Vaultwarden zelf hosten in 2026: een veilige Bitwarden-server op je eigen VPS

Om Vaultwarden in 2026 zelf te hosten, draai je zijn lichtgewicht Docker-container op een VPS, bind je hem aan localhost en zet je er een reverse proxy met HTTPS voor zodat de Bitwarden-apps ermee kunnen praten. Dat is de hele vorm van het werk: één kleine container voor de server, TLS afgehandeld door een proxy en een gedisciplineerde back-up van één datamap. Goed gedaan krijg je een wachtwoordmanager die met elke officiële Bitwarden-client praat, terwijl je kluis op hardware staat die jij beheert.

Vaultwarden is een onofficiële, in Rust geschreven herimplementatie van de Bitwarden-server. Het is niet verbonden met Bitwarden, Inc., maar spreekt dezelfde API, dus de browserextensies, de desktop-app en de mobiele apps verbinden er ongewijzigd mee. Omdat het is gebouwd voor zelf hosten in plaats van voor bedrijfsschaal, draait het op een fractie van de resources die de officiële zelf-gehoste Bitwarden-stack nodig heeft, en ontgrendelt het de premiumfuncties (TOTP-codes, bijlagen, beveiligingsrapporten) gratis. Deze gids behandelt een veilige opzet, niet alleen een werkende, want een wachtwoordmanager is het meest risicovolle dat je ooit zelf zult hosten.

Wat je nodig hebt voordat je begint

Vaultwarden is eenvoudig te draaien en onverbiddelijk als je het achteloos draait. Voordat je de container aanraakt, heb je drie dingen nodig: een server, een naam en de mogelijkheid om HTTPS aan te bieden.

• Een kleine VPS met Docker. De voetafdruk van Vaultwarden is minuscuul, dus je hebt geen grote machine nodig. Een eenvoudige VPS met 1-2 GB RAM is al veel meer dan het gebruikt. Het soort kleine server dat we bij WaseerHost voor een paar dollar per maand draaien, heeft ruimte over. Als de machine nieuw is, beveilig hem dan eerst; onze gids over het veilige eerste uur van een nieuwe VPS behandelt de basis van SSH, firewall en gebruiker die hier wordt verondersteld.
• Een domein of subdomein (bijvoorbeeld vault.yourdomain.com) dat naar het IP van de server wijst. Je hebt een echte hostnaam nodig vanwege het volgende punt.
• Een manier om HTTPS aan te bieden. Dit is niet optioneel. De Web Crypto API van de browser waarop de Bitwarden-clients steunen, weigert te draaien over gewoon HTTP op iets anders dan localhost, dus zonder TLS werken de apps simpelweg niet.

Draai Vaultwarden met Docker Compose

Vaultwarden wordt geleverd als de officiële vaultwarden/server-image op Docker Hub. Pin een versietag in plaats van latest, zodat een onbeheerde update je nooit verrast. De ene regel die er hier toe doet: bind de container aan 127.0.0.1, nooit aan 0.0.0.0. Vaultwarden spreekt intern gewoon HTTP en zou alleen via je proxy bereikbaar moeten zijn.

services:
  vaultwarden:
    image: vaultwarden/server:1.37.4
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.yourdomain.com"
      SIGNUPS_ALLOWED: "false"
      ADMIN_TOKEN: "<argon2-hash-goes-here>"
    volumes:
      - ./vw-data:/data
    ports:
      - "127.0.0.1:8080:80"

Standaard slaat Vaultwarden alles op in een SQLite-database binnen /data (hier gekoppeld aan ./vw-data), wat de juiste keuze is voor een instantie voor persoonlijk gebruik of een klein team; het ondersteunt ook MySQL/MariaDB en PostgreSQL als je er ooit overheen groeit. Zet SIGNUPS_ALLOWED vanaf het begin op false, maak je eigen account aan en houd registratie gesloten, zodat geen vreemde een account op je server kan openen.

Zet het achter HTTPS met een reverse proxy

Omdat de container alleen op localhost luistert, is een reverse proxy wat hem bereikbaar en versleuteld maakt. Caddy is de eenvoudigste optie omdat het certificaten automatisch verkrijgt en vernieuwt; een site-blok van drie regels dat vault.yourdomain.com naar 127.0.0.1:8080 wijst, is genoeg voor een geldig certificaat en werkende TLS. Onze gids over Caddy als reverse proxy loopt die configuratie en de certificaatvernieuwing volledig door, en hetzelfde werk kan worden gedaan met Nginx Proxy Manager of Traefik als je al een daarvan draait.

Eén proxydetail dat specifiek is voor Vaultwarden: stuur het echte client-IP door (bijvoorbeeld door een X-Real-IP-header in te stellen), want het adminpaneel en eventuele fail2ban-regels moeten zien wie er daadwerkelijk verbindt in plaats van het adres van de proxy zelf. Als je liever helemaal geen inkomende poorten opent, kan een Cloudflare Tunnel de dienst zonder publieke poort beschikbaar maken, wat tegelijk een manier is om de adminpagina buiten het open internet te houden.

Sluit het adminpaneel af

Vaultwarden heeft een ingebouwde /admin-pagina voor het beheren van gebruikers en instellingen, en dat is het gevaarlijkste oppervlak van de hele deployment: een gelekt admintoken stelt elke gebruiker bloot. In 2026 is de juiste manier om het te beschermen een Argon2id-hash, geen token in platte tekst. Genereer er een vanuit een wegwerpcontainer voordat de stack überhaupt draait:

docker run --rm -it vaultwarden/server /vaultwarden hash

Voer een lang, uniek wachtwoord in wanneer daarom wordt gevraagd en plak vervolgens de resulterende PHC-hashreeks in ADMIN_TOKEN. Je logt in op /admin met het oorspronkelijke wachtwoord, niet met de hash. Behandel dat als een kroonjuweel-inloggegeven. Voor alles wat verder gaat dan een persoonlijke instantie zet je de adminpagina ook achter een tweede barrière: een IP-toelatingslijst bij de proxy, of een route die alleen via VPN loopt, zodat hij nooit bereikbaar is vanaf het publieke internet.

Maak een back-up van de ene map die ertoe doet

Een wachtwoordmanager zelf hosten betekent dat jij nu verantwoordelijk bent om hem niet te verliezen. Alles wat Vaultwarden nodig heeft, staat in die vw-data-map: de SQLite-database, de bijlagen, de RSA-sleutels en de configuratie. Maak volgens een schema een back-up van de hele map, bewaar een kopie buiten de server en test een herstel voordat je erop vertrouwt, want een back-up die je nooit hebt teruggezet is een gok. Onze gids over het back-uppen van Docker-volumes behandelt een snapshot-en-kopieerroutine die hier precies bij past. De faalmodus die je moet vrezen is geen hack; het is een dode schijf en een back-up die niemand ooit heeft gecontroleerd.

Moet je Vaultwarden zelf hosten? De eerlijke afweging

Zelf hosten wint op kosten en eigenaarschap, en verliest op wie het risico draagt. Bij Vaultwarden zijn de premiumfuncties gratis en verlaat je kluis nooit je server; bij gehost Bitwarden regelt een team van experts de uptime, back-ups en beveiliging voor je. De onderstaande tabel is de echte beslissing, op basis van de huidige gepubliceerde prijzen van Bitwarden.

Optie	Kosten	Wie host het	Premiumfuncties	Het beste voor
Vaultwarden (zelf gehost)	$0 software + een kleine VPS (een paar $/maand)	Jij	Alles ontgrendeld, gratis	Data-eigenaarschap, homelabs, kleine teams
Bitwarden Free	$0	Bitwarden	Beperkt	Onderhoudsvrij persoonlijk gebruik
Bitwarden Premium	$19.80/yr (~$1.65/mo)	Bitwarden	TOTP, rapporten, 1 GB bijlagen	Individuen die gehost + premium willen
Bitwarden Families	$47.88/yr (~$3.99/mo), tot 6	Bitwarden	Premium voor 6	Gezinnen die het beheerd willen
Bitwarden Teams / Enterprise	$4 / $6 per gebruiker/maand	Bitwarden	SSO, beleid, compliance	Organisaties die governance nodig hebben

De eerlijke filter: host Vaultwarden zelf als je HTTPS geldig houdt, de map back-upt en het adminpaneel beschermt. Als je weet dat je back-updiscipline wankel is of je je eigen downtime niet kunt verdragen, is gehost Bitwarden de verantwoorde keuze, en daar is niets om je voor te schamen. De slechtste uitkomst is een half onderhouden server die elk wachtwoord bevat dat je bezit.

Veelgestelde vragen

Is Vaultwarden veilig om zelf te hosten?

Ja, mits correct geconfigureerd. De kluisgegevens zijn end-to-end versleuteld, dus zelfs op een server die jij beheert is de inhoud beschermd door je hoofdwachtwoord. De echte risico's zijn operationeel: het over HTTP aanbieden, /admin blootgesteld laten, of geen geteste back-up hebben. Los die drie op en een Vaultwarden-instantie is een degelijke wachtwoordmanager.

Is Vaultwarden hetzelfde als Bitwarden?

Nee. Vaultwarden is een onafhankelijke, onofficiële serverimplementatie die compatibel is met de client-apps en de API van Bitwarden. Het is niet gemaakt door Bitwarden, Inc. Je gebruikt de officiële Bitwarden-apps voor browser, desktop en mobiel, maar richt ze op je eigen server in plaats van op de cloud van Bitwarden.

Heb ik een domein en HTTPS nodig om het te gebruiken?

In feite wel. Bitwarden-clients zijn afhankelijk van de Web Crypto API van de browser, die alleen draait over HTTPS (of localhost). Dat betekent een echte hostnaam en een TLS-certificaat, dat een reverse proxy zoals Caddy automatisch levert. Gewoon HTTP laat de apps geen verbinding maken.

Ontgrendelt Vaultwarden de premiumfuncties van Bitwarden gratis?

Ja. Functies die betaald zijn in de cloud van Bitwarden, zoals TOTP-generatie, bestandsbijlagen en kluisgezondheidsrapporten, zijn gratis beschikbaar op een zelf-gehoste Vaultwarden-instantie. Dat is een groot deel van de reden waarom mensen het draaien.

Hoeveel server heeft Vaultwarden nodig?

Heel weinig. Het is ontworpen als een lichtgewicht alternatief voor de resource-zware officiële zelf-gehoste Bitwarden-stack, en draait comfortabel op een kleine VPS met 1-2 GB RAM. CPU en geheugen zijn zelden de beperking; jouw aandacht voor back-ups en HTTPS is dat wel.

Bronnen

• Vaultwarden-projectwiki (dani-garcia/vaultwarden): wat Vaultwarden is, SQLite als standaardopslag, de HTTPS/WebAuthn-vereiste en het hashen van het admintoken.
• Vaultwarden-Docker-image op Docker Hub: de officiële vaultwarden/server-image en de beschikbare versietags.
• Bitwarden-prijzen: de huidige prijzen van de abonnementen Free, Premium, Families, Teams en Enterprise die in de vergelijkingstabel worden gebruikt.