Vaultwarden di STB Armbian: Aman, Hemat, Siap Dipakai

Mengapa Vaultwarden cocok untuk STB rumahan

Vaultwarden adalah server kompatibel Bitwarden yang ringan, sehingga masuk akal untuk STB Armbian RAM 1–2 GB. Vaultwarden adalah proyek komunitas tak resmi yang kompatibel dengan Bitwarden—bukan layanan resmi Bitwarden. Ini password manager, bukan pengganti Nextcloud yang berfokus pada cloud file atau Syncthing yang menyinkronkan file antarmesin. Aplikasi Bitwarden mengenkripsi vault di sisi klien sebelum data disimpan di server.

Sebelum mulai, pastikan Docker dan Compose plugin sudah berjalan, STB memiliki alamat IP LAN tetap, serta tersedia ruang untuk data dan cadangan. Untuk perangkat 64-bit gunakan Armbian arm64; proyek Vaultwarden juga menyediakan image armv7 dan armv6. Verifikasi arsitektur dengan uname -m, lalu biarkan Docker memilih image yang sesuai. Jangan memaksa tag atau platform yang tidak cocok.

Siapkan satu container Docker

Buat folder kerja, lalu simpan compose.yaml berikut. Ganti vault.lan dengan nama host LAN yang benar-benar bisa di-resolve oleh HP dan laptop.

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.lan"
      SIGNUPS_ALLOWED: "true"
    volumes:
      - ./vw-data:/data
    ports:
      - "127.0.0.1:8000:80"

Jalankan docker compose up -d, kemudian periksa docker compose logs -f vaultwarden. Binding ke loopback mencegah layanan terbuka langsung ke LAN. Pasang reverse proxy HTTPS di host Armbian atau gunakan proxy LAN yang sudah ada; cara memperoleh sertifikat lokal berbeda-beda, jadi periksa sesuai DNS serta perangkat klien. Web vault memerlukan konteks HTTPS, jadi jangan menganggap HTTP port 8000 sebagai akses produksi.

Buka vault melalui alamat HTTPS LAN, buat akun pertama, dan uji login dari aplikasi Bitwarden resmi di HP serta laptop. Setelah akun yang dibutuhkan selesai dibuat, ubah SIGNUPS_ALLOWED menjadi false, lalu terapkan docker compose up -d. Simpan file Compose dengan izin terbatas dan jangan menaruh token admin atau rahasia di repositori publik.

Jangan membuka port WebSocket 3012

Dokumentasi proyek menyebut sejak Vaultwarden v1.31.0, WebSocket terintegrasi ke port HTTP utama; dukungan port 3012 telah dihapus. Tutorial lama yang memetakan 3012 tidak berlaku untuk versi tersebut. Jangan meneruskan port itu ke LAN atau internet; cukup pastikan reverse proxy meneruskan koneksi WebSocket pada domain HTTPS utama bila diperlukan.

Akses dari luar tanpa port-forward sembarangan

Biarkan Vaultwarden hanya tersedia di LAN. Saat bepergian, aktifkan WireGuard pada router atau STB, lalu akses alamat LAN Vaultwarden setelah tunnel aktif. Konfigurasi peer, firewall, dan routing harus membatasi jaringan yang boleh dicapai; jangan mengekspos 8000 atau port aplikasi ke internet. Panduan lanjutan home server tentang tunnel bisa dibaca di cara pasang WireGuard VPN di STB Armbian.

Backup yang tidak merusak database

Jadwalkan backup harian dan simpan salinan terenkripsi di perangkat lain. Untuk SQLite, jangan menyalin db.sqlite3 yang sedang aktif dengan cp; file WAL bisa membuat hasil tidak konsisten. Perintah bawaan docker exec -it vaultwarden /vaultwarden backup tersedia sejak v1.32.1; cek versi sebelum mengandalkannya. Perintah ini memakai mekanisme backup SQLite yang aman. Cadangkan seluruh vw-data, termasuk attachments, kunci RSA, dan konfigurasi. Saat memulihkan, hentikan container terlebih dahulu; backup hasil mekanisme SQLite tidak boleh dipasangkan dengan WAL lama. Uji restore sesekali pada salinan terpisah.

Pemeriksaan rutin

Perbarui image secara terencana, baca catatan rilis, dan buat salinan sebelum memperbarui. Batasi akses admin STB dengan akun Linux non-root, firewall, serta SSH yang tidak terbuka ke internet. Gunakan master password kuat dan aktifkan 2FA pada setiap akun. Jika sertifikat HTTPS atau resolusi nama LAN gagal di aplikasi, hentikan dulu dan catat hal itu sebagai hal yang perlu dicek daripada mengganti pengaturan secara coba-coba.