Software-update: Vaultwarden 1.35.8

Bitwarden is een wachtwoordmanager die regelmatig op Tweakers voorbijkomt. Het is opensource en heeft ook de mogelijkheid om het op een eigen server te draaien. Ontwikkelaar Daniel García heeft een onofficiële in Rust ontwikkelde implementatie van Bitwarden gemaakt, in eerste instantie onder de naam Bitwarden_rs maar sinds een paar jaar als Vaultwarden. Het gaat alleen om de serverkant van de wachtwoordmanager; voor de clients kan de officiële software van Bitwarden worden gebruikt. Vaultwarden is lichter in gebruik en heeft ook functionaliteit waarvoor bij Bitwarden moet worden betaald, waaronder functionaliteit voor het beheer van wachtwoorden op organisatieniveau. Versie 1.35.8 van Vaultwarden is uitgekomen en sinds versie 1.35.6 zijn de volgende veranderingen en verbeteringen aangebracht:

Vaultwarden 1.35.8

• Dummy org Master password policy auth fix in #7097
• Fix recovery-code not working in #7102
• Fix invalid refresh token response in #7105
• Update Rust, Crates, GHA and fix a DNS issue in #7108
• Update web-vault and crates in #7121

Vaultwarden 1.35.7

• Fix 2FA for Android in #7093

Versienummer	1.35.8
Releasestatus	Final
Besturingssystemen	Linux
Website	Vaultwarden
Download	https://github.com/dani-garcia/vaultwarden/releases/tag/1.35.8
Licentietype	GPL

Reacties (18)

[jrswgtr]

Ik heb dit nu een tijdje zelf thuis gehost in Proxmox VE. Via Caddy met self-signed certificaat een SSL verbinding en van buitenaf bereikbaar via Wireguard server op mijn Unifi Cloud Gateway Ultra.

Tot nu toe naar volle tevredenheid, erg stabiel. Nog nooit niet bij mijn wachtwoorden gekund.

[Jeldert]

Bedoel je dat het van buiten alleen benaderbaar is met Wireguard VPN?

Ben zelf bezig hiermee, maar voor de https via caddy moet je poort 80 en 443 op je router doorzetten, en dan is Vaultwarden dus ook openbaar benaderbaar.

[elsingaa93]

Ik heb Vaultwarden ook via HTTPS draaien. De SSL regel ik via de Cloudflare API, dus ik hoef geen poorten open te zetten op mijn netwerk. Je kan dan via vpn only toch met https.

[jrswgtr]

Ja alleen via VPN bereikbaar. Je kunt het self-signed certificaat van Caddy importeren op je devices. Zo is je verbinding beveiligd zonder dat je poorten open hoeft te zetten. Dus ook zonder Cloudflare. Ik heb overigens mijn poort 51820 wel open staan voor de Wireguard server.

Ik gebruik pihole voor lokale DNS. Mijn "huisdomein" gaat via een wildcard naar de Caddy proxy en vanuit daar naar het juiste IP en poort doorverwezen. Volledig lokaal dus

[Reactie gewijzigd door jrswgtr op 26 april 2026 09:47]

[The-Source]

Ook een optie welke ik overigens zelf gebruik.

Cloudflare tunnel, hierbij kan je eerst via de WAF al wat regels instellen wat preventief al geblokkeerd moet worden maar ook als stap voor je eigen SSL is mtls dus je mag alleen de tunnel in als jouw device ook dit mtls certificaat heeft. Vervolgens is dat verkeer door die tunnel weer met je eigen SSL encrypted.

Op deze manier kan je veilig zonder port forwarding en zonder vpn toch gebruik maken.

Zelf heb ik het uitgebreid met home assistant erbij en nog wat andere truuken om lokaal onafhankelijk te zijn van deze tunnel maar ook dat wanneer ik via tailscale tunnel verbinding maak dit buiten de cloudflaredTunnel omgaat.

Ergens in het bitwarden got topic eens uitgebreid en post over gemaakt

[jabwd]

Hier wel even de kanttekening bij dat je dan cloudflare dus als partij moet vertrouwen, want het is gewoon een dikke vette man in the middle met je meest gevoelige data set, mTLS is geen extra encryptie.

Een beter idee is gewoon strict een VPN zodat je alsnog gewoon vrolijk over TLS (met aldaniet mTLS als je dat handig vind) kan babbelen met je eigen infra.

[jimmy_dg]

Als je benaderbaar wilt zijn via je publieke IP moet je het inderdaad openzetten in je router, maar dat hoeft niet. Je kan er ook gewoon bij via je interne netwerk dmv het directe ip adres te gebruiken. Als je dan buitenshuis bent zet je een VPN verbinding op naar je huis en kan je er zo ook buitenaf bijkomen.

[nullbyte]

poort 80 en 443 moet je nooit openzetten op je de ingebouwde firewall in je router naar buiten toe. Evenals poort 22 wat het meest gescande poortje op het internet is. Evenals elk ander poortje onder de 1000, maar dat terzijde.


Het enige dat open moet staan is een poort voor een vpn verbinding naar binnen toe voor b.v. een openvpn server en dan met name een custom poort met en hoog poortnummer bijvoorbeeld: 43820

[Reactie gewijzigd door nullbyte op 26 april 2026 23:20]

[Puck]

Same. Heb zowel in Caddy als Cloudflare regels ingesteld dat enkel mijn eigen IP adres toegang mag krijgen, waardoor deze automatisch enkel via VPN verbinding te benaderen is. Sommige self-hosted app of endpoints heb ik wel publiekelijk nodig, en op deze manier kan ik makkelijk uitzonderingen maken.

[AvWijk]

Mooi alternatief voor tailscale moeten draaien op ieder device. Dank

[Magnifique]

Waarom zou je hem open willen zetten als je buiten bent behalve voor beheer misschien.

Alles wordt lokaal meerdere dagen in de cache opgeslagen en weer gesynchroniseerd als je op het lokale netwerk zit

Ik heb deze dus alleen lokaal openstaan en van buiten afgesloten.

[lolgast]

Zodat als ik een wachtwoord/inlog aanpas via mijn laptop en de app op mijn telefoon gaat zeuren dat er opnieuw ingelogd moet worden ik die direct vanuit Bitwarden op mijn telefoon kan laten invullen. En voor mij gebeurd dat soms meerdere keren per maand. Genoeg om er hinder van te ondervinden als de sync niet ook remote werkt.

Overigens heb ik nauwelijks inlogpogingen op mijn remote instance die via Cloudflared tunnel benaderbaar is met Crowdsec tussen Vaultwarden en Caddy. En de admin pagina is wel alleen intern benaderbaar.

Alles via Cloudflared gaat naar mijn Caddy, waardoor Crowdsec eenvoudig in kan grijpen en ik voor zowel intern als extern maar 1 config hoef te onderhouden. Intern redirect ik mijn domein naar Caddy. Dus ook dan grijpt Crowdsec eventueel in, mocht er vanuit intern iets geprobeerd worden

[Reactie gewijzigd door lolgast op 26 april 2026 15:31]

[Rolfie]

Heb er ondertussen wat mee gespeeld, maar wat mij tegenviel was dat ik niet 123 kon vinden, hoe je nu bijvoorbeeld folders gebruikt voor de structuur/ordenen van bepaalde wachtwoorden.

Ik heb namelijk meerdere vaults,, maar de folders die ik aanmaakte, waren doen direct over alle vaults te zien en dat is niet iets wat ik echt wil.

Ben er nog niet echt achter, hoe dit nu goed werkt. Ook inloggen icm de webinterface vond ik erg complex.

[nullbyte]

Wellicht kan alias vault wat je wil. Ik heb geen idee, maar het is een alternatief

[synoniem]

De benodigde resources zijn minimaal zodat de kleinste VPS al genoeg is om Vaultwarden te draaien met Traefik en Let's Encrypt met dns-01. Wil je helemaal geen poorten open hebben staan dan kun je inderdaad wireguard, netbird of tailscale gebruiken.

[mahsalti]

Ik gebruik momenteel twingate, hebben de andere diensten voordelen?

[synoniem]

Ik ken twingate niet echt goed maar ik denk dat, het zo te zien, vergelijkbaar is met netbird. Tailscale is gebaseerd op wireguard maar dan met een door Tailscale beheerd proxy achtig/centraal punt waardoor je clients met elkaar kunnen verbinden zonder poorten open te zetten zoals bij ssh/openvpn/ipsec/wireguard. Nadeel is wel dat het initieel altijd via Tailscale loopt wat niet goed binnen een zero trust netwerk past.

[mahsalti]

Twingate is dan niet heel anders, gaat ook via een dienst en "zero trust" je moet dus elke host opgeven en wie er bij mag zeg maar.

Heb het tot nu toe werkend via een VPS en thuis op home assistant. Werkt ook met API keys zodat je niet elke keer moet aanmelden. Handig voor op een server.