Свой менеджер паролей на своём сервере: Vaultwarden, Bitwarden или Passbolt

Семье и небольшой команде — Vaultwarden: бесплатный сервер под лицензией AGPL-3.0, работает с официальными приложениями Bitwarden и ставится одним контейнером Docker. Официальный Bitwarden на своём сервере бесплатен только для личных хранилищ: общие пароли организации туда переносят лишь на планах Families — 3,99 $ в месяц на шестерых при оплате за год — и Enterprise — 6 $ за пользователя в месяц при оплате за год. Passbolt Community бесплатен без предела пользователей и сделан для команд, но работает только через расширение браузера. Сервер — от 2 ГБ памяти, например AdminVPS Promo за 499 ₽/мес при оплате за месяц.

Сравнение по тому, что можно проверить в документации и на страницах цен разработчиков (прочитано 5 октября 2026 года).

• Что это — Vaultwarden: неофициальный сервер на Rust, совместимый с приложениями Bitwarden, Bitwarden на своём сервере: официальный сервер Bitwarden, Passbolt Community: открытый менеджер паролей для команд
• Лицензия и цена — Vaultwarden: AGPL-3.0, бесплатно, Bitwarden на своём сервере: личное хранилище бесплатно; организация — Families 3,99 $/мес на 6 человек или Enterprise 6 $ за пользователя в месяц, оба при оплате за год, Passbolt Community: AGPLv3, бесплатно без предела пользователей; Pro — 4,9 $ за пользователя в месяц при оплате за год, от 10 пользователей
• Сервер по документации — Vaultwarden: минимум не назван: разработчики противопоставляют его «ресурсоёмкому» официальному, Bitwarden на своём сервере: минимум 2 ГБ памяти и 12 ГБ диска, рекомендуется 4 ГБ и 25 ГБ, Passbolt Community: 2 ГБ памяти, чистый Debian 13
• База — Vaultwarden: SQLite по умолчанию, Bitwarden на своём сервере: MSSQL Express с пределом 10 ГБ, Passbolt Community: MariaDB по умолчанию
• Приложения — Vaultwarden: официальные приложения и расширения Bitwarden, Bitwarden на своём сервере: официальные приложения и расширения Bitwarden, Passbolt Community: обязательно расширение браузера Passbolt
• Установка — Vaultwarden: один контейнер Docker, Bitwarden на своём сервере: скрипт bitwarden.sh, нужен installation id с сайта Bitwarden, Passbolt Community: пакет passbolt-ce-server из репозитория разработчика

Есть ещё Bitwarden Lite — официальный сервер одним образом Docker, с SQLite или PostgreSQL и поддержкой ARM. Bitwarden прямо пишет, что Lite предназначен для личного использования и домашних лабораторий, а не для работы компании.

Семья или команда до двадцати человек без требований к поддержке — Vaultwarden. Общие коллекции, группы, двухфакторный вход и аварийный доступ в нём есть бесплатно. Приложения те же, что у Bitwarden: в настройках входа указывают адрес своего сервера. Но это неофициальный проект: об ошибках пишут его разработчикам, а не в поддержку Bitwarden — так требует сам README.

Нужен именно официальный Bitwarden на своём сервере. Для одного человека — бесплатно. Для семьи — план Families, для компании — только Enterprise: справка Bitwarden говорит, что на свой сервер переносятся лишь организации Families и Enterprise. План Teams за 4 $ на своём сервере не работает.

Компания с учётными записями в Active Directory или OpenLDAP — Passbolt. Пользователей и группы он берёт из каталога в версии Pro, обмен паролями внутри команды есть и в бесплатной Community. Хранилище открывается только через расширение браузера Passbolt.

Нужны сервер с Docker, домен и HTTPS. Веб-хранилище Vaultwarden без HTTPS не работает: браузер не даёт криптографическое API странице без защищённого соединения. Поэтому контейнер слушает только локальный порт, а наружу его отдаёт Nginx с сертификатом.

Скачайте образ и запустите контейнер — команда из README проекта, домен замените своим:

docker pull vaultwarden/server:latest
docker run --detach --name vaultwarden \
  --env DOMAIN="https://vw.example.ru" \
  --volume /vw-data/:/data/ \
  --restart unless-stopped \
  --publish 127.0.0.1:8000:80 \
  vaultwarden/server:latest

Все данные лягут в /vw-data/ на сервере. Дальше настройте Nginx как обратный прокси на 127.0.0.1:8000 — по шагам в руководстве по Nginx — и выпустите сертификат Let's Encrypt.

Зарегистрируйте свою учётную запись и учётные записи семьи, затем закройте регистрацию: по умолчанию она открыта всем, кто знает адрес. Удалите контейнер командой docker rm -f vaultwarden и запустите тот же docker run, добавив строку --env SIGNUPS_ALLOWED=false: данные в /vw-data/ сохранятся. Приглашения в организацию при этом продолжат работать, за них отвечает INVITATIONS_ALLOWED.

Сначала получите installation id и ключ на bitwarden.com/host — без них установщик не запустится. Сервер — 64-битный, от 2 ГБ памяти, с Docker Engine 26 или новее. Скачайте скрипт и запустите установку:

curl -Lso bitwarden.sh "https://func.bitwarden.com/api/dl/?app=self-host&platform=linux" && chmod 700 bitwarden.sh
./bitwarden.sh install

Установщик спросит домен, предложит выпустить сертификат Let's Encrypt и попросит installation id и ключ. Почтовый сервер для приглашений и подтверждений настраивается в ./bwdata/env/global.override.env. База по умолчанию — MSSQL Express, и Bitwarden предупреждает о её пределе в 10 ГБ.

Платные функции организации включаются файлом лицензии: организацию создают в облаке Bitwarden, а файл лицензии загружают на свой сервер.

Passbolt ставят на чистый сервер: документация предупреждает, что скрипты установки могут повредить данные, если на сервере уже что-то есть. Нужны Debian 13, 2 ГБ памяти, домен, рабочий SMTP для писем и служба точного времени — без неё ломается вход по ключам GPG.

Скачайте скрипт репозитория и проверьте его контрольную сумму, затем поставьте пакет:

curl -LO https://download.passbolt.com/ce/installer/passbolt-repo-setup.ce.sh
curl -LO https://github.com/passbolt/passbolt-dep-scripts/releases/latest/download/passbolt-ce-SHA512SUM.txt
sha512sum -c passbolt-ce-SHA512SUM.txt && sudo bash ./passbolt-repo-setup.ce.sh || echo "Bad checksum. Aborting" && rm -f passbolt-repo-setup.ce.sh
sudo apt install passbolt-ce-server

Пакет поставит MariaDB и предложит настроить Nginx с HTTPS, дальше мастер в браузере попросит ключ GPG сервера и данные почты. Каждому сотруднику нужно расширение Passbolt для браузера — без него хранилище не откроется.

AdminVPS — в маркетплейсе есть страницы Bitwarden и Passbolt, но Bitwarden там ставится вручную: на странице сказано, что установка проходит в ручном режиме, и названа Ubuntu 22.04. Для Vaultwarden или Passbolt хватит Promo — 1 ядро 3,6 ГГц, 2 ГБ памяти, 30 ГБ NVMe и бесплатные копии сервера за 499 ₽/мес при оплате за месяц. Официальному Bitwarden с рекомендуемыми 4 ГБ подойдёт Micro за 899 ₽/мес при оплате за месяц.

Timeweb Cloud — в маркетплейсе есть готовый образ Bitwarden (57 установок на 5 октября 2026 года) и образ Docker, на который Vaultwarden ставится одной командой. Сервер Cloud MSK 40 — 2 ядра, 2 ГБ памяти, 40 ГБ NVMe — стоит 1 000 ₽/мес при оплате за месяц или 900 ₽/мес при оплате за 12 месяцев; Cloud MSK 50 с 4 ГБ — 1 200 ₽/мес при оплате за месяц.

Открытая регистрация в Vaultwarden. SIGNUPS_ALLOWED по умолчанию включён: пока его не выключили, создать учётную запись на вашем сервере может любой. Закройте регистрацию сразу после того, как заведёте свои.

Нет HTTPS. Веб-хранилище Vaultwarden по обычному http не откроется вовсе. Официальный Bitwarden по http запустится, но его документация разрешает так только пробу, для работы — HTTPS. Passbolt настраивает HTTPS при установке пакета. Сначала сертификат, потом пароли.

Копии делаются копированием файла базы на ходу. Для Vaultwarden разработчики советуют снимать базу командой .backup утилиты sqlite3, а не копировать db.sqlite3, пока сервер работает. Кроме базы нужны папки attachments и sends, ключи rsa_key и config.json. В образе Docker утилиты sqlite3 нет — её ставят на сам сервер.

sqlite3 /vw-data/db.sqlite3 ".backup '/backup/db-$(date '+%Y%m%d-%H%M').sqlite3'"

Сервер не обновляется. У Vaultwarden с 2025 года опубликовано 29 бюллетеней безопасности, из них 10 высокой важности — обход защиты от подбора пароля, удаление хранилища организации неподтверждённым владельцем, подмена входа через SSO. Последние закрыты к версии 1.37.0, текущая — 1.37.3. Обновляйте образ хотя бы раз в месяц: docker pull и пересоздание контейнера.

Bitwarden Teams на своём сервере. Купить Teams и перенести организацию на свой сервер нельзя — только Families или Enterprise. Если бюджет считали по 4 $ за человека, на своём сервере выйдет 6 $.

Passbolt без точного времени. Документация называет службу NTP обязательной: при расхождении часов ломается вход по ключам GPG.

Сам сервер и SSH защищайте так же, как любой VPS, — по шагам в чек-листе защиты VPS.

Сложите сервер и лицензию.

• Vaultwarden на AdminVPS Promo: 499 ₽/мес при оплате за месяц, лицензия 0 ₽.
• Passbolt Community на Timeweb Cloud MSK 40: 1 000 ₽/мес при оплате за месяц или 900 ₽/мес при оплате за 12 месяцев, лицензия 0 ₽.
• Официальный Bitwarden для семьи: сервер AdminVPS Micro 899 ₽/мес при оплате за месяц плюс Families 47,88 $ за год на шестерых.
• Официальный Bitwarden для команды из 20 человек: сервер плюс Enterprise 6 $ за пользователя в месяц при оплате за год — 1 440 $ в год.

Что ещё можно поставить на тот же сервер — в обзоре self-hosted приложений.

• Семье и небольшой команде — Vaultwarden: бесплатно, приложения Bitwarden, один контейнер.
• Официальный Bitwarden на своём сервере для команды — только Enterprise, 6 $ за пользователя в месяц при оплате за год.
• Компании с Active Directory — Passbolt; без расширения браузера он не работает.
• Сначала HTTPS, потом пароли; регистрацию Vaultwarden закройте сразу; копии — командой sqlite3 .backup.