Como instalar o Vaultwarden na Saplo (gestor de palavras-passe para a equipa)

O Bitwarden pago para uma equipa representa um custo por utilizador e por mês que aumenta com cada novo colaborador. Com uma dúzia de pessoas, a fatura anual pode ultrapassar o custo do próprio Box, onde poderia ficar alojada toda a restante infraestrutura da empresa. Vaultwarden é uma implementação de código aberto do servidor Bitwarden, compatível com as mesmas aplicações oficiais (navegador, computador, telemóvel), mas implementada no teu próprio Box. Sem custos por utilizador, os dados das palavras-passe ficam contigo. Abaixo, passo a passo, como instalar o Vaultwarden no Saplo, como integrar a equipa e como funciona o backup da base de dados de palavras-passe cifrada.

Por que Vaultwarden em vez do Bitwarden pago

O Bitwarden, como produto SaaS, é bom, mas o plano de equipa custa mensalmente por cada conta, e as palavras-passe da tua empresa ficam nos servidores de terceiros, fora do teu controlo. O Vaultwarden é uma implementação independente do mesmo protocolo de API, escrita em Rust, que os clientes oficiais do Bitwarden suportam sem qualquer modificação. Basta alterar, nas definições do cliente, o endereço do servidor para o teu próprio domínio. A diferença na prática:

• sem custos por utilizador - podes adicionar qualquer número de contas de equipa sem aumentar a fatura mensal,
• dados no teu Box - a base de palavras-passe (encriptada de ponta a ponta no lado do cliente, tal como no Bitwarden original) não sai da tua infraestrutura,
• as mesmas aplicações - o navegador, o computador, o telemóvel, todos os clientes oficiais do Bitwarden funcionam sem alterações, só mudas o endereço do servidor,
• o código-fonte é público - é um projeto de open source desenvolvido publicamente no GitHub, por isso, se precisares, podes verificar exatamente como funcionam a autenticação e o armazenamento dos dados encriptados, em vez de teres de confiar cegamente num SaaS fechado.

Requisitos

Para instalar a Vaultwarden no Saplo, precisas de:

• Box com o Docker em execução (o motor ativa-o automaticamente durante a instalação a partir do catálogo, sendo necessário o nesting em contentor, opção que o Saplo tem por defeito),
• pelo menos 256 MB de RAM livres no Box, basta o menor plano Box S,
• um domínio ou subdomínio *.saploapp.pl incluído no preço de cada plano, sob o qual ficará o painel de autenticação.

A Vaultwarden, ao contrário de muitas outras aplicações do catálogo de aplicações, não precisa de uma base de dados separada. Mantém a sua própria base de dados SQLite no volume de dados do contentor, pelo que a instalação é mais rápida e leve do que nas aplicações que utilizam um MySQL partilhado ou um Postgres dedicado.

Instalação passo a passo

1. No painel Saplo, entra em Catálogo de aplicações e escolhe Vaultwarden (categoria "Negócios").
2. Indica o Box onde deve ficar instalado e o domínio ou subdomínio sob o qual o painel estará disponível.
3. Confirma a instalação. O motor cria um contentor Docker com a imagem oficial vaultwarden/server, prepara um volume para a base de dados SQLite e disponibiliza-o no domínio indicado através de nginx, com um certificado SSL gratuito.
4. Após algumas dezenas de segundos, o domínio responde com a página de início de sessão do Vaultwarden. O registo de novas contas está ativado por predefinição, por isso crias a primeira conta diretamente na página, sem configuração adicional.
5. O painel administrativo em /admin está desativado por predefinição (sem um token de administrador definido), o que representa um estado inicial seguro, antes mesmo de configurares o acesso para ti próprio.

Ligação de clientes Bitwarden

O Vaultwarden utiliza o mesmo protocolo de API que o Bitwarden, pelo que qualquer cliente oficial funcionará sem qualquer modificação:

1. Na aplicação Bitwarden (navegador, computador ou telemóvel), abre as definições e procura o campo Ambiente auto-hospedado / Endereço do servidor.
2. Introduz o endereço da tua instalação na Saplo, por exemplo https://vault.seudominio.com.
3. Inicia sessão com a conta que criaste no passo 4 da instalação acima.

A partir de agora, a sincronização de palavras-passe, o gerador de palavras-passe e o preenchimento automático funcionam exatamente da mesma forma que no Bitwarden original, mas os teus dados ficam guardados no teu Box, e não nos servidores do Bitwarden.

Organizações e partilha de palavras-passe na equipa

O simples login de cada pessoa no mesmo servidor ainda não significa partilhar palavras-passe. Para isso servem as organizações, exatamente como no plano de equipa pago do Bitwarden:

1. No cliente Bitwarden ligado à tua instalação, acede a New organization e cria uma organização da empresa (por exemplo, "Equipa").
2. Convida as restantes pessoas através do endereço de e-mail que usaram para criar a conta no passo "Adicionar equipa" acima.
3. Cria coleções (Collections), isto é, grupos de palavras-passe por tema, por exemplo, "Alojamento", "Redes sociais", "Faturas", e atribui-lhes acesso apenas a pessoas ou grupos selecionados.
4. Move as palavras-passe pessoais existentes para a organização com o botão Move to organization, para que a equipa as veja imediatamente, em vez de enviar as palavras-passe por e-mail ou numa aplicação de mensagens.

Com as coleções, cada pessoa vê apenas as palavras-passe a que tem efetivamente acesso, e não toda a base de dados da empresa. Isto é relevante em caso de troca de pessoal ou de colaboração com prestadores externos. Se, depois de adicionares a equipa, quiseres impedir o registo de pessoas externas, convém desativar a variável SIGNUPS_ALLOWED no contentor ou restringir o acesso a um domínio de e-mail específico da empresa. No entanto, trata-se de uma configuração manual nas variáveis de ambiente do contentor, fora do âmbito do próprio assistente de instalação.

Cópias de segurança e proteção

As cópias de segurança dependem do plano escolhido: Box L e planos superiores incluem cópias de segurança no preço (7 dias de histórico para Box L, 14 para Box XL e 30, além de uma cópia offsite, para Box XXL), enquanto Box S e Box M podem receber cópias de segurança diárias como opção adicional. No caso do Vaultwarden, a cópia de segurança abrange todo o volume de dados do contentor, ou seja, o ficheiro da base de dados SQLite com o conteúdo cifrado de todas as palavras-passe. Por isso, vale a pena ativá-la antes que a base de dados atinja um tamanho cuja perda possa realmente prejudicar toda a empresa. O Painel Saplo mostra o estado do certificado SSL e renova-o automaticamente. Além disso, só vale a pena ativar o acesso ao painel de administração em /admin depois de ter definido um token de administrador forte e aleatório nas variáveis de ambiente do contentor, pois é a partir desse painel que pode gerir todas as contas da instalação.

Migração do Bitwarden, LastPass ou 1Password

A transferência da tua base de palavras-passe existente para a tua própria instalação do Vaultwarden não exige que reescrevas cada palavra-passe manualmente:

• do Bitwarden exportas a base no formato .json (encriptado ou em texto simples) a partir de Account settings -> Export vault e, depois, importas o mesmo ficheiro no cliente que já está ligado à tua instalação do Vaultwarden, através de Tools -> Import data,
• do LastPass exportas as palavras-passe para um ficheiro CSV a partir do painel do navegador, e o Vaultwarden tem o formato de importação "LastPass (csv)" pronto no mesmo painel Import data,
• do 1Password exportas os dados no formato 1PUX a partir da aplicação para computador, e o Vaultwarden também reconhece este formato como pronto para importação.

Após a importação, vale a pena rever imediatamente a lista, procurando palavras-passe duplicadas e palavras-passe assinaladas pela auditoria de segurança integrada do Vaultwarden (Tools -> Vault health reports) como fracas ou repetidas em vários sites, antes de concederes acesso a toda a equipa.

Bitwarden pago contra Vaultwarden na Saplo

Perguntas frequentes

O Vaultwarden é tão seguro quanto o Bitwarden pago? O Vaultwarden utiliza o mesmo mecanismo de encriptação ponta a ponta no cliente do que o Bitwarden original, pelo que as palavras-passe são cifradas antes de saírem do dispositivo. A diferença reside em quem hospeda a base de dados cifrada, não na encriptação em si.

Posso importar palavras-passe de uma conta Bitwarden, LastPass ou 1Password existente? Sim, os três disponibilizam formatos de importação prontos para o Vaultwarden, descritos na secção de migração acima, pelo que a migração de toda a base de dados demora apenas alguns minutos.

Quantas pessoas posso atender com o Box S? O Vaultwarden é muito leve e o próprio contentor consome menos de 100 MB de RAM, pelo que o Box S é suficiente para a maioria das pequenas e médias equipas. Para equipas mais numerosas, podes aumentar a RAM do Box a qualquer momento, sem ter de mover os dados.

E se me esquecer da palavra-passe mestra? Tal como no Bitwarden original, a palavra-passe mestra não é conhecida pelo servidor (encriptação ponta a ponta), pelo que o Vaultwarden não consegue recuperá-la. Vale a pena configurar uma dica para a palavra-passe ao criar a conta e manter uma cópia de segurança da exportação da base de dados num local seguro.

Posso desativar o registo de novas contas depois de adicionar a equipa? Sim, defines a variável de ambiente SIGNUPS_ALLOWED como false no contentor e, depois, crias novas contas apenas manualmente a partir do painel administrativo em /admin.

As palavras-passe da organização são visíveis para todos os membros da equipa? Não, o acesso depende das coleções: cada pessoa vê apenas as coleções de palavras-passe a que foi associada, pelo que podes separar, por exemplo, as palavras-passe do hosting das palavras-passe da contabilidade.

As palavras-passe são uma camada, o acesso aos serviços da empresa é a outra. Se quiseres que os painéis e os servidores sejam acessíveis apenas a partir da rede privada da equipa, consulta como instalar o Headscale na Saplo, o teu próprio servidor de coordenação para clientes Tailscale.

Se tiveres dúvidas ao instalar o Vaultwarden no teu próprio Box ou durante a migração da equipa a partir do Bitwarden pago, escreve-nos. Ajudamos-te a configurar as organizações e a fazer o backup, passo a passo.