, compatible con las mismas aplicaciones oficiales (navegador, escritorio y móvil), pero instalada en tu propio Box. Sin costes por usuario y con los datos de contraseñas alojados contigo. A continuación, te explicamos paso a paso cómo instalar Vaultwarden en Saplo, conectar a tu equipo y realizar una copia de seguridad de tu base de datos de contraseñas cifrada.

Por qué Vaultwarden en lugar de Bitwarden de pago

Bitwarden como producto SaaS es bueno, pero el plan para equipos cuesta cada mes por cuenta, y las contraseñas de tu empresa están en servidores ajenos, fuera de tu control. Vaultwarden es una implementación independiente del mismo protocolo de API, escrita en Rust, compatible con los clientes oficiales de Bitwarden sin necesidad de modificar nada. Solo tienes que cambiar en la configuración del cliente la dirección del servidor por tu propio dominio. La diferencia en la práctica:

• sin costes por usuario - puedes añadir cualquier número de cuentas de equipo sin que aumente la factura mensual,
• datos en tu Box - la base de datos de contraseñas (cifrada de extremo a extremo en el cliente, igual que en el Bitwarden original) no sale de tu infraestructura,
• las mismas aplicaciones - el navegador, la aplicación de escritorio, el móvil, todos los clientes oficiales de Bitwarden funcionan sin cambios, solo cambias la dirección del servidor,
• el código fuente es público - es un proyecto de código abierto desarrollado públicamente en GitHub, por lo que, si hace falta, puedes comprobar exactamente cómo funcionan la autenticación y el almacenamiento de datos cifrados, en lugar de confiar en la palabra de un SaaS cerrado.

Requisitos

Para instalar Vaultwarden en Saplo, necesitas:

• Un Box con Docker en funcionamiento (el motor se activa automáticamente al instalarlo desde el catálogo; se requiere anidamiento en el contenedor, que Saplo incluye de forma predeterminada),
• Al menos 256 MB de RAM libres en el Box, basta con el plan Box S,
• Un dominio o subdominio *.saploapp.pl incluido en el precio de cada plan, bajo el que se alojará el panel de inicio de sesión.

Vaultwarden, a diferencia de muchas otras aplicaciones del catálogo, no necesita una base de datos independiente. Su propia base de datos SQLite se guarda en el volumen de datos del contenedor, por lo que la instalación es más rápida y ligera que en aplicaciones que utilizan MySQL compartido o Postgres dedicado.

Instalación paso a paso

1. En el panel de Saplo, entra en Catálogo de aplicaciones y selecciona Vaultwarden (categoría "Negocios").
2. Elige el Box donde debe instalarse y el dominio o subdominio bajo el que estará disponible el panel.
3. Confirma la instalación. El motor crea un contenedor Docker con la imagen oficial vaultwarden/server, prepara un volumen para la base de datos SQLite y lo publica bajo el dominio indicado mediante nginx con un certificado SSL gratuito.
4. Tras unos segundos, el dominio responde con la página de inicio de sesión de Vaultwarden. El registro de nuevas cuentas está habilitado de forma predeterminada, por lo que puedes crear la primera cuenta directamente en la página, sin configuración adicional.
5. El panel de administración situado en /admin está deshabilitado de forma predeterminada (no hay ningún token de administrador configurado), lo que supone un estado inicial seguro hasta que configures tu propio acceso.

Conexión de clientes de Bitwarden

Vaultwarden utiliza el mismo protocolo API que Bitwarden, por lo que todos los clientes oficiales funcionarán sin necesidad de modificar nada:

1. En la aplicación Bitwarden (navegador, escritorio o teléfono), entra en los ajustes y busca el campo Entorno autohospedado / Dirección del servidor.
2. Introduce la dirección de tu instalación en Saplo, por ejemplo https://vault.sudominio.es.
3. Inicia sesión con la cuenta que creaste en el paso 4 de la instalación anterior.

A partir de ahora, la sincronización de contraseñas, el generador de contraseñas y el autocompletado funcionan exactamente igual que en Bitwarden original, solo que los datos se almacenan en tu Box, no en los servidores de Bitwarden.

Organizaciones y contraseñas compartidas en el equipo

Tener un inicio de sesión propio para cada persona en un servidor común aún no equivale a compartir contraseñas. Para eso están las organizaciones, exactamente igual que en el plan de equipo de pago de Bitwarden:

1. En el cliente Bitwarden conectado a tu instalación, entra en New organization y crea una organización empresarial (por ejemplo, "Equipo").
2. Invita a otras personas mediante la dirección de correo electrónico que usaron para crear su cuenta en el paso "Añadir equipo" anterior.
3. Crea colecciones (Collections), es decir, grupos de contraseñas por temas, como "Hosting", "Redes sociales" y "Facturas", y concede acceso solo a las personas o grupos que elijas.
4. Traslada las contraseñas personales existentes a la organización con el botón Move to organization, para que el equipo pueda verlas de inmediato, en lugar de enviarlas por correo electrónico o a través de un canal de mensajería.

Gracias a las colecciones, cada persona ve solo las contraseñas a las que realmente tiene acceso, y no toda la base de datos de la empresa. Esto es importante durante la rotación de empleados o al colaborar con contratistas externos. Si después de añadir al equipo quieres bloquear el registro de personas ajenas, conviene desactivar la variable SIGNUPS_ALLOWED en el lado del contenedor o restringir el acceso a un Dominio de correo corporativo concreto. Sin embargo, eso ya es una configuración manual en las variables de entorno del contenedor, fuera del alcance del propio asistente de instalación.

Backup y seguridad

Las copias de seguridad dependen del plan elegido: Box L y superiores incluyen el backup en el precio (7 días retrospectivos para L, 14 días para XL, 30 días más una copia offsite para XXL), mientras que en Box S y M se puede contratar un backup diario como complemento. En Vaultwarden, el backup incluye todo el volumen de datos del contenedor, es decir, el archivo de la base de datos SQLite con el contenido cifrado de todas las contraseñas, por lo que conviene activarlo antes de que la base de datos alcance un tamaño cuya pérdida realmente pueda perjudicar a toda la empresa. El panel de Saplo muestra el Estado del certificado SSL y lo renueva automáticamente. El acceso al panel de administración bajo /admin conviene habilitarlo solo cuando se haya configurado un token de administrador fuerte y aleatorio en las variables de entorno del contenedor, porque desde ese panel se pueden gestionar todas las cuentas de la instalación.

Migración desde Bitwarden, LastPass o 1Password

Migrar tu base de contraseñas actual a tu propia instalación de Vaultwarden no requiere que copies manualmente cada contraseña una por una:

• desde Bitwarden exportas la base de datos en formato .json (cifrada o en texto claro) desde Account settings -> Export vault y después importas ese mismo archivo en el cliente que ya está conectado a tu instalación de Vaultwarden, mediante Tools -> Import data,
• desde LastPass exportas las contraseñas a un archivo CSV desde el panel del navegador, y Vaultwarden tiene listo el formato de importación "LastPass (csv)" en la misma ventana Import data,
• desde 1Password exportas los datos en formato 1PUX desde la aplicación de escritorio, un formato que Vaultwarden también reconoce como listo para importar.

Tras la importación, conviene revisar de inmediato la lista en busca de duplicados y contraseñas que la auditoría de seguridad integrada de Vaultwarden (Tools -> Vault health reports) haya marcado como débiles o repetidas en varios sitios, antes de dar acceso a todo el equipo.

Bitwarden de pago frente a Vaultwarden en Saplo

Preguntas frecuentes

¿Vaultwarden es igual de seguro que Bitwarden de pago? Vaultwarden utiliza el mismo mecanismo de cifrado de extremo a extremo en el lado del cliente que el Bitwarden original, por lo que las contraseñas se cifran antes de salir del dispositivo. La diferencia está en quién aloja la base de datos cifrada, no en el cifrado en sí.

¿Puedo importar las contraseñas de una cuenta existente de Bitwarden, LastPass o 1Password? Sí, los tres tienen formatos de importación listos en Vaultwarden, descritos en la sección sobre migración anterior, por lo que mover toda la base de datos solo lleva unos minutos.

¿Para cuántas personas es suficiente Box S? Vaultwarden es muy ligero, el contenedor por sí solo consume menos de 100 MB de RAM, por lo que Box S es suficiente para la mayoría de equipos pequeños y medianos. Para un número mayor de personas, puedes ampliar la RAM de Box sobre la marcha, sin mover los datos.

¿Qué pasa si olvido la contraseña maestra? Tal como en el Bitwarden original, el servidor no conoce la contraseña maestra (cifrado de extremo a extremo), por lo que Vaultwarden no puede recuperarla. Conviene configurar una pista de contraseña al crear la cuenta y conservar una copia de seguridad de la exportación de la base de datos en un lugar seguro.

¿Puedo desactivar el registro de cuentas nuevas después de añadir al equipo? Sí, estableces la variable de entorno SIGNUPS_ALLOWED en false en el lado del contenedor y, a partir de entonces, solo creas cuentas nuevas manualmente desde el panel de administración en /admin.

¿Ven todos los miembros del equipo las contraseñas de la organización? No, el acceso depende de las colecciones: cada persona solo ve las colecciones de contraseñas que tiene asignadas, por lo que puedes separar, por ejemplo, las contraseñas de hosting de las de contabilidad.

Las contraseñas son una capa, la otra es el acceso a los servicios corporativos. Si quieres que los paneles y servidores solo sean accesibles desde la red privada del equipo, consulta cómo instalar Headscale en Saplo, tu propio servidor de coordinación para clientes de Tailscale.

Si tienes dudas al instalar Vaultwarden en tu propio Box o al migrar a tu equipo desde Bitwarden de pago, escríbenos y te ayudaremos a configurar las organizaciones y las copias de seguridad paso a paso.