Vaultwarden: Self-Host do Bitwarden em Rust Gratis

O Vaultwarden é um servidor de cofre de senhas gratuito e de código aberto, escrito em Rust, totalmente compatível com os aplicativos e extensões oficiais do Bitwarden. Ele funciona em um único contêiner Docker com consumo mínimo de recursos, permitindo autohospedagem em infraestruturas modestas como VPS pequenas ou Raspberry Pi. Diferentemente do Bitwarden oficial, que requer múltiplos contêineres e maior consumo de RAM, o Vaultwarden reescreve o servidor inteiro em um único binário mantendo compatibilidade total de protocolo. O projeto oferece sem custo recursos que o Bitwarden cobra, incluindo organizações ilimitadas, anexos, autenticação em dois fatores por TOTP e Bitwarden Send. Mantido pela comunidade, o Vaultwarden (antigo bitwarden_rs) representa a solução mais leve, barata e madura para hospedar um gerenciador de senhas próprio, eliminando a necessidade de expertise técnica avançada para sua instalação e manutenção.

Atualizado em 05/06/2026

Hospedar o próprio cofre de senhas deixou de ser tarefa de especialista. O Vaultwarden (antigo bitwarden_rs) é hoje a forma mais leve, barata e madura de ter um servidor compatível com o Bitwarden rodando sob o seu controle. Este guia mostra, passo a passo e com dados reais, como instalar, proteger e manter o Vaultwarden — e, com igual honestidade, quando você não deveria se autohospedar.

O que é o Vaultwarden e por que ele existe?

O Bitwarden oficial é open source, mas o servidor original é pesado: são vários contêineres (API, identidade, ícones, SQL Server, admin) que pedem 2 GB de RAM ou mais. O Vaultwarden reescreve esse servidor inteiro em Rust, num único binário, mantendo total compatibilidade de protocolo com os clientes oficiais do Bitwarden: extensão de navegador, app de celular, app desktop e CLI. Você usa o mesmo aplicativo que usaria com o serviço pago — só muda a URL do servidor para o seu domínio.

O projeto é mantido pela comunidade, tem dezenas de milhares de estrelas no GitHub e lançamentos frequentes. Importante deixar claro para fins de confiança (E-E-A-T): o Vaultwarden não é um produto oficial da Bitwarden Inc., e a recomendação dos próprios mantenedores é usá-lo em ambientes pessoais, familiares ou de equipes pequenas — não como substituto corporativo de larga escala do Bitwarden licenciado.

Vaultwarden vale a pena? Comparativo honesto

Antes de instalar qualquer coisa, vale entender o que você ganha e o que abre mão em relação ao Bitwarden hospedado na nuvem da empresa. A tabela abaixo usa valores de referência do plano gratuito e do Premium do Bitwarden em 2026.

Repare no detalhe que muita gente esquece: no Vaultwarden o custo financeiro pode ser zero (rodando em uma máquina que você já tem), mas o custo de responsabilidade nunca é zero — backup, atualização e exposição segura passam a ser problema seu. Esse é o trade-off central da autohospedagem.

Quais os requisitos para rodar o Vaultwarden?

É surpreendentemente leve. O contêiner ocioso fica em torno de 50–80 MB de RAM e o uso de CPU é desprezível para uso pessoal ou familiar. Na prática você precisa de:

• Uma máquina sempre ligada: uma VPS básica (1 vCPU, 1 GB RAM), um mini-PC, um NAS ou um Raspberry Pi 3/4 dão conta com folga.
• Docker e Docker Compose instalados (a forma recomendada e oficial de instalação).
• Um domínio ou subdomínio apontando para o servidor — necessário para HTTPS, que é obrigatório: os apps do Bitwarden recusam servidor sem TLS válido.
• Um proxy reverso com HTTPS (Caddy, Nginx Proxy Manager ou Traefik) para obter o certificado Let’s Encrypt automaticamente.

Como instalar o Vaultwarden com Docker (passo a passo)

1. Subir o contêiner

Com Docker já instalado, o caminho mais simples é um docker-compose.yml com o serviço apontando para a imagem oficial vaultwarden/server:latest, um volume persistente em ./vw-data (onde ficam o banco SQLite e os anexos), a porta interna 80 e duas variáveis de ambiente essenciais: DOMAIN com a URL pública (ex.: https://cofre.seudominio.com) e SIGNUPS_ALLOWED. Suba com docker compose up -d e em segundos o servidor estará no ar internamente.

2. Colocar HTTPS na frente

Nunca exponha o Vaultwarden direto na porta 80. Coloque um proxy reverso. O Caddy é o mais indolor: duas linhas de configuração e ele já emite e renova o certificado Let’s Encrypt sozinho. Quem já usa um painel pode preferir o Nginx Proxy Manager pela interface gráfica. O resultado tem de ser: o cofre acessível só por https://, com cadeado válido.

3. Criar a conta e fechar o cadastro

Acesse a URL, crie sua conta (e a da família, se for o caso) e, imediatamente depois, defina SIGNUPS_ALLOWED=false e reinicie o contêiner. Esse é o erro número um de quem se autohospeda: deixar o cadastro aberto na internet, permitindo que qualquer pessoa crie conta no seu servidor.

4. Ativar o painel de administração

Defina a variável ADMIN_TOKEN com um valor longo e aleatório (de preferência o hash Argon2 gerado pelo próprio Vaultwarden). Isso libera /admin, onde você gerencia usuários, vê diagnósticos e ajusta configurações sem editar arquivos.

Como deixar o Vaultwarden seguro de verdade

Um cofre de senhas exposto sem cuidado é pior do que não ter cofre. Boas práticas mínimas, em ordem de prioridade:

• HTTPS sempre, com certificado válido e renovação automática.
• Cadastro fechado após criar as contas necessárias.
• ADMIN_TOKEN forte (hash Argon2) ou painel admin desativado se você não precisa dele.
• Senha-mestra longa e 2FA habilitado na sua própria conta — o Vaultwarden suporta TOTP, e-mail e chaves de segurança.
• Backup automático da pasta vw-data (banco + anexos + chaves rsa_key). Sem a chave RSA o backup não restaura.
• Atualizações regulares da imagem (docker compose pull + up -d); o projeto corrige falhas com frequência.
• Opcional, mas excelente: deixar o cofre acessível só dentro de uma VPN. Se você já mantém um túnel próprio, integrar o Vaultwarden a ele elimina a exposição pública por completo — veja nosso tutorial de VPN self-host com WireGuard.

Backup e restauração: a parte que ninguém pode pular

No Vaultwarden tudo que importa vive numa única pasta. Um backup correto inclui o arquivo db.sqlite3, a subpasta attachments, a pasta sends e — crucial — os arquivos rsa_key.*. Um cron diário compactando essa pasta e enviando para um armazenamento externo (outra máquina, um bucket, um drive criptografado) resolve. Teste a restauração pelo menos uma vez: backup que nunca foi restaurado é só uma esperança. Se você ainda não tem destino externo, vale combinar com uma solução de nuvem própria como o Nextcloud self-host.

Quando NÃO usar o Vaultwarden (limitações honestas)

Autohospedar não é para todo mundo, e fingir que é seria desonesto:

• Você não quer manter servidor. Se atualizar imagem Docker e cuidar de backup soa como fardo, o plano gratuito do Bitwarden na nuvem é mais seguro para você na prática — uma equipe profissional cuida da infraestrutura.
• Empresa de médio/grande porte. Os mantenedores explicitamente não recomendam o Vaultwarden para uso corporativo de larga escala; nesse cenário o Bitwarden licenciado tem suporte e SLA.
• Sem disciplina de backup. Perder a pasta de dados sem cópia significa perder todas as senhas. É um ponto único de falha que exige rotina.
• Conexão doméstica instável. Hospedar em casa numa internet que cai derruba o acesso ao cofre no pior momento — preferir VPS nesse caso.

Se você só quer um gerenciador de senhas confiável e gratuito sem manter nada, a recomendação honesta é usar o cliente oficial apontando para a nuvem do Bitwarden — explicamos as diferenças no nosso guia do Bitwarden open source.

Perguntas frequentes sobre o Vaultwarden

Veredicto

O Vaultwarden é a melhor porta de entrada para autohospedar senhas: leve, gratuito, compatível com todo o ecossistema do Bitwarden e maduro o bastante para uso real no dia a dia. Ele é a escolha certa se você quer controle dos dados, economiza o Premium e está disposto a assumir backup e atualização. Se essa responsabilidade não cabe na sua rotina, seja honesto consigo mesmo e fique na nuvem oficial do Bitwarden — ter um cofre confiável que você realmente mantém vale mais do que um servidor próprio abandonado.

Este conteúdo é informativo. Baixe softwares sempre das fontes oficiais do projeto.

Você também vai gostar

Leitores RSS e Agregadores Offline: Guia Completo 2026

Softwares de Animação 2D Gratuitos: Alternativas ao Toon Boom

Gerenciadores de Senhas Open Source: Bitwarden vs KeePass em 2026

Ferramentas de Transcodificação de Vídeo Gratuitas para Windows em 2026