Software-update: AliasVault 0.26.2

AliasVault is een privacy-first wachtwoord- en e-mailaliasmanager van Nederlandse bodem, waarmee voor iedere website een unieke identiteit en e-mailalias aan kan worden gemaakt. De software is opensource en volledig end-to-end versleuteld. Er kan van een publieke cloud gebruik worden gemaakt en het biedt ook de mogelijkheid om het volledig zelf te hosten via Docker. Clientsoftware is beschikbaar voor Android en iOS en er zijn extensies voor de gangbaarste webbrowsers. Het wordt door Leendert de Borst ontwikkeld, die ook hier op Tweakers actief is. Versies 0.26.1 en 0.26.2 zijn verschenen en de releasenotes daarvan zien er als volgt uit:

AliasVault 0.26.2

What's Changed

This bugfix and feature release further stabilizes the major vault upgrade introduced in 0.26.0 and improves the overall mobile experience. It also includes several usability improvements, UI updates, and expanded language support.

New Features

• Add public user registration disabled checks to API endpoints and web client in #1555
• Add support to block specific unsupported client versions in server API in #1549
• Improve iOS and Android authentication flow in #1565
• Update mobile app UI for identity generator settings in #1567
• Add animations to mobile app login screen in #1569
• Add item sorting options to browser extension and mobile app in #1570
• Add Spanish, Romanian and Persian languages to identity generator in #1572

Bug Fixes

• Mobile app 0.26.0 data migrations can result in missing TOTP and Passkeys because of stripped transactions in #1577
• Android and iOS app passkey creation sometimes fails with unique constraint failed error in #1575
• Browser extension should autofill email in username field as fallback in #1551
• Add missing translations in #1554
• Sorting in web app table view does not look at full vault content in #1558
• Add explicit refresh UI state after successful vault sync in #1560
• Update Docker builds to use correct target architecture to prevent problems with arm64 in #1564

AliasVault 0.26.1

What's Changed

Bugfix release which fixes (critical) issue with vault migration in 0.26.0 that caused TOTP codes and passkeys not to be migrated correctly. Also fixes issue where older apps could throw errors after having upgraded your vault.

New Features

• Improve self-hosted install.sh early script exit so the full script properly stops in #1530
• Add docker image exists check before install or update in #1534
• Improve docker image build speed for new releases in #1532
• New Crowdin updates in #1528

Bug Fixes

• Passkeys and totp codes are not correctly migrated in 0.26.0 in #1540
• 0.25.3 and older clients return errors when trying to load 0.26.0 vault in #1536
• Make folders show in both grid and table view modes in web app in #1538

Dependencies Updates

• Bump tar from 7.5.6 to 7.5.7 in /apps/mobile-app in the npm_and_yarn group across 1 directory in #1527

Versienummer	0.26.2
Releasestatus	Final
Besturingssystemen	Linux
Website	AliasVault
Download	https://www.aliasvault.net/platforms
Licentietype	Open source/betaald

Reacties (12)

[lenwar]

Een algemene tip voor dit soort applicaties, als je die op een publieke webserver hebt draaien. Wanneer je dit achter een reverse proxy zet, zet dan een extra authenticatielaag naar het 'admin-pad' ( aliasvault.mijndomein.nl/admin/ ). Dit is een pad waar je in principe nooit bij hoeft te komen, na de installatie, maar wel een extreem krachtig deel van de applicatie is, dat effectief altijd open staat in de standaaardinstallatie, en dat eigenlijk dus niet nodig is.

Dus in nginx wordt het iets als:

location /admin {
auth_basic "Restricted Content";
auth_basic_user_file /etc/httpd/.htpasswdaliasvault; # Pad naar je .htpasswd database
proxy_pass http://127.0.0.1:2580/admin; # waar je AliasVault ook mag draaien
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_read_timeout 86400;

location /{
proxy_pass http://127.0.0.1:2580; # Waar je aliasvault ook mag draaien
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_read_timeout 86400;
}

Uiteraard puur als voorbeeld.
Je kunt er ook voor kiezen om die /admin helemaal te blokkeren (om te leiden naar iets bogus), maar dan kun je er zelf ook niet meer bij wanneer dat toch is een keer nodig blijkt.

Edit: Er lijkt op dit moment ook nog geen throttling op te zitten. Dus een scriptkiddie/malafide typje kan 'oneindig vaak' proberen in te loggen. (tijd voor een bug-report )
Edit2: Zit er wel in, maar alleen voor 'bestaande gebruikers'. Dus op die manier kan een kwaadwillende het verschil zien tussen een echte en een niet-bestaande gebruiker.

[Reactie gewijzigd door lenwar op 31 januari 2026 12:03]

[prakka]

Wat missende informatie over 0.26.0

"Dit is een van de grootste releases tot nu toe met een grote architectuur-upgrade die langverwachte functies mogelijk maakt: aangepaste velden, mappen, nieuwe itemtypes, geschiedenis bijhouden, recent verwijderde items en volledige offline vault-toegang en -bewerking met automatisch synchronisatie."

Zie ook https://www.aliasvault.ne...liasvault-0.26.0-released

Functies waar ik op aan het wachten was voor een overstap.

[Reactie gewijzigd door prakka op 31 januari 2026 08:43]

[sn33ky]

Ik gebruik nu een eigen hosted Bitwarden (Vaultwarden), Echter is deze niet extern te benaderen. is dit een waardige vervanger? of ga ik dingen missen?

[aCiDcHaOZ]

Ik denk dat het meer een netwerk configuratie dingetje is dan dat het aan de software ligt. Extern werkt hier prima.

[lenwar]

Day ligt er aan wat je nu aan bitwarden gebruikt. Ik heb dit nu experimenteel draaien (het is tenslotte één persoon die het overhoudt/maakt, en het zijn wel je wachtwoorden e.d.)

Ik vind het idee van die aliassen heel fijn. Ik heb een apart subdomein gemaakt voor dit: alias.mijndomein.nl om daar m’n mails op te ontvangen.

Het is wat mij betreft nog niet compleet. Het kan geen mails terugsturen van je alias adres, en de e-mail adressen zijn altijd gebaseerd op een voor/achternaam (van willekeurige personen) of een string van karakters. Ik had een suggestie gestuurd om bijvoorbeeld een willekeurig bijvoeglijk naamwoord een zelfstandig naamwoord te doen (GroeneBakfiets, SuperSinaasappel, Enz) maar dat wilde hij pas doen als er meer vraag naar is.

Mijn primaire idee daar achter is, is dat een e-mail adres ook vaak je gebruikersnaam is, en dan ziet een woordencombinatie er fijner uit.

maar goed. Al met al ben ik tot dusver wel enthousiast.

[S1NN3D]

Wel/niet extern te benaderen is toch een eigen keuze? Zelf heb ik er voor gekozen om alles wat ik self hosted heb niet zomaar extern benaderbaar te maken. Maar het kan wel. Daarvoor gebruik ik Tailscale.

[lenwar]

Het enige dat me een beetje tegenstaat, is dat het één persoon lijkt te zijn die er achter zit. Dat geeft natuurlijk een beperkte garantie, en het zijn wel je wachtwoorden.

De echte meerwaarde van dit product zijn de mail-aliassen per account met eigen mailboxen. Dus als je daar vol in gaat zetten, dan is het lastig om weer naar wat anders over te stappen.

[Bedge85]

Klopt, het leuke is wel dat het door een Nederlander wordt ontwikkeld, met ervaring van het langdurig draaien van de dienst https://spamok.nl/.

[lenwar]

Klopt, maar het blijft één persoon. Ik spreek uiteraard z’n intentie, kunde of toewijding niet tegen. Het is gewoon altijd een risico. Er kunnen toch situaties ontstaan waardoor het helemaal misloopt, volledig buiten diens schuld/invloed in.

Dus ik houd het heel erg in de gaten, en ik ben ook heel enthousiast, maar ik ben toch ook voorzichtig, om dit als primaire wachtwoorddatabase te gaan gebruiken.

[PaulHelper]

Ja 1 persoon is inderdaad wel taai. Zit er niet helemaal in maar als echt alles open source is zou iemand die een beetje ervaren gebruiker is en development kent dit over kunnen nemen toch? Verder stel het zou over 5 jaar stoppen dan kun je het deels blijven draaien zolang het een beetje veilig blijft, maar dat is natuurlijk niet al te lang en daarna een export maken en naar bitwarden of wat dan ook overstappen.

[lenwar]

… open source is zou iemand die een beetje ervaren gebruiker…

“Zou” is hier een hele belangrijke factor. Daar kun je in de praktijk niet op bouwen.

Deze applicatie is relatief uniek in z’n soort. Het is niet ‘slechts’ een alternatief voor Bitwarden of wat dan ook.

Als je hier vol op inzet (dus iedere site een ander mailadres, enz.), en je moet wat anders vinden is dat lastig. En dan geldt één enkele ontwikkelaar, wel echt een serieus gedoe.

Vooral door de aard van het programma. Als je nou een een of ander gimmick-appje waar, had het niet erg geweest.

En zoals ik elders schreef. Ik spreek de ontwikkelaar z’n kunde en intentie niet tegen. Maar er kan zomaar een situatie ontstaan dat die persoon ongewild ermee moet stoppen. En dat maakt het lastig/riskant.

[dommel1955]

Ga ikbestuderen, intressant