密码不想继续交给浏览器保存？群晖部署 Vaultwarden，搭建自己的密码库

前言：密码管理的风险

密码管理器解决的并不只是"记不住密码"这个问题。

账号越来越多以后，更合理的做法是给不同网站使用独立的复杂密码，再由专门的密码管理器负责保存、同步和自动填充。Vaultwarden 提供的是一套自托管方案：服务端运行在自己的 NAS 或服务器上，日常使用时仍然可以配合 Bitwarden 的浏览器扩展和客户端完成密码保存、生成、同步与自动填充。

本文会在群晖 NAS 上通过 Docker 部署 Vaultwarden，把 /data 持久化到 NAS 存储目录，再通过 HTTPS 地址完成 Web Vault 的正常访问。这里 HTTPS 并不只是为了地址栏显示一把"小锁"，Vaultwarden 的 Web 密码库本身就需要安全上下文才能正常调用相关加密 API。

本地服务运行正常以后，再使用 cpolar 为 8088 端口增加 HTTPS 外部访问入口和固定二级子域名，并把这个地址配置到 Bitwarden 浏览器扩展的"自托管环境"中。

后面还会继续实际测试密码生成、自动填充、已有密码导入以及安全报告。整套方案的重点并不是"把密码放到家里就绝对安全"，而是把密码库的部署位置、访问入口和备份方式掌握在自己手中，同时承担起相应的安全配置责任。

1 Vaultwarden 简介与核心优势

Vaultwarden 是一款开源的密码管理解决方案，用于安全存储和管理密码等敏感数据。

完全私有：数据全部存放在自己的设备（如 NAS）中，不上传任何第三方云端。
端到端加密：只有你自己能解密，真正做到隐私自由。
安全防护：
- 支持个人 API 密钥，强化数据访问安全。
- 支持全方位多因素认证（MFA），包括验证器 App、邮箱、FIDO2、YubiKey 等。
- 提供紧急访问功能，可设置可信联系人，特殊情况下也能调取保险库数据。
客户端兼容：完美适配 Bitwarden 官方的手机 App、电脑客户端和浏览器插件，无需换软件即可无缝切换。
密码生成器：一键生成包含大小写字母、数字、符号的超长复杂密码。
附件存储：可加密保存证书扫描件、软件许可证、照片等文件。
自动图标：保存网站账号后自动获取并显示对应网站图标，方便识别。
管理后台与 Web 客户端：自带优化版 Web 界面，无需复杂配置即可使用，适合个人或小团队。

2 部署环境说明

本教程以 群晖 Synology NAS + Docker 为例演示部署。
将密码库部署在 NAS 上可实现 24 小时挂机、超低功耗、数据本地存储并自动备份。
其他小主机或 Linux 服务器操作步骤大同小异。

3 使用 Docker 在群晖 NAS 上部署 Vaultwarden

部署步骤

通过 SSH 终端登录群晖 NAS。

执行 sudo -i 进入管理员模式。
粘贴并执行一键部署命令：

bash 复制代码

mkdir -p /volume1/Vaultwarden/data && \
docker pull vaultwarden/server:latest && \
docker run --detach \
  --name vaultwarden \
  --env DOMAIN="https://vw.domain.tld" \
  --volume /volume1/Vaultwarden/data:/data \
  --restart unless-stopped \
  --publish 8088:80 \
  vaultwarden/server:latest

该命令会自动创建数据目录、拉取镜像并启动容器。
端口映射为 8088:80，避开群晖默认 80 端口占用问题。
DOMAIN 建议填写你最终要使用的 HTTPS 域名（例如 cpolar 生成的域名）。

4 首次访问与 HTTPS 警告

安装完成后，在浏览器访问 http://<NAS_IP>:8088。
页面会弹出提示：Vaultwarden 的加密 API（Subtle Crypto API）需要在 HTTPS 安全上下文中运行，当前 HTTP 明文访问不符合要求。
这个警告说明必须通过 HTTPS 访问，下一步使用 cpolar 即可解决。