Esta aplicación de código abierto te permite alojar tú mismo tu gestor de contraseñas Bitwarden fácilmente

Ejecuta Bitwarden en tu propio servidor con Vaultwarden. Mismas aplicaciones, configuración más sencilla y control total sin el despliegue pesado.

Bitwarden ya es uno de los mejores gestores de contraseñas que existen. Es de código abierto, seguro y funciona de manera confiable en todas las plataformas. Pero si estás usando la configuración predeterminada, tu bóveda todavía se almacena en la nube de Bitwarden. Para la mayoría de las personas, eso está perfectamente bien, pero vale la pena entender lo que eso realmente significa.

Tu bóveda encriptada todavía reside en los servidores de Bitwarden, y algunas funciones, como TOTP incorporado (códigos de autenticación de dos factores) y los archivos adjuntos, están bloqueadas detrás del plan de pago. Bitwarden ofrece una forma oficial de alojar todo por tu cuenta, pero en la práctica, la configuración no es tan simple ni amigable para principiantes como parece.

Alojar Bitwarden por uno mismo es posible, pero no sencillo

El servidor oficial de Bitwarden está construido como un servicio empresarial, no como una herramienta personal. Requiere múltiples contenedores Docker, un proceso de configuración más largo y las opciones de base de datos y servicio son más explícitas (MSSQL por defecto en la pila estándar).

Incluso con la nueva configuración Lite, todavía estás lidiando con un despliegue más estructurado y las funciones de Bitwarden de pago, como TOTP y los adjuntos de archivos, tampoco están disponibles.

Vaultwarden hace las cosas más simples

• Los valores predeterminados son más simples (SQLite, configuración mínima)
• Muy ligero para ejecutar en comparación con las opciones de Bitwarden (incluso puede ejecutarse en Raspberry Pi)
• Puedes comenzar con solo un contenedor y sin servicios adicionales
• Funciones de pago como TOTP, adjuntos de archivos, Enviar, organizaciones/compartir y acceso de emergencia.

Si tu objetivo es solo un gestor de contraseñas personal en tu propia máquina o en un VPS pequeño, Vaultwarden se convierte en una opción obvia.

Además, solo estás reemplazando el backend, así que todavía puedes usar las aplicaciones móviles de Bitwarden, las extensiones de navegador de Bitwarden y la aplicación de escritorio de Bitwarden tal como antes. Mismo interfaz, mismo flujo de trabajo. Lo único que cambias es la URL del servidor en la configuración.

Bitwarden vs Vaultwarden (diferencias prácticas)

Para la mayoría de las configuraciones personales, todo lo que realmente usas funciona igual, a menos que necesites un gestor de secretos o algunas funciones empresariales.

Cómo configurar Vaultwarden localmente

Necesitas dos cosas: el propio servidor de Vaultwarden y una URL que puedas abrir en un navegador y usar dentro de las aplicaciones de Bitwarden.

Paso 1: Ejecutar Vaultwarden

Primero, instala Docker. Si no lo tienes, instala Docker Desktop (macOS/Windows) o Docker Engine (Linux) y asegúrate de que docker funcione en tu terminal. Luego ejecuta:

docker run -d \
  --name vaultwarden \
  -p 8080:80 \
  -v ~/vw-data:/data \
  -e SIGNUPS_ALLOWED=true \
  vaultwarden/server:latest

Esto inicia el servidor en http://localhost:8080 y almacena todos los datos en ~/vw-data. En este punto, el backend está activo, pero todavía querrás una URL adecuada para el uso diario.

Paso 2: Agrega un proxy inverso simple (te proporciona una URL HTTPS segura)

Los clientes de Bitwarden requieren HTTPS para conectarse a un servidor autoalojado. Para pruebas locales, la opción más sencilla es Caddy con su autoridad de certificación local integrada.

Crea un archivo llamado Caddyfile:

vault.local {
  tls internal
  reverse_proxy 127.0.0.1:8080
}

La directiva tls internal indica a Caddy que genere un certificado local por sí mismo, ya que los dominios .local no pueden usar autoridades de certificación públicas como Let’s Encrypt. En la captura de pantalla a continuación, estoy usando localhost:443 en su lugar.

Ejecutar Caddy:

docker run -d \
  --name caddy \
  --network host \
  -v $(pwd)/Caddyfile:/etc/caddy/Caddyfile \
  -v caddy_data:/data \
  -v caddy_config:/config \
  caddy

Mapea el nombre de host localmente editando tu archivo /etc/hosts (o C:\Windows\System32\drivers\etc\hosts en Windows):

127.0.0.1 vault.local

Ahora abre https://vault.local en tu navegador. Necesitarás confiar en el certificado raíz local de Caddy la primera vez. Caddy lo coloca en el volumen caddy_data, y puedes instalarlo en el almacén de confianza de tu sistema para evitar advertencias del navegador.

Para un despliegue adecuado en un VPS con un dominio real, puedes eliminar tls internal y Caddy obtendrá automáticamente un certificado real de Let’s Encrypt.

Paso 3: Crea tu cuenta y conéctate a las aplicaciones de Bitwarden

Abre https://vault.local y crea tu primera cuenta (esta es tu bóveda principal). Una vez hecho:

1. Abre cualquier aplicación o extensión de Bitwarden
2. En la pantalla de inicio de sesión, cambia de bitwarden.com a Autoalojado
3. Introduce https://vault.local como la URL del servidor
4. Inicia sesión con la cuenta que creaste

A partir de aquí, la experiencia es idéntica a Bitwarden Cloud; tus aplicaciones simplemente se comunican con tu servidor en su lugar.

Paso: 4 Migrar al Servidor Real

Una vez que te sientas cómodo localmente, puedes mover el contenedor de Docker a un VPS, NAS o incluso a una Raspberry Pi.

1. Copia tu carpeta vw-data
2. Ejecuta el mismo contenedor en tu VPS
3. Agregar HTTPS (a través de Nginx, Caddy o Traefik)
4. Apunta tus aplicaciones a la nueva URL

Migrando desde Bitwarden Cloud u otro gestor

Si ya estás utilizando Bitwarden Cloud u otro administrador de contraseñas, exporta tus datos como JSON (o ZIP si necesitas archivos adjuntos) e impórtalos en Vaultwarden. Esto transfiere contraseñas, notas, tarjetas, identidades, claves SSH, semillas TOTP y claves de acceso.

Importante: Ahora eres el administrador

Autohospedarse significa cambiar comodidad por control. Algunas cosas a tener en cuenta:

• Las copias de seguridad son tu responsabilidad. Todos los datos se encuentran en ~/vw-data. Si los borras sin tener una copia de seguridad, tu bóveda desaparecerá. Configura copias de seguridad regulares: un tar o rsync nocturno a otro disco generalmente es suficiente.
• Las actualizaciones son su responsabilidad. Descargue nuevas imágenes con regularidad para mantenerse al día con los parches de seguridad.
• El tiempo de actividad es tu responsabilidad. Si tu servidor está caído, tus aplicaciones recurrirán a su caché local, pero los nuevos dispositivos no podrán iniciar sesión hasta que el servidor vuelva a estar en línea.
• Protege el panel de administración. Configura ADMIN_TOKEN con un valor fuerte si planeas usar la interfaz de administración.

Conclusión final

Para mí, se reducía al control sin sobrecarga adicional.

El servidor oficial de Bitwarden parecía excesivo. Vaultwarden ofrece la misma experiencia de usuario con mucho menos configuración y mantenimiento. Todo lo que realmente uso funciona igual, incluyendo las claves de acceso y las claves SSH a través de los clientes de Bitwarden.

Y puedo mantener el backend bajo mi control.