Installer un gestionnaire de mots de passe (Vaultwarden / Bitwarden) sous Unraid 6.9.2 - NAS - Tutoriels

Sur votre serveur Unraid, vous avez la possibilité de déployer un gestionnaire de mots de passe open-source nommé Vaultwarden pour stocker vos mots de passe sur votre propre serveur.
Vaultwarden (anciennement : bitwarden_rs) est un container vous permettant de déployer votre propre serveur Bitwarden pour garder le contrôle du stockage de vos mots de passe.
De plus, vous bénéficierez aussi gratuitement des applications créées par Bitwarden pour vos ordinateurs (sous Windows, Linux et Mac), mais aussi dans vos navigateurs web (firefox, chrome, opera, ...) et votre smartphone (sous Android ou iOS).

Important : avant de commencer, sachez que les inscriptions sur Vaultwarden ne fonctionnent que si son accès est sécurisé (en HTTPS).
Ce qui nécessite un certificat valide. Ce qui est possible en utilisant le reverse proxy "SWAG".
Néanmoins, pour pouvoir utiliser l'application Android sur votre smartphone (qui pourra se trouver chez vous ou en dehors en fonction du réseau utilisé (Wi-Fi ou 3G)), il est important que le reverse proxy (SWAG dans ce cas-ci) soit accessible localement, ainsi que depuis l'extérieur avec exactement la même adresse.
Pour cela, suivez d'abord notre tutoriel : Unraid 6.9.2 - SWAG - Accéder localement au reverse proxy (SWAG).

1. Installer Vaultwarden sous Unraid

Avant d'installer Vaultwarden, voici notre configuration actuelle (que vous aurez en suivant le tutoriel cité ci-dessus).

Comme vous pouvez le voir :

l'interface web d'Unraid utilise le port 8080 pour l'accès en HTTP.
le reverse proxy (SWAG) utilise les ports 80 (HTTP) et 443 (HTTPS).
le container "pihole" est le serveur DNS local permettant de faire du split DNS (retourner l'IP locale d'Unraid lorsque vous êtes chez vous pour masquer l'IP externe (WAN) visible uniquement sur Internet).

Allez dans l'onglet "Apps" et cherchez "vaultwarden".
Ensuite, cliquez sur "Install".

Choisissez la branche "Default".

Comme avec la plupart des services auxquels vous souhaitez accéder via le reverse proxy (SWAG), vous devez le connecter sur le même réseau que le container "swag".
Sélectionnez le même réseau "Custom" que votre container "swag". Dans notre cas "Custom : iwnetwork".

Par défaut, les inscriptions (publiques) et les inscriptions via une invitation sont autorisées :

SIGNUPS_ALLOWED : true.
INVITATIONS_ALLOWED : true

Indiquez un mot de passe d'au moins 8 caractères pour protéger l'interface d'administration de Vaultwarden dans le champ "ADMIN_TOKEN".

Une fois le téléchargement et l'installation de Vaultwarden terminés, cliquez sur "Done".

Vaultwarden est installé.

2. 1ère configuration de Vaultwarden (sécuriser le mot de passe admin)

Pour commencer, dans l'onglet "Docker", cliquez sur l'icône de Vaultwarden, puis sur : WebUI.

Indiquez le mot de passe admin (ADMIN_TOKEN) et cliquez sur Enter.

Comme vous pouvez le voir, par défaut, un avertissement apparait en haut de la page (depuis la version 1.28.0 de Vaultwarden) :

Plain Text

You are using a plain text 'ADMIN_TOKEN' which is insecure.
Please generate a secure Argon2 PHC string by using 'vaultwarden hash' or 'argon2'.
See: Enabling admin page - Secure the 'ADMIN_TOKEN'.

Sur cette page, vous arriverez sur une section "Secure the ADMIN_TOKEN" vous expliquant que le mot de passe admin était précédemment stocké en texte clair (ce qui n'est pas sécurisé) et que vous pouvez maintenant générer un hash de ce mot de passe admin en utilisant "Argon2".

Pour cela, un peu plus bas, vous trouverez une section "Using vaultwarden hash" avec plusieurs exemples permettant de générer le hash dont vous avez besoin.
Chaque exemple effectue la même chose. Les seules différences sont la syntaxe et l'endroit où vous pouvez exécuter cette commande.

Dans le cas d'Unraid, choisissez la commande ci-dessous :

Bash

./vaultwarden hash

Dans l'interface web d'Unraid, cliquez sur l'icône de Vaultwarden, puis sur : Console.

Dans le terminal qui s'affiche, tapez la commande ci-dessous.

Bash

./vaultwarden hash

Tapez 2 fois le nouveau mot de passe admin à utiliser pour protéger l'interface d'administration de Vaultwarden.
Note : vous pouvez réutiliser le même que précédemment si vous le souhaitez, si celui-ci est composé d'au moins 8 caractères.

Copier la valeur générée présente entre les apostrophes (' ').

Sur la page "Vaultwarden Admin", allez dans la section "General settings".

Collez la valeur "$argon2id$...xy" générée précédemment dans la case "Admin token/Argon2 PHC".

En bas de page, cliquez sur "Save".

Le message "Config saved correctly" s'affiche.
Cliquez sur OK.

L'avertissement en haut de page a disparu.

3. Protocole HTTPS requis pour l'inscription sur Vaultwarden

Si vous tentez de créer un compte sur votre serveur Vaultwarden (en utilisant le protocole HTTP), vous remarquerez que cela ne fonctionne pas.
En effet, cette erreur apparaitra.

Plain Text

This browser requires HTTPS to use the web vault.

4. Configurer votre nom de domaine (chez OVH)

Chez votre hébergeur, ajoutez un enregistrement DNS de type A ou CNAME pour créer un sous-domaine "vaultwarden".

Si vous choisissez un enregistrement DNS de type A, indiquez votre adresse IPv4 externe (WAN) fournie par votre FAI.

Si vous créez un enregistrement de type CNAME, indiquez votre domaine racine (pointant déjà sur votre adresse IP publique) utilisé dans la configuration de votre reverse proxy (SWAG).

Le sous-domaine "vaultwarden" est créé.