Software-update: Vaultwarden 1.35.3

Bitwarden is een wachtwoordmanager die regelmatig op Tweakers voorbijkomt. Het is opensource en heeft ook de mogelijkheid om het op een eigen server te draaien. Ontwikkelaar Daniel García heeft een onofficiële in Rust ontwikkelde implementatie van Bitwarden gemaakt, in eerste instantie onder de naam Bitwarden_rs maar sinds een paar jaar als Vaultwarden. Het gaat alleen om de serverkant van de wachtwoordmanager; voor de clients kan de officiële software van Bitwarden worden gebruikt. Vaultwarden is lichter in gebruik en heeft ook functionaliteit waarvoor bij Bitwarden moet worden betaald, waaronder functionaliteit voor het beheer van wachtwoorden op organisatieniveau. Versie 1.35.3 van Vaultwarden is uitgekomen en hier zijn de volgende veranderingen en verbeteringen in aangebracht:

Security Fixes

This release contains security fixes for the following advisory. We strongly advice to update as soon as possible if you believe it could affect you.

• GHSA-b65-g7rm-h337 (Publication in process)
  This vulnerability would allow an authenticated attacker that is part of an organization to access items from collections to which the attacker does not belong.

What's Changed

• Fix User API Key login in #6712
• use email instead of empty name for webauhn in #6733
• hide password hints via CSS in #6726
• fix email as 2fa with auth requests in #6736
• Update crates, web-vault, js, workflows in #6749
• refactor: improve tooltips in diagnostics page in #6765
• Empty AccountKeys when no private key in #6761
• fix error message for purging auth requests in #6776
• Misc updates, crates, rust, js, gha, vault in #6799
• Update crates and web-vault in #6810
• Fix org-details issue in #6811

Versienummer	1.35.3
Releasestatus	Final
Besturingssystemen	Linux
Website	Vaultwarden
Download	https://github.com/dani-garcia/vaultwarden/releases/tag/1.35.3
Licentietype	GPL

Reacties (19)

[_HugoBoss_]

Bitwarden heeft tegenwoordig ook een officiele "lite" om in docker te draaien, specifiek voor non-business usecases (homelabs/personal); https://bitwarden.com/help/install-and-deploy-lite/
In verband met compatibiliteit met de officiele Bitwarden client zegt mijn gevoel dat het beter is om dit officiele backend te gebruiken.
Zijn er mensen die de twee naast elkaar hebben gebruikt en ervaringen kunnen delen?

[The Zep Man]

In verband met compatibiliteit met de officiele Bitwarden client zegt mijn gevoel dat het beter is om dit officiele backend te gebruiken.

Degene achter Vaultwarden werkt bij Bitwarden. Compatibiliteit zou ik mij niet snel zorgen over maken. Verder is de Bitwarden client zo geforkt als besloten wordt om bewust compatibiliteit met Vaultwarden te breken of men gaat morrelen met de licentie.

[Rayzilt]

Voor compatibiliteit maak ik mij ook geen zorgen, toch bestaat er een kans dat je Bitwarden Client tijdelijk niet kan verbinden met Vaultwarden mocht er een wijziging zijn welke geen backwards compatibiliteit heeft.

Dat betekend dat je moet wachten totdat Vaultwarden een update heeft.

Dit staat ook vermeld op de Github van Vaultwarden: https://github.com/dani-garcia/vaultwarden/wiki/Which-container-image-to-use#image-updates

Occasionally, the upstream Bitwarden project (i.e., Bitwarden Inc.) makes backward-incompatible changes to the clients that require matching changes to the server implementation. Vaultwarden generally pushes out a new release promptly to handle these changes.

However, since upstream controls the release of the clients, and mobile apps and browser extensions typically auto-update on their own, it's important for Vaultwarden users to keep up-to-date with the latest Vaultwarden release. Otherwise, incompatible client and server versions can lead to sudden breakage or misbehavior.

The web vault is the only exception; as it's bundled with the Vaultwarden image, the web vault version is always properly matched to the Vaultwarden server version. If you only use the web vault as the client (unlikely), then you don't need to worry about these compatibility issues.

[The Zep Man]

Voor compatibiliteit maak ik mij ook geen zorgen, toch bestaat er een kans dat je Bitwarden Client tijdelijk niet kan verbinden met Vaultwarden mocht er een wijziging zijn welke geen backwards compatibiliteit heeft.

Dat betekend dat je moet wachten totdat Vaultwarden een update heeft.

Of ik ga terug naar een oudere client, of gebruik tijdelijk enkel de web vault.

[Reactie gewijzigd door The Zep Man op 11 februari 2026 10:49]

[zenlord]

Heb zelf een (trial) Vaultwarden lopen in een rootless podman omgeving, maar ben nog niet vol overgegaan op VW/BW uit tijdsgebrek. Was niet op de hoogte van een officiële 'lite' variant voor BitWarden, en dus ben ik er even in gedoken. Op basis van online bronnen leerde ik dat:

1. 'lite' eerder slaat op 'eenvoud', en niet zozeer op 'lichtgewicht': ik las dat VW 50MB nodig heeft, daar waar BW Lite 200MB nodig heeft (en als je MSSQL zou kiezen als database, dan komt er 1000GB bij).
2. BW Lite geeft je het voordeel dat je een officiële server draait, maar de auteur van VW werkt sinds enige tijd bij Bitwarden, en Vaultwarden zou zelf ook al geauditeerd zijn
3. Met BW Lite kan je je abonneren op de premium services van Bitwarden (wat dacht ik niet mogelijk is met VW, maar sommige betalende features zitten standaard in VW ingebakken)

Waar ik niets over gevonden heb, is Passkeys support en Secrets support - beiden zijn ongetwijfeld aanwezig in BW en BW Lite, maar als ik mij niet vergis ontbreekt VW vooralsnog Secrets support (Passkeys support was denk ik enkele maanden geleden toegevoegd).

[endus]

Het enige merkbare verschil is dat de self hosted versies (en dus ook de lite) toch nog wat premium features betaald aanbieden. Deze zijn in Vaultwarden gewoon allemaal gratis.

Voor onderstaande functies moet je sowieso upgraden naar Bitwarden Premium
Vandaar dat ze ook met een install ID werken.
- Exposed passwords
- Reused passwords
- Weak passwords
- Unsecure websites
- Inactive two-step login

Vooral dat laatste zou voor mij de doorslag geven.
Tenzij je de wachtwoord manager niet met een hardwaresleutel wilt beveiligen natuurlijk, maar dat lijkt me een onverstandige beslissing. Dus voor het gebruik van een simpele authenticator of een YubiKey moet je bij Bitwarden dus gewoon nog altijd de portemonnee trekken.

[Reactie gewijzigd door endus op 11 februari 2026 13:46]

[Raziel]

Vaultwarden heeft gewoon 2FA hoor. Heb het zelf icm Microsoft Authenticator en passkey authentication.

[endus]

Je hebt gelijk, het gaat effectief om hardwaresleutels.

[dvdmeer]

Ik gebruik gewoon een Yubikey voor 2FA icm een self hosted Vaultwarden op mijn Synology NAS. Dus dat is gewoon supported, zonder dat ik er voor hoef te betalen.

[endus]

Misschien moet je het dan toch nog eens lezen, want dat is namelijk precies wat ik zeg.

[Yariva]

Na het lezen van een update op Vaultwarden begint het toch weer te kriebelen om zoiets zelf op te zetten. Zo voorkom je dat je niet onder de grote groep gebruikers valt op een centraal platform wat je attack surface nogal vergroot.

Toch draai ik wel bij hun. Het risico dat ik mijn eigen backups en bereikbaarheid niet goed op orde heb acht ik groter bij mij persoonlijk dan bij Bitwarden. Daarnaast ben je erg ver van huis in het geval van een DR situatie waarbij ook je wachtwoorden weg zijn gezien de onderliggende host waarop Vaultwarden op draait stuk is. Kip - ei verhaal. En ja, ik weet dat de clients de wachtwoorden cachen. Alsnog vind ik het een "eng" idee, al helemaal gezien ik niet de enige ben in het huishouden die Bitwarden gebruikt.

Dan is een personal of family abonnement voor mij de moeite waard voor dit stukje uitstekende software.

[Bose321]

Tja, backups opzetten zijn ook niet zo lastig. Er zijn genoeg opties voor (Gratis) backups, ook offsite. Ik draai het al jaren naar tevredenheid voor mijn hele familie zo ongeveer. Ook met downtime geen probleem omdat de clients dan gewoon nog functioneel zijn. Dus mocht er een server stuk gaan heb je geen bloedspoed om het te recoveren. Gewoon simpele rsync voor files en een mysql data dump en je bent klaar al in de meest simpele vorm.

[Yariva]

Dat een back-up an-sich niet moeilijk is ben ik met je eens. Welke operationele overhead er vervolgens achter zit welke ik in de gaten wil houden is een 2de. Een enkele backup is niet vaak afdoende, al helemaal niet voor belangrijke data zoals deze. Dus wil je kijken naar bijv. 3-2-1.

Vervolgens wil je validatie dat de backup om de x tijd goed heeft gedraaid. Kortom een stukje monitoring. Ook wil je niet dat oude backups te lang ergens blijven hangen, weer wat extra werk om dat goed in te richten. Dan komt het stukje recovery wat je om de x tijd moet testen.

Dit alles terwijl je vrouw gewoon zonder poespas haar wachtwoorden wil kunnen inzien en hulp wil hebben wanneer de droger weer in de error schiet. Je begrijpt mijn punt denk ik, er komt extra werk bij kijken

[Bose321]

Absoluut. Je kan heel makkelijk met een bash scriptje gewoon zorgen dat je x backups bewaard. En als je deze om de zoveel tijd (en uiteraard de eerste paar keer) test is het verder niet zo spannend. Het is een simpele MySQL dump waarvan je de status ook kan terugzien. Maargoed je moet je afvragen inderdaad of je dat de moeite waard vindt. Ik heb het recoveren zelf een keer moeten doen, en het was letterlijk een paar minuten werk.

[jcbvm]

Ik zou zeggen kijk een keer naar restic, daarmee is backuppen kinderspel en die tool zorgt zelf voor versioning

[d-vine]

Vraagje uit interesse
Hoe heb je precies jou back-ups (strategie) geregeld?

[Raziel]

Al zou je self-hosted Bitwarden / Vaultwarden omvallen en je hebt goede geen backup geregeld: al je wachtwoorden staan ook gecached in je Bitwarden app. Je kan altijd vanuit daar een export maken en het opnieuw opbouwen. Toegegeven, als je 10 users hebt is dat vervelend, maar het kan wel.

[MotorLum]

Heeft iemand van Tweakers met versleutelingskennis de source code bekeken of het inderdaad veilig is? Zonder achterdochtig over te komen, ik heb het idee dat wanneer source code op github wordt geplaatst de algemene concensus is dat de source code dan wel veilig zal zijn.
Is er toch niet een backdoor in de kluis waardoor al je passwords met de juiste kennis van de source code alsnog te achterhalen is door iemand met kennis van zaken en kwade bedoelingen? Ik ben een volkomen leek wat betreft versleutelingstechnieken e.d. en benieuwd of anderen kritisch in source code duiken alvorens het te gebruiken?

[jcbvm]

Als je het over vaultwarden hebt, het is onmogelijk dat een backdoor daar nuttig is, de client apps van bitwarden zelf versleutelen alles lokaal en sturen het dan pas naar de server (in dit geval dus vaultwarden). De server krijgt dus altijd alleen maar encrypted data te zien.

Hiermee wil ik niet zeggen dat een backdoor niet gevaarlijk is, maar het risico dat je data plain lekt is praktisch nihil.