Шаг 1: Установка Docker и Docker Compose
Vaultwarden удобнее всего запускать в контейнере.

bash
# Обновляем пакеты
sudo apt update && sudo apt upgrade -y

# Устанавлием Docker
sudo apt install docker.io -y

# Устанавлием плагин Docker Compose
sudo apt install docker-compose-plugin -y

# Добавляем пользователя в группу docker (чтобы не писать sudo перед docker)
sudo usermod -aG docker $USER
# Применим группу без перезагрузки
newgrp docker



Шаг 2: Установка Nginx и Certbot
Nginx будет работать как обратный прокси (принимать запросы из интернета и передавать их в Vaultwarden), а Certbot получит SSL.

bash
sudo apt install nginx certbot python3-certbot-nginx -y


Шаг 3: Получение SSL сертификата
На этом этапе Nginx должен быть запущен и доступен по порту 80.
Создайте временный конфиг для Nginx (чтобы Certbot мог проверить домен):

bash
sudo nano /etc/nginx/sites-available/vaultwarden

Вставьте следующее (замените vault.example.com на ваш домен):

server {
    listen 80;
    server_name vault.example.com;

    location / {
        return 200 'OK';
        add_header Content-Type text/plain;
    }
}

Включите сайт и перезапустите Nginx:

bash
sudo ln -s /etc/nginx/sites-available/vaultwarden /etc/nginx/sites-enabled/
sudo nginx -t
sudo systemctl restart nginx

Запустите Certbot для получения сертификата:

bash
sudo certbot --nginx -d vault.example.com


Введите email для уведомлений.
Согласитесь с условиями.
Выберите вариант перенаправления на HTTPS (рекомендуется вариант 2).

Готово! Certbot автоматически настроил обновление сертификатов через системный таймер (systemd timer). 
Проверить можно командой sudo systemctl list-timers | grep certbot.

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
root@vw:/home/ub# sudo certbot --nginx -d vw.saria.by
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Requesting a certificate for vw.saria.by

Successfully received certificate.
Certificate is saved at: /etc/letsencrypt/live/vw.saria.by/fullchain.pem
Key is saved at:         /etc/letsencrypt/live/vw.saria.by/privkey.pem
This certificate expires on 2026-06-22.
These files will be updated when the certificate renews.
Certbot has set up a scheduled task to automatically renew this certificate in the background.

Deploying certificate
Successfully deployed certificate for vw.saria.by to /etc/nginx/sites-enabled/vaultwarden
Congratulations! You have successfully enabled HTTPS on https://vw.saria.by  

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
If you like Certbot, please consider supporting our work by:
 * Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate  
 * Donating to EFF:                    https://eff.org/donate-le  
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
root@vw:/home/ub#
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@

Шаг 4: Настройка Nginx для проксирования
Теперь нужно настроить Nginx так, чтобы он передавал запросы в контейнер Vaultwarden.
Откройте конфиг снова (Certbot мог его изменить):

bash
sudo nano /etc/nginx/sites-available/vaultwarden

#########################################################
# HTTP на порту 80 → редирект на HTTPS с портом 55641
server {
    listen 80;
    server_name vw.saria.by;
    return 301 https://$server_name:55641$request_uri;
}

# HTTPS на порту 55641
server {
    listen 55641 ssl http2;
    server_name vw.saria.by;

    # Пути к сертификатам (остаются без изменений)
    ssl_certificate /etc/letsencrypt/live/vw.saria.by/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/vw.saria.by/privkey.pem;

    # Современные настройки SSL
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers on;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;

    # Отключаем логирование токенов в доступе (опционально, для приватности)
    proxy_hide_header Authorization;

    location / {
        proxy_pass http://127.0.0.1:8000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Forwarded-Port 55641;  # Важно: сообщаем Vaultwarden о внешнем порте
        
        # Для веб-сокетов (уведомления)
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
    }
}
#########################################################


Примените изменения:
bash
sudo nginx -t && sudo systemctl reload nginx


Шаг 5: Обновите docker-compose.yml для Vaultwarden
Откройте файл:

bash
nano ~/vaultwarden/docker-compose.yml

Обновите секцию environment, особенно переменную DOMAIN:


#########################################################
version: '3'
services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: always
    volumes:
      - ${PWD}//data
    ports:
      - 127.0.0.1:8000:80  # Vaultwarden внутри контейнера по-прежнему слушает порт 80
    environment:
      - DOMAIN=https://vw.saria.by:55641  # ← Обязательно укажите порт!
      - WEBSOCKET_ENABLED=true
      - SIGNUPS_ALLOWED=false
      - ADMIN_TOKEN=ПридумайтеОченьСложныйПароль_2026!
  
  watchtower:
    image: containrrr/watchtower
    container_name: watchtower
    restart: always
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
    command: --interval 86400 --cleanup
#########################################################



Перезапустите контейнеры:

bash
cd ~/vaultwarden
docker compose up -d

💡 Переменная DOMAIN с указанием порта критически важна: Vaultwarden использует её для генерации ссылок в письмах, настройки клиентов и проверки безопасности.


Проверка работы

bash
# Проверьте, что Nginx слушает порт 55641
sudo ss -tlnp | grep 55641

# Протестируйте доступ локально
curl -kI https://127.0.0.1:55641

# Проверьте, что контейнер Vaultwarden запущен
docker ps | grep vaultwarden

# Посмотрите логи Nginx на ошибки
sudo tail -f /var/log/nginx/error.log