Software-update: AliasVault 0.26.1

AliasVault is een privacy-first wachtwoord- en e-mailaliasmanager van Nederlandse bodem, waarmee voor iedere website een unieke identiteit en e-mailalias aan kan worden gemaakt. De software is opensource en volledig end-to-end versleuteld. Er kan van een publieke cloud gebruik worden gemaakt en het biedt ook de mogelijkheid om het volledig zelf te hosten via Docker. Clientsoftware is beschikbaar voor Android en iOS en er zijn extensies voor de gangbaarste webbrowsers. Het wordt door Leendert de Borst ontwikkeld, die ook hier op Tweakers actief is. Versies 0.26.1 is verschenen en de releasenotes daarvan zien er als volgt uit:

What's Changed

Bugfix release which fixes (critical) issue with vault migration in 0.26.0 that caused TOTP codes and passkeys not to be migrated correctly. Also fixes issue where older apps could throw errors after having upgraded your vault.

New Features

• Improve self-hosted install.sh early script exit so the full script properly stops in #1530
• Add docker image exists check before install or update in #1534
• Improve docker image build speed for new releases in #1532
• New Crowdin updates in #1528

Bug Fixes

• Passkeys and totp codes are not correctly migrated in 0.26.0 in #1540
• 0.25.3 and older clients return errors when trying to load 0.26.0 vault in #1536
• Make folders show in both grid and table view modes in web app in #1538

Dependencies Updates

• Bump tar from 7.5.6 to 7.5.7 in /apps/mobile-app in the npm_and_yarn group across 1 directory in #1527

Versienummer	0.26.1
Releasestatus	Final
Besturingssystemen	Linux
Website	AliasVault
Download	https://www.aliasvault.net/platforms
Licentietype	Open source/betaald

Reacties (9)

[lenwar]

Een algemene tip voor dit soort applicaties, als je die op een publieke webserver hebt draaien. Wanneer je dit achter een reverse proxy zet, zet dan een extra authenticatielaag naar het 'admin-pad' ( aliasvault.mijndomein.nl/admin/ ). Dit is een pad waar je in principe nooit bij hoeft te komen, na de installatie, maar wel een extreem krachtig deel van de applicatie is, dat effectief altijd open staat in de standaaardinstallatie, en dat eigenlijk dus niet nodig is.

Dus in nginx wordt het iets als:

location /admin {
auth_basic "Restricted Content";
auth_basic_user_file /etc/httpd/.htpasswdaliasvault; # Pad naar je .htpasswd database
proxy_pass http://127.0.0.1:2580/admin; # waar je AliasVault ook mag draaien
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_read_timeout 86400;

location /{
proxy_pass http://127.0.0.1:2580; # Waar je aliasvault ook mag draaien
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_read_timeout 86400;
}

Uiteraard puur als voorbeeld.
Je kunt er ook voor kiezen om die /admin helemaal te blokkeren (om te leiden naar iets bogus), maar dan kun je er zelf ook niet meer bij wanneer dat toch is een keer nodig blijkt.

Edit: Er lijkt op dit moment ook nog geen throttling op te zitten. Dus een scriptkiddie/malafide typje kan 'oneindig vaak' proberen in te loggen. (tijd voor een bug-report )
Edit2: Zit er wel in, maar alleen voor 'bestaande gebruikers'. Dus op die manier kan een kwaadwillende het verschil zien tussen een echte en een niet-bestaande gebruiker.

[Reactie gewijzigd door lenwar op 31 januari 2026 12:03]

[prakka]

Wat missende informatie over 0.26.0

"Dit is een van de grootste releases tot nu toe met een grote architectuur-upgrade die langverwachte functies mogelijk maakt: aangepaste velden, mappen, nieuwe itemtypes, geschiedenis bijhouden, recent verwijderde items en volledige offline vault-toegang en -bewerking met automatisch synchronisatie."

Zie ook https://www.aliasvault.ne...liasvault-0.26.0-released

Functies waar ik op aan het wachten was voor een overstap.

[Reactie gewijzigd door prakka op 31 januari 2026 08:43]

[sn33ky]

Ik gebruik nu een eigen hosted Bitwarden (Vaultwarden), Echter is deze niet extern te benaderen. is dit een waardige vervanger? of ga ik dingen missen?

[aCiDcHaOZ]

Ik denk dat het meer een netwerk configuratie dingetje is dan dat het aan de software ligt. Extern werkt hier prima.

[lenwar]

Day ligt er aan wat je nu aan bitwarden gebruikt. Ik heb dit nu experimenteel draaien (het is tenslotte één persoon die het overhoudt/maakt, en het zijn wel je wachtwoorden e.d.)

Ik vind het idee van die aliassen heel fijn. Ik heb een apart subdomein gemaakt voor dit: alias.mijndomein.nl om daar m’n mails op te ontvangen.

Het is wat mij betreft nog niet compleet. Het kan geen mails terugsturen van je alias adres, en de e-mail adressen zijn altijd gebaseerd op een voor/achternaam (van willekeurige personen) of een string van karakters. Ik had een suggestie gestuurd om bijvoorbeeld een willekeurig bijvoeglijk naamwoord een zelfstandig naamwoord te doen (GroeneBakfiets, SuperSinaasappel, Enz) maar dat wilde hij pas doen als er meer vraag naar is.

Mijn primaire idee daar achter is, is dat een e-mail adres ook vaak je gebruikersnaam is, en dan ziet een woordencombinatie er fijner uit.

maar goed. Al met al ben ik tot dusver wel enthousiast.

[lenwar]

Het enige dat me een beetje tegenstaat, is dat het één persoon lijkt te zijn die er achter zit. Dat geeft natuurlijk een beperkte garantie, en het zijn wel je wachtwoorden.

De echte meerwaarde van dit product zijn de mail-aliassen per account met eigen mailboxen. Dus als je daar vol in gaat zetten, dan is het lastig om weer naar wat anders over te stappen.

[Bedge85]

Klopt, het leuke is wel dat het door een Nederlander wordt ontwikkeld, met ervaring van het langdurig draaien van de dienst https://spamok.nl/.

[lenwar]

Klopt, maar het blijft één persoon. Ik spreek uiteraard z’n intentie, kunde of toewijding niet tegen. Het is gewoon altijd een risico. Er kunnen toch situaties ontstaan waardoor het helemaal misloopt, volledig buiten diens schuld/invloed in.

Dus ik houd het heel erg in de gaten, en ik ben ook heel enthousiast, maar ik ben toch ook voorzichtig, om dit als primaire wachtwoorddatabase te gaan gebruiken.

[dommel1955]

Ga ikbestuderen, intressant