Come installare Vaultwarden su Saplo (gestore di password per il team)

Un Bitwarden a pagamento per un team comporta un costo mensile per persona che cresce con ogni nuovo dipendente e, con una quindicina di persone, il conto annuale può superare il costo di un intero Box, sul quale potrebbe ospitare tutta la restante infrastruttura aziendale. Vaultwarden è un'implementazione open source del server Bitwarden, compatibile con le stesse applicazioni ufficiali (browser, desktop, telefono), ma installata sul tuo Box. Nessun costo per utente, i dati delle password restano presso di te. Di seguito, passo dopo passo, come installare Vaultwarden su Saplo, come collegare il team e come funziona il backup del database cifrato delle password.

Perché Vaultwarden invece di Bitwarden a pagamento

Bitwarden, in quanto prodotto SaaS, è valido, ma il piano aziendale costa ogni mese per ogni account, mentre le password della tua azienda si trovano su server di terzi, fuori dal tuo controllo. Vaultwarden è un'implementazione indipendente dello stesso protocollo API, scritta in Rust, supportata dai client ufficiali di Bitwarden senza alcuna modifica: basta cambiare nelle impostazioni del client l'indirizzo del server usando il tuo dominio. In pratica, la differenza è:

• nessun costo per utente - puoi aggiungere un numero illimitato di account aziendali senza far crescere la fattura mensile,
• i dati sul tuo Box - il database delle password (crittografato end-to-end sul lato client, esattamente come in Bitwarden originale) non lascia la tua infrastruttura,
• le stesse app - browser, client desktop, telefono, tutti i client ufficiali di Bitwarden funzionano senza modifiche, cambia solo l'indirizzo del server,
• il codice sorgente è visibile - è un progetto open source sviluppato pubblicamente su GitHub, quindi se necessario puoi verificare esattamente come funzionano l'autenticazione e la conservazione dei dati crittografati, invece di dover fidarti sulla parola di un SaaS chiuso.

Requisiti

Per installare Vaultwarden su Saplo, ti serve:

• un Box con Docker attivo (Docker viene avviato automaticamente durante l'installazione dal catalogo, è necessario il nesting nei container, che Saplo supporta per impostazione predefinita),
• almeno 256 MB di RAM liberi sul Box, basta il piano più piccolo Box S,
• un dominio o sottodominio *.saploapp.pl incluso nel prezzo di ogni piano, sotto il quale sarà disponibile il Pannello di accesso.

Vaultwarden, a differenza di molte altre applicazioni nel Catalogo delle applicazioni, non richiede un database separato. Conserva il proprio database SQLite nel volume dati del container, quindi l'installazione è più rapida e leggera rispetto alle applicazioni che utilizzano MySQL condiviso o un Postgres dedicato.

Installazione passo dopo passo

1. Nel pannello Saplo apri Catalogo delle applicazioni e scegli Vaultwarden (categoria "Business").
2. Seleziona il Box su cui deve essere installato e il dominio o sottodominio sotto il quale sarà disponibile il pannello.
3. Conferma l'installazione. Il motore crea un container Docker con l'immagine ufficiale vaultwarden/server, prepara un volume per il database SQLite e lo espone sul dominio indicato tramite nginx, con un certificato SSL gratuito.
4. Dopo qualche decina di secondi il dominio risponde con la pagina di accesso di Vaultwarden. La registrazione di nuovi account è attivata per impostazione predefinita, quindi puoi creare il primo account direttamente nella pagina, senza configurazioni aggiuntive.
5. Il pannello amministrativo all'indirizzo /admin è disabilitato per impostazione predefinita (poiché non è configurato alcun token dell'amministratore), il che rappresenta uno stato iniziale sicuro prima ancora di configurare l'accesso per te.

Collegamento dei client Bitwarden

Vaultwarden usa lo stesso protocollo API di Bitwarden, quindi ogni client ufficiale funziona senza alcuna modifica:

1. Nell'app Bitwarden (browser, desktop o telefono) apri le impostazioni e trova il campo Self-hosted environment / Indirizzo del server.
2. Inserisci l'indirizzo della tua installazione su Saplo, ad esempio https://vault.suodominio.it.
3. Accedi con l'account che hai creato nel passaggio 4 dell'installazione descritta sopra.

Da questo momento la sincronizzazione delle password, il generatore di password e il completamento automatico funzionano esattamente come nel Bitwarden originale, ma i dati vengono archiviati dal tuo Box, non dai server Bitwarden.

Organizzazioni e condivisione delle password nel team

L'accesso individuale di ogni persona a un server condiviso non equivale ancora alla condivisione delle password: a questo servono le organizzazioni, proprio come nel piano a pagamento per team di Bitwarden:

1. Nel client Bitwarden collegato alla tua installazione, apri New organization e crea un'organizzazione aziendale (ad esempio "Team").
2. Invita altre persone usando l'indirizzo e-mail con cui hanno creato l'account nel passaggio "Aggiunta del team" sopra.
3. Crea raccolte (Collections), cioè gruppi tematici di password, ad esempio "Hosting", "Social media", "Fatture", e assegna a esse l'accesso solo alle persone o ai gruppi selezionati.
4. Sposta le password personali esistenti nell'organizzazione con il pulsante Move to organization, così il team le vede immediatamente, invece di inviarle via e-mail o tramite messenger.

Grazie alle raccolte, ogni persona vede solo le password a cui ha davvero accesso, non l'intero database aziendale. Questo è importante in caso di turnover del personale o di collaborazione con freelance esterni. Se dopo aver aggiunto il team vuoi impedire la registrazione agli estranei, conviene disattivare la variabile SIGNUPS_ALLOWED nel container oppure limitare l'accesso a un dominio aziendale specifico per la posta elettronica, ma si tratta ormai di una configurazione manuale nelle variabili d'ambiente del container, fuori dall'ambito del wizard di installazione.

Backup e sicurezza

I backup dipendono dal piano scelto: Box L e i piani superiori includono il backup nel prezzo (7 giorni di retroazione per L, 14 per XL, 30 giorni più una copia offsite per XXL), mentre per Box S e M è possibile aggiungere come opzione un backup giornaliero. Con Vaultwarden, il backup copre l'intero volume dei dati del container, cioè il file del database SQLite con il contenuto cifrato di tutte le password, quindi conviene attivarlo prima che il database raggiunga una dimensione la cui perdita farebbe davvero male all'intera azienda. Il Pannello Saplo mostra lo Stato del certificato SSL e lo rinnova automaticamente, mentre l'accesso al pannello amministrativo sotto /admin conviene abilitarlo solo dopo aver impostato un token per l'amministratore forte e casuale nelle variabili d'ambiente del container, perché da quel pannello puoi gestire tutti gli account dell'installazione.

Migrazione da Bitwarden, LastPass o 1Password

Non devi copiare manualmente ogni singola password per trasferire il tuo archivio di password esistente sulla tua installazione di Vaultwarden:

• da Bitwarden esporti l'archivio in formato .json (cifrato o in chiaro) da Account settings -> Export vault, poi importi lo stesso file nel client già collegato alla tua installazione di Vaultwarden tramite Tools -> Import data,
• da LastPass esporti le password in un file CSV dal pannello del browser, mentre Vaultwarden supporta già il formato di importazione "LastPass (csv)" nella stessa finestra Import data,
• da 1Password esporti i dati in formato 1PUX dall'app desktop, un formato che Vaultwarden riconosce anch'esso come già pronto per l'importazione.

Dopo l'importazione, vale la pena controllare subito l'elenco per individuare duplicati e password che l'audit di sicurezza integrato di Vaultwarden (Tools -> Vault health reports) segnala come deboli o riutilizzate su più siti, prima di concedere l'accesso a tutto il team.

Bitwarden a pagamento contro Vaultwarden su Saplo

Domande frequenti

Vaultwarden è sicuro quanto Bitwarden a pagamento? Vaultwarden usa lo stesso meccanismo di cifratura end-to-end lato client dell'originale Bitwarden, quindi le password sono cifrate prima di lasciare il dispositivo. La differenza risiede in chi ospita il database cifrato, non nella cifratura stessa.

Posso importare le password da un account Bitwarden, LastPass o 1Password esistente? Sì, tutti e tre dispongono di formati di importazione pronti in Vaultwarden, descritti nella sezione sulla migrazione qui sopra, quindi il trasferimento dell'intero database richiede solo pochi minuti.

Quante persone può gestire Box S? Vaultwarden è molto leggero, il solo container consuma meno di 100 MB di RAM, quindi Box S è sufficiente per la maggior parte dei team piccoli e medi. Con un numero maggiore di persone puoi aggiungere RAM a Box in qualsiasi momento, senza dover spostare i dati.

E se dimentico la password principale? Come nell'originale Bitwarden, la password principale non è nota al server (cifratura end-to-end), quindi Vaultwarden non può recuperarla. Vale la pena configurare un suggerimento per la password quando crei l'account e conservare un backup del database esportato in un luogo sicuro.

Posso disattivare la registrazione di nuovi account dopo aver aggiunto il team? Sì, imposti la variabile d'ambiente SIGNUPS_ALLOWED su false lato container, dopodiché puoi creare nuovi account esclusivamente manualmente dal pannello amministrativo sotto /admin.

Tutti i membri del team vedono le password dell'organizzazione? No, l'accesso dipende dalle raccolte: ogni persona vede solo le raccolte di password a cui è stata assegnata, quindi puoi separare, ad esempio, le password dell'hosting da quelle della contabilità.

Le password sono uno strato, l'altro è l'accesso ai servizi aziendali. Se desideri che pannelli e server siano raggiungibili soltanto dalla rete privata del team, consulta come configurare Headscale su Saplo, il tuo server di coordinamento per i client Tailscale.

Se hai domande mentre configuri Vaultwarden sul tuo Box o durante la migrazione del team da Bitwarden a pagamento, scrivici: ti aiuteremo a configurare organizzazione e backup passo dopo passo.