Установка Bitwarden на Debian 11

Bitwarden — это бесплатный и открытый менеджер паролей, который хранит учётные данные в зашифрованном хранилище. Он позволяет синхронизировать логины между устройствами и предназначен для индивидуального использования, команд и организаций. Bitwarden предоставляет клиенты для настольных ПК, смартфонов и планшетов, а также генератор надёжных паролей.

Ниже показано, как установить Bitwarden на сервер под Debian 11 шаг за шагом.

Кому подойдёт эта инструкция

• Администраторам и инженерам, которые хотят разместить Bitwarden на собственном сервере.
• Организациям, желающим централизованно управлять учётными данными.

Важно: в исходном материале упоминался сервер Ubuntu 20.04; инструкция проверена для Debian 11. Если вы используете Ubuntu 20.04, большинство шагов будет одинаковым, но убедитесь, что дистрибутив корректно передаёт имя релиза через lsb_release.

Краткие требования (Prerequisites)

• Сервер с Debian 11 и доступом root или sudo.
• Открытые порты: 80 и 443 (если будете использовать Let’s Encrypt или внешний SSL).
• Действующий домен или IP-адрес для доступа к веб-интерфейсу.

Установка Docker и Docker Compose

Bitwarden официально распространяется в виде Docker-контейнеров. В репозитории Debian по умолчанию может отсутствовать самая новая версия Docker, поэтому ставим её из официального репо Docker.

1. Установите зависимости:

apt-get install apt-transport-https ca-certificates curl gnupg-agent software-properties-common

2. Добавьте GPG-ключ Docker:

curl -fsSL https://download.docker.com/linux/debian/gpg | gpg --dearmor -o /usr/share/keyrings/docker-archive-keyring.gpg

3. Подключите репозиторий Docker CE:

echo "deb [arch=amd64 signed-by=/usr/share/keyrings/docker-archive-keyring.gpg] https://download.docker.com/linux/debian $(lsb_release -cs) stable" | tee /etc/apt/sources.list.d/docker.list

4. Обновите списки пакетов и установите Docker CE:

apt-get update -y
apt-get install docker-ce docker-ce-cli containerd.io -y

5. Проверьте версию Docker:

docker --version

Пример вывода (будет другой для вашей версии):

Docker version 20.10.9, build c2ea9bc

6. Проверка статуса сервиса Docker:

systemctl status docker

Пример вывода показывает, что служба запущена и работает.

7. Установите Docker Compose (пример с конкретной версией):

wget https://github.com/docker/compose/releases/download/v2.0.1/docker-compose-linux-x86_64
mv docker-compose-linux-x86_64 /usr/bin/docker-compose
chmod 755 /usr/bin/docker-compose

Примечание: проверяйте актуальную версию docker-compose на GitHub и при необходимости заменяйте ссылку.

Получение ключа установки Bitwarden (installation key)

Перейдите на страницу хостинга Bitwarden и укажите ваш email, чтобы получить installation id и key. После отправки вы увидите идентификатор и ключ — сохраните их, они потребуются во время установки.

Загрузка и подготовка скрипта установки Bitwarden

1. Скачайте скрипт установки:

curl -Lso bitwarden.sh https://go.btwrdn.co/bw-sh

2. Сделайте скрипт исполняемым:

chmod +x bitwarden.sh

Запуск установки Bitwarden

Запустите установку:

./bitwarden.sh install

В процессе установки скрипт попросит указать домен или IP для вашего инстанса, выбор использования Let’s Encrypt, имя базы данных (обычно vault) и installation id/ключ, полученные ранее. Пример интерактивных подсказок выглядел так:

(!) Enter the domain name for your Bitwarden instance (ex. bitwarden.example.com): 69.28.84.207

(!) Do you want to use Let's Encrypt to generate a free SSL certificate? (y/n): n

(!) Enter the database name for your Bitwarden instance (ex. vault): vault

Далее скрипт попросит installation id и key:

(!) Enter your installation id (get at https://bitwarden.com/host): xxxxxxx-xxxxxx-xxxx-xxxx-xxxxxxxxxx

(!) Enter your installation key: xxxxxxxxxxx

(!) Do you have a SSL certificate to use? (y/n): n

(!) Do you want to generate a self-signed SSL certificate? (y/n): y

Если вы выбираете самоподписанный сертификат, клиенты Bitwarden будут считать его ненадёжным — придётся вручную добавить корень в хранилище доверия на каждом клиентском устройстве.

Пример выводов установки (усечённый):

Generating self signed SSL certificate.
Generating a RSA private key
.....++++
writing new private key to '/bitwarden/ssl/self/69.28.84.207/private.key'
-----

Installation complete

If you need to make additional configuration changes, you can modify
the settings in `./bwdata/config.yml` and then run:
`./bitwarden.sh rebuild` or `./bitwarden.sh update`

Next steps, run:
`./bitwarden.sh start`

Важно: после установки можно изменить параметры в ./bwdata/config.yml и выполнить ./bitwarden.sh rebuild.

Запуск и проверка сервисов

После установки запустите сервисы:

./bitwarden.sh start

Вы увидите, как докер-пулы подтягиваются и запускаются (web, api, identity, nginx и т.д.). По завершении появится сообщение “Bitwarden is up and running!” и адрес для доступа.

Пример строки для доступа:

visit https://69.28.84.207

Доступ к веб-интерфейсу и создание аккаунта

Откройте браузер и перейдите по адресу вашего сервера (https://your-server-ip или ваш домен).

Нажмите «Create Account» (Создать аккаунт), заполните email, имя и мастер-пароль и нажмите «Submit» (Отправить).

После создания аккаунта выполните вход с мастер-паролем:

Вы попадёте в хранилище (Vault):

Постустановочные проверки и ежедневная эксплуатация

• Проверьте состояние контейнеров: docker ps / docker-compose ps (в каталоге bwdata если применимо).
• Убедитесь, что порты 80/443 открыты и проксируются (при использовании nginx).
• Настройте автоматическое обновление: ./bitwarden.sh updateself && ./bitwarden.sh update.
• Организуйте регулярное резервное копирование каталога ./bwdata, особенно баз данных и SSL-ключей.

Усиление безопасности (Security hardening)

• Рекомендуется использовать действительный SSL-сертификат от Let’s Encrypt (или коммерческого CA). При выборе Let’s Encrypt убедитесь, что домен указывает на сервер и порты 80/443 доступны.
• Если используете самоподписанный сертификат, подготовьте инструкции для добавления сертификата в доверенные хранилища клиентов (Windows, macOS, Android, iOS).
• Ограничьте доступ к серверу по SSH (например, по ключам) и настройте брандмауэр (ufw или iptables) — разрешайте только необходимые порты.
• Включите двухфакторную аутентификацию (2FA) для аккаунтов администратора Bitwarden.
• Храните backup-ключи и installation key в защищённом месте (аппаратный сейф или менеджер секретов).

Альтернативные подходы и когда это не подходит

• Vaultwarden (ранее bitwarden_rs): более лёгкий и ресурсно-экономичный неофициальный сервер-реализация Bitwarden API; хорош для малых инстансов и устройств с ограниченными ресурсами. Но у него другой уровень поддержки и функционала по сравнению с официальной сборкой.
• Облачный Bitwarden (SaaS): проще в управлении — нет администрирования серверов, но данные хранятся у провайдера.

Когда официальная сборка не подходит:

• Если у вас ограничены ресурсы (например, одноплатные компьютеры) — рассмотрите Vaultwarden.
• Если организация требует сертификаты, управляемые корпоративным PKI — заранее спланируйте интеграцию.

Роль-ориентированный чеклист перед запуском в прод

Администратор:

• Проверил резервное копирование ./bwdata
• Настроил мониторинг контейнеров
• Обеспечил обновления и тестировал процедуру отката

Служба безопасности:

• Проверила SSL и политику ключей
• Установила требования по длине мастер-пароля и 2FA

Пользователи:

• Получили инструкции по созданию мастер-пароля
• Прошли инструкцию по установке клиента и доверия сертификата (если самоподписанный)

Критерии приёмки

• Веб-интерфейс доступен по HTTPS с корректным сертификатом или документированной процедурой доверия.
• Контейнеры Bitwarden запущены и работают (все ключевые сервисы: web, api, identity, nginx).
• Создан административный аккаунт и выполнён вход в Vault.
• Выполнено резервное копирование ./bwdata.

Краткая методика восстановления после сбоя

1. Остановить контейнеры: ./bitwarden.sh stop
2. Восстановить каталог ./bwdata из резервной копии (файлы конфигурации, БД, SSL).
3. Запустить: ./bitwarden.sh start
4. Проверить логи ./bitwarden.sh logs и состояние контейнеров.

Однострочный глоссарий

• bwdata — каталог, где Bitwarden хранит конфигурацию, БД и SSL; важен для бэкапов.

Когда стоит выбрать Vaultwarden

Vaultwarden подходит, если вам нужно быстрое, лёгкое решение с меньшими требованиями к ресурсам и нет строгих требований к официальной поддержке.

Заключение

Поздравляем — вы установили Bitwarden на Debian 11 и запустили сервис. Дальше рекомендуется настроить надёжный SSL (Let’s Encrypt), включить 2FA и организовать регулярные бэкапы ./bwdata. Если нужно, можно рассмотреть Vaultwarden как лёгкую альтернативу или переход на управляемый облачный сервис Bitwarden.

Важно: если появятся вопросы по конкретным шагам (ошибки docker, проблемы с SSL или migration), предоставьте логи и конфигурации для точной диагностики.