Cómo autoalojar Vaultwarden en 2026: un servidor Bitwarden seguro en tu propio VPS

Para autoalojar Vaultwarden en 2026, ejecutas su ligero contenedor de Docker en un VPS, lo enlazas a localhost y colocas delante un proxy inverso con HTTPS para que las aplicaciones de Bitwarden hablen con él. Esa es toda la forma del trabajo: un único contenedor pequeño para el servidor, el TLS gestionado por un proxy y una copia de seguridad disciplinada de una sola carpeta de datos. Bien hecho, obtienes un gestor de contraseñas que se comunica con todos los clientes oficiales de Bitwarden mientras tu bóveda vive en hardware que tú controlas.

Vaultwarden es una reimplementación no oficial, escrita en Rust, del servidor de Bitwarden. No está afiliada a Bitwarden, Inc., pero habla la misma API, de modo que las extensiones de navegador, la aplicación de escritorio y las aplicaciones móviles se conectan a ella sin cambios. Como está diseñada para el autoalojamiento y no para la escala empresarial, se ejecuta con una fracción de los recursos que necesita la pila oficial autoalojada de Bitwarden, y desbloquea gratis las funciones premium (códigos TOTP, adjuntos, informes de seguridad). Esta guía cubre una configuración segura, no solo una que funcione, porque un gestor de contraseñas es lo de mayor riesgo que jamás vas a autoalojar.

Qué necesitas antes de empezar

Vaultwarden es sencillo de ejecutar e implacable si se ejecuta con descuido. Antes de tocar el contenedor, necesitas tres cosas en su sitio: un servidor, un nombre y la capacidad de servir HTTPS.

• Un VPS pequeño con Docker. La huella de Vaultwarden es diminuta, así que no necesitas una máquina grande. Un VPS básico con 1-2 GB de RAM ya es mucho más de lo que usa. El tipo de servidor pequeño que ejecutamos en WaseerHost por unos pocos dólares al mes tiene margen de sobra. Si la máquina es nueva, blíndala primero; nuestra guía sobre la primera hora segura de un VPS nuevo cubre los aspectos básicos de SSH, firewall y usuario que aquí se dan por hechos.
• Un dominio o subdominio (por ejemplo vault.yourdomain.com) apuntando a la IP del servidor. Necesitas un nombre de host real por lo que viene en el siguiente punto.
• Una forma de servir HTTPS. Esto no es opcional. La API Web Crypto del navegador en la que se basan los clientes de Bitwarden se niega a ejecutarse sobre HTTP puro en cualquier cosa que no sea localhost, de modo que sin TLS las aplicaciones simplemente no funcionarán.

Ejecuta Vaultwarden con Docker Compose

Vaultwarden se distribuye como la imagen oficial vaultwarden/server en Docker Hub. Fija una etiqueta de versión en lugar de latest para que una actualización desatendida nunca te sorprenda. La única regla que importa aquí: enlaza el contenedor a 127.0.0.1, nunca a 0.0.0.0. Vaultwarden habla HTTP puro internamente, y solo debería ser accesible a través de tu proxy.

services:
  vaultwarden:
    image: vaultwarden/server:1.37.4
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.yourdomain.com"
      SIGNUPS_ALLOWED: "false"
      ADMIN_TOKEN: "<argon2-hash-goes-here>"
    volumes:
      - ./vw-data:/data
    ports:
      - "127.0.0.1:8080:80"

De forma predeterminada, Vaultwarden almacena todo en una base de datos SQLite dentro de /data (mapeada aquí a ./vw-data), que es la opción correcta para una instancia personal o de equipo pequeño; también admite MySQL/MariaDB y PostgreSQL por si algún día se te queda pequeña. Pon SIGNUPS_ALLOWED en false desde el principio, crea tu propia cuenta y mantén el registro cerrado para que ningún desconocido pueda abrir una cuenta en tu servidor.

Ponlo detrás de HTTPS con un proxy inverso

Como el contenedor solo escucha en localhost, un proxy inverso es lo que lo hace accesible y cifrado. Caddy es la opción más sencilla porque obtiene y renueva los certificados automáticamente; un bloque de sitio de tres líneas que apunte vault.yourdomain.com a 127.0.0.1:8080 basta para obtener un certificado válido y un TLS funcional. Nuestra guía de Caddy como proxy inverso recorre esa configuración y la renovación de certificados por completo, y el mismo trabajo puede hacerse con Nginx Proxy Manager o Traefik si ya ejecutas alguno de ellos.

Un detalle del proxy específico de Vaultwarden: reenvía la IP real del cliente (por ejemplo, estableciendo una cabecera X-Real-IP), porque el panel de administración y cualquier regla de fail2ban necesitan ver quién se conecta realmente y no la propia dirección del proxy. Si prefieres no abrir ningún puerto entrante en absoluto, un túnel de Cloudflare puede exponer el servicio sin un puerto público, lo que también sirve para mantener la página de administración fuera del internet abierto.

Blinda el panel de administración

Vaultwarden tiene una página /admin integrada para gestionar usuarios y ajustes, y es la superficie más peligrosa de todo el despliegue: un token de administración filtrado expone a todos los usuarios. En 2026 la forma correcta de protegerla es un hash Argon2id, no un token en texto plano. Genera uno desde un contenedor desechable antes incluso de que la pila esté en marcha:

docker run --rm -it vaultwarden/server /vaultwarden hash

Introduce una contraseña larga y única cuando se te solicite y luego pega la cadena de hash PHC resultante en ADMIN_TOKEN. Inicias sesión en /admin con la contraseña original, no con el hash. Trátala como una credencial de la máxima importancia. Para cualquier cosa que vaya más allá de una instancia personal, coloca también la página de administración detrás de una segunda barrera: una lista de IP permitidas en el proxy, o una ruta solo por VPN para que nunca sea accesible desde el internet público.

Haz copia de seguridad de la única carpeta que importa

Autoalojar un gestor de contraseñas significa que ahora eres responsable de no perderlo. Todo lo que Vaultwarden necesita vive en esa carpeta vw-data: la base de datos SQLite, los adjuntos, las claves RSA y la configuración. Haz copia de seguridad de todo el directorio de forma programada, guarda una copia fuera del servidor y prueba una restauración antes de confiar en ella, porque una copia de seguridad que nunca has restaurado es una conjetura. Nuestra guía de copias de seguridad de volúmenes de Docker cubre una rutina de instantánea y copia que encaja exactamente con esto. El modo de fallo que debes temer no es un hackeo; es un disco muerto y una copia de seguridad que nadie comprobó nunca.

¿Deberías autoalojar Vaultwarden? El compromiso honesto

El autoalojamiento gana en coste y en propiedad, y pierde en quién asume el riesgo. Con Vaultwarden las funciones premium son gratuitas y tu bóveda nunca sale de tu servidor; con Bitwarden alojado, un equipo de expertos se encarga por ti del tiempo de actividad, las copias de seguridad y la seguridad. La tabla de abajo es la decisión real, usando los precios actualmente publicados por Bitwarden.

Opción	Coste	Quién lo aloja	Funciones premium	Mejor para
Vaultwarden (autoalojado)	$0 de software + un VPS pequeño (unos pocos $/mes)	Tú	Todas desbloqueadas, gratis	Propiedad de los datos, homelabs, equipos pequeños
Bitwarden Free	$0	Bitwarden	Limitadas	Uso personal sin mantenimiento
Bitwarden Premium	$19.80/yr (~$1.65/mo)	Bitwarden	TOTP, informes, 1 GB de adjuntos	Particulares que quieren alojado + premium
Bitwarden Families	$47.88/yr (~$3.99/mo), hasta 6	Bitwarden	Premium para 6	Familias que lo quieren gestionado
Bitwarden Teams / Enterprise	$4 / $6 por usuario/mes	Bitwarden	SSO, políticas, cumplimiento	Organizaciones que necesitan gobernanza

El filtro honesto: autoaloja Vaultwarden si vas a mantener el HTTPS válido, respaldar la carpeta y proteger el panel de administración. Si sabes que tu disciplina con las copias de seguridad es endeble o no puedes tolerar tu propio tiempo de inactividad, Bitwarden alojado es la elección responsable, y no hay ninguna vergüenza en ello. El peor resultado es un servidor a medio mantener que contiene todas las contraseñas que posees.

Preguntas frecuentes

¿Es seguro autoalojar Vaultwarden?

Sí, cuando se configura correctamente. Los datos de la bóveda están cifrados de extremo a extremo, así que incluso en un servidor que tú controlas el contenido está protegido por tu contraseña maestra. Los riesgos reales son operativos: servirlo por HTTP, dejar /admin expuesto o no tener una copia de seguridad probada. Corrige esos tres y una instancia de Vaultwarden es un gestor de contraseñas sólido.

¿Es Vaultwarden lo mismo que Bitwarden?

No. Vaultwarden es una implementación de servidor independiente y no oficial que es compatible con las aplicaciones cliente y la API de Bitwarden. No lo fabrica Bitwarden, Inc. Usas las aplicaciones oficiales de Bitwarden para navegador, escritorio y móvil, pero las apuntas a tu propio servidor en lugar de a la nube de Bitwarden.

¿Necesito un dominio y HTTPS para usarlo?

En la práctica, sí. Los clientes de Bitwarden dependen de la API Web Crypto del navegador, que solo funciona sobre HTTPS (o localhost). Eso significa un nombre de host real y un certificado TLS, que un proxy inverso como Caddy proporciona automáticamente. El HTTP puro dejará a las aplicaciones sin poder conectarse.

¿Desbloquea Vaultwarden gratis las funciones premium de Bitwarden?

Sí. Las funciones que son de pago en la nube de Bitwarden, como la generación de TOTP, los adjuntos de archivos y los informes de salud de la bóveda, están disponibles sin coste en una instancia autoalojada de Vaultwarden. Esa es gran parte de la razón por la que la gente lo ejecuta.

¿Cuánto servidor necesita Vaultwarden?

Muy poco. Está diseñado como una alternativa ligera a la pesada pila oficial autoalojada de Bitwarden, y funciona con holgura en un VPS pequeño con 1-2 GB de RAM. La CPU y la memoria rara vez son la limitación; lo es tu atención a las copias de seguridad y al HTTPS.

Fuentes

• Wiki del proyecto Vaultwarden (dani-garcia/vaultwarden): qué es Vaultwarden, el almacenamiento SQLite por defecto, el requisito de HTTPS/WebAuthn y el hash del token de administración.
• Imagen de Docker de Vaultwarden en Docker Hub: la imagen oficial vaultwarden/server y las etiquetas de versión disponibles.
• Precios de Bitwarden: los precios actuales de los planes Free, Premium, Families, Teams y Enterprise usados en la tabla comparativa.