Software-update: Vaultwarden 1.35.2

Bitwarden is een wachtwoordmanager die regelmatig op Tweakers voorbijkomt. Het is opensource en heeft ook de mogelijkheid om het op een eigen server te draaien. Ontwikkelaar Daniel García heeft een onofficiële in Rust ontwikkelde implementatie van Bitwarden gemaakt, in eerste instantie onder de naam Bitwarden_rs maar sinds een paar jaar als Vaultwarden. Het gaat alleen om de serverkant van de wachtwoordmanager; voor de clients kan de officiële software van Bitwarden worden gebruikt. Vaultwarden is lichter in gebruik en heeft ook functionaliteit waarvoor bij Bitwarden moet worden betaald, waaronder functionaliteit voor het beheer van wachtwoorden op organisatieniveau. Versie 1.35.2 van Vaultwarden is uitgekomen en hier zijn de volgende veranderingen en verbeteringen in aangebracht:

Notable changes

Fixed an issue with the web-vault which prevent creating an organization.

What's Changed

• update web-vault to fix org creation in #6646
• return no content with status code 204 in #6665
• allow MasterPasswordHash for Android in #6673
• improve sso callback path in #6676
• Fix web-vault version check and update web-vault in #6686

Versienummer	1.35.2
Releasestatus	Final
Besturingssystemen	Linux
Website	Vaultwarden
Download	https://github.com/dani-garcia/vaultwarden/releases/tag/1.35.2
Licentietype	GPL

Reacties (12)

[Recursio]

Hoe weet je bij zoiets nou wanneer dit veilig is om te gebruiken?

Links als https://github.com/dani-garcia/vaultwarden/blob/main/SECURITY.md stellen me niet gerust.

[Gurd]

Hoe weet je uberhaubt dat iets veilig is om te gebruiken? Wel een beetje vreemd dat duidelijke instructies hoe je ze kan bereiken als je iets ontdekt je niet gerust stelt dat als er problemen zijn ze snel worden opgelost. Sowieso moet je expliciet de admin omgeving aanzetten via een docker env waarde wat je eigenlijk alleen maar tijdens installatie (hoort te doen).

Persoonlijk draai ik het al zoveel jaar dat ik je niet eens kan vertellen hoe lang, hoef er nooit maar om te kijken want m'n docker wordt automatisch geupdate. Twee factor staat aan, admin omgeving staat uit.

Enige wat ik zie zijn sporadisch pogingen om in te loggen, maar al zouden ze per toeval mijn e-mail en wachtwoord raden moeten ze ook nog om de twee factor heen.

[spaceboy]

Je ziet inlogpogingen? Heb je dit naar het internet exposed dan? (en waarom?)

[Gurd]

Ja natuurlijk, het is self-hosted maar ik draai het niet lokaal op m'n server. Het wordt namelijk niet alleen door mij of m'n gezin gebruikt maar ook door vrienden en collegas.

Wat ook weer heel mooi werkt want al zou ik het willen kan ik met geen mogelijkheid bij hun gegevens, versleuteling is gekoppeld aan hun wachtwoord. Als ze hun wachtwoord vergeten hebben ze dikke pech. Is al eens gebeurd, enige wat ik kan doen is account resetten maar dan zijn ze alles kwijt wat erin stond.

Zoals ik al zei, het heeft zich voor mij echt bewezen over de jaren.

[spaceboy]

Ah, zo. Ik vind het niet "heel natuurlijk", maar goed, dat is maar net hoe je het bekijkt. Ik heb het al een tijdje gewoon op m'n NAS en heb buiten de deur alleen via VPN indien nodig toegang. Maar als je het inderdaad voor de hele familie en vriendengroep host is het een ander verhaal. Of dat "natuurlijk" is, bepaal je zelf. ;-)

[Gurd]

Ja je hebt gelijk dat het woord "normaal" hierbij in meerdere opzichten discutabel is. ;-)
Als het alleen voor mezelf was zou ik het net als jou doen, gewoon met de rest via de vpn.
Maar ik heb nu niet meer Tante 'Trien' aan de lijn qua wat ook al weer het wachtwoord is van dementie.nl. :)

[houwimmie]

elke software developer die zichzelf, en zijn software, serieus neemt heeft toch zulke pagina?

[Proxi]

Tja, hoe weet je dat überhaupt bij software. Er zijn genoeg beveiligingslekken in allerlei producten, waaronder publieke password managers. Ga na (net zoals bij elke andere self-hosted oplossing) of je jezelf voldoende vertrouwt het veilig genoeg te hosten.

Daarnaast heeft de Duitse overheid een audit gedaan van Vaultwarden (https://www.security.nl/posting/862099/Duitse+overheid+publiceert+audit+Bitwarden-browserextensie+en+Vaultwarden) en worden CVE's zover ik weet snel opgelost.

[Reactie gewijzigd door Proxi op 10 januari 2026 22:41]

[nullbyte]

Selfhosted is een stuk veiliger dan een online passwd manager als "lastpass" die al meerdere data breaches heeft gehad. https://www.bleepingcompu...-to-2022-lastpass-breach/

stellen me niet gerust

Elke applicatie bevat 0 day bugs die uitgebuit kunnen worden door kwaadwillenden. Een contact voor mensen met een witte hoed op is voor mij juist geruststellend. Daarbij, dit is open source, net als Alias Vault wat een zelfde soort product is maar dan van Nederlandse bodem.


Natuurlijk moet over de beveiliging verbinding naar de backend nagedacht worden. Http over het internet naar je self hosted app is niet ideaal.

Sowieso is deze in Rust geschreven, wat de kans op geheugen gerelateerde expoits enorm reduceert.

[Reactie gewijzigd door nullbyte op 11 januari 2026 08:46]

[DruppelLader]

Ik host hem zelf, al ruim een jaar en dik tevreden.

Ik had ook mijn twijfels, en het dat is logisch. Daarom heb ik de keuze gemaakt om het in apart VLAN te zetten, en echt dicht getimmerd aan alle kanten. Vast overbodig, maar wel fijn.

Ik heb het afgelopen jaar geen bijzonderheden gezien in verkeer naar buiten/binnen of tussen vlans.

Maar geen garantie natuurlijk.

Toch heb ik wel twee plekken waar ik alles neerzet hoor.

[Reactie gewijzigd door DruppelLader op 11 januari 2026 10:08]

[BlackDex]

Als een van de main developers van Vaultwarden kan ik aangeven dat iedereen natuurlijk probeert code te schrijven zonder security issues, maar ik denk dat je er 0 kan noemen waar niet ooit een security issue op geweest is hoe klein dan ook.

Er zijn ook al diverse audits geweest op Vaultwarden, en dit is allemaal opgelost. Dat Vaultwarden in Rust is geschreven betekent niet dat er geen security issues kunnen zijn, ook wij developers maken wel eens foutjes.

Zo'n pagina/readme helpt ons mogelijke security issues goed te stroomlijnen zonder dat dit meteen openbaar wordt gemaakt. En ik vind het ook niet meer dan normaal dat een tool als Vaultwarden zo'n pagina heeft.

[gewoontelefoon]

En iedereen doet een 3-2-1 backup? Als er een HDD chrash is of diefstal of fik wat dan? Alles is weg als je dat niet goed doet.