【AI 测评】群晖 NAS 部署 Vaultwarden：从 HTTPS 到浏览器自动填充的完整密码管理流程

本文以 群晖 Synology NAS + Docker 为环境完成部署。过程中还会碰到一个很典型的节点：Vaultwarden 本地 HTTP 页面虽然能打开，但加密 API（Subtle Crypto API）要求 HTTPS 安全上下文。也就是说，"容器启动成功"并不等于"密码管理器已经可以正常长期使用"。

后面会继续通过 cpolar 补上 HTTPS 与公网访问，再接入 Bitwarden 浏览器扩展，完成自动填充和 CSV 密码迁移。整篇的目标不是只把服务跑起来，而是把它真正变成日常能用的一套密码管理环境。

1 Vaultwarden 简介与核心优势

Vaultwarden 是一款开源的密码管理解决方案，用于安全存储和管理密码等敏感数据。

如果只看"保存密码"，很多工具都能做到。Vaultwarden 更值得关注的地方在于，它能继续兼容 Bitwarden 官方客户端和浏览器扩展，所以自托管以后，并不需要放弃已经成熟的多端使用方式。

完全私有：数据全部存放在自己的设备（如 NAS）中，不上传任何第三方云端。对于已经有长期在线 NAS 的用户来说，密码库可以和其他自建服务一样，由自己维护存储位置与备份。
端到端加密：只有你自己能解密，真正做到隐私自由。
安全防护：
- 支持个人 API 密钥，强化数据访问安全。
- 支持全方位多因素认证（MFA），包括验证器 App、邮箱、FIDO2、YubiKey 等。
- 提供紧急访问功能，可设置可信联系人，特殊情况下也能调取保险库数据。
客户端兼容：适配 Bitwarden 官方的手机 App、电脑客户端和浏览器插件。后文会直接用浏览器扩展连接自托管地址，验证日常登录时能否继续自动填充。
密码生成器：一键生成包含大小写字母、数字、符号的超长复杂密码。
附件存储：可加密保存证书扫描件、软件许可证、照片等文件。
自动图标：保存网站账号后自动获取并显示对应网站图标，方便识别。
管理后台与 Web 客户端：自带优化版 Web 界面，无需复杂配置即可使用，适合个人或小团队。

2 部署环境说明

密码管理器和普通临时 Web 服务不太一样：它通常需要长期在线，而且里面的数据需要持续保存。因此部署环境的稳定性、数据目录和后续备份都比"启动一次看看页面"更重要。

本教程以 群晖 Synology NAS + Docker 为例演示部署。
将密码库放在 NAS 上，主要利用它长期在线和本地存储的特点，后续也便于把数据目录纳入自己的备份策略。
其他小主机或 Linux 服务器操作步骤大同小异。

3 使用 Docker 在群晖 NAS 上部署 Vaultwarden

部署步骤

这一部分先解决"服务能不能正常跑起来"。后面还会单独处理 HTTPS、远程访问和客户端连接，所以这里暂时不要把"浏览器能打开页面"当成全部完成。

通过 SSH 终端登录群晖 NAS。

执行 sudo -i 进入管理员模式。
粘贴并执行一键部署命令：

mkdir -p /volume1/Vaultwarden/data &&
docker pull vaultwarden/server:latest &&
docker run --detach
--name vaultwarden
--env DOMAIN="https://vw.domain.tld"
--volume /volume1/Vaultwarden/data:/data
--restart unless-stopped
--publish 8088:80
vaultwarden/server:latest

该命令会自动创建数据目录、拉取镜像并启动容器。
端口映射为 8088:80，避开群晖默认 80 端口占用问题。
DOMAIN 建议填写你最终要使用的 HTTPS 域名（例如 cpolar 生成的域名）。

这里有一个容易忽略的点：DOMAIN 和后面的 HTTPS 访问地址是有关系的。Vaultwarden 不是只要本地端口能访问就结束，后面客户端与加密 API 都会依赖安全上下文，因此 HTTPS 会成为下一步必须处理的问题。

4 首次访问与 HTTPS 警告

安装完成后，在浏览器访问 http://<NAS_IP>:8088。
页面会弹出提示：Vaultwarden 的加密 API（Subtle Crypto API）需要在 HTTPS 安全上下文中运行，当前 HTTP 明文访问不符合要求。
这个警告说明必须通过 HTTPS 访问，下一步使用 cpolar 即可解决。

这一步很典型：容器已经运行，网页也能打开，但真正的密码库功能还没有进入合适的使用环境。 对 Vaultwarden 来说，HTTP 本地访问更像是部署检查，HTTPS 才是后面账户登录、扩展连接和远程访问真正需要的入口。