Vaultwarden: 비트워든 호환 비밀번호 관리자 직접 운영하기

Bitwarden 공식 셀프호스팅 서버는 여러 마이크로서비스로 구성되어 있어서 최소 몇 GB의 메모리를 요구할 정도로 무거워요(Bitwarden 공식 시스템 요구사항 기준). “내 모든 비밀번호가 담긴 금고를 다른 회사의 서버에 맡긴다”는 점이 꺼려지면서도, 공식 서버는 부담스러운 사용자가 많은데, Vaultwarden은 Rust로 다시 작성해 라즈베리파이에서도 가볍게 돌아가면서 공식 클라이언트와 API 호환성을 유지하는 오픈소스 대안이에요. 그럼 Vaultwarden으로 비트워든 호환 비밀번호 관리자를 어떻게 직접 운영할 수 있을까요?

왜 공식 Bitwarden 서버 대신 Vaultwarden인가

Vaultwarden은 Rust로 처음부터 다시 작성되어, 라즈베리파이 같은 저사양 기기에서도 가볍게 돌아가요. Bitwarden도 공식적으로 셀프호스팅용 서버(Bitwarden Unified 등)를 제공하지만, .NET 기반의 여러 마이크로서비스로 구성되어 있어 상당히 무거운 편이거든요. 그러면서도 Bitwarden의 클라이언트 앱(브라우저 확장, 모바일 앱, 데스크톱 앱)과 완벽하게 호환되기 때문에, 사용자 입장에서는 서버가 Vaultwarden인지 알아챌 수 없을 정도로 동일한 경험을 제공해요.

핵심 보안 기능

Vaultwarden은 종단간 암호화부터 2FA, 조직 공유, 패스키까지 상용 서비스에 준하는 보안 기능을 갖추고 있어요.

• 종단간 암호화: 비밀번호 볼트는 클라이언트에서 암호화된 상태로 서버에 저장돼요. 서버 운영자(나 자신)조차 마스터 비밀번호 없이는 실제 내용을 볼 수 없어요.
• 2단계 인증(2FA): TOTP, WebAuthn, Duo 등 다양한 2FA 방식을 지원해요.
• 조직/가족 공유: 유료 Bitwarden 기능인 조직 단위 비밀번호 공유도 Vaultwarden에서는 무료로 사용할 수 있어요.
• Passkey 지원: 최신 버전은 FIDO2 패스키 저장 및 사용도 지원해요.

설치와 HTTPS의 중요성

Vaultwarden은 Docker Compose 이미지 하나로 매우 간단하게 실행할 수 있어요. 다만 비밀번호를 다루는 서비스인 만큼 반드시 HTTPS로만 운영해야 해요. WebAuthn, Push 알림 같은 기능은 애초에 HTTPS 없이는 동작하지 않을뿐더러, 평문 HTTP로 비밀번호 관련 트래픽이 오가는 건 보안상 절대 허용해서는 안 돼요. Caddy나 Nginx Proxy Manager 같은 리버스 프록시로 Let’s Encrypt 인증서를 자동 발급받아 앞단에 배치하는 게 사실상 필수 구성이에요.

회원가입 제한 설정

기본 설정으로 배포하면 누구나 인터넷에서 내 Vaultwarden 서버에 회원가입할 수 있는 상태가 돼요. 반드시 환경변수 SIGNUPS_ALLOWED=false로 설정해 신규 가입을 막고, 본인이 사용할 계정만 미리 만들어두거나 초대 방식으로 전환해야 해요. 이 설정을 빼먹으면 낯선 사람이 내 서버에 계정을 만들어 저장 공간을 사용하는 사고가 생길 수 있어요.

백업 전략

Vaultwarden의 데이터는 SQLite(또는 설정에 따라 PostgreSQL/MySQL) 데이터베이스 파일과 첨부파일 디렉터리에 저장돼요. 이 두 가지를 정기적으로 자동 백업하는 게 매우 중요해요. 비밀번호 금고가 손상되거나 삭제되면 계정 복구 과정이 훨씬 복잡해지기 때문에, 최소 일 단위 자동 백업과 오프사이트 보관(예: 암호화된 상태로 클라우드 스토리지에 별도 저장)을 권장해요.

상용 서비스 대비 얻는 것과 감수할 것

얻는 건 확실해요. 유료 기능(조직 공유, 파일 첨부 저장 용량 등)을 무료로 사용할 수 있고, 비밀번호 데이터가 완전히 내 통제 아래 있어요.

반대로 감수할 것도 있어요. 서버 가용성과 보안 패치를 스스로 책임져야 하는데, 비밀번호 관리자는 다운타임이 발생하면 다른 서비스 로그인 자체가 막히는 치명적인 영향을 주기 때문에 다른 셀프호스팅 서비스보다 훨씬 높은 안정성 기준으로 운영해야 해요. Uptime Kuma로 다운을 즉시 감지하도록 구성해두는 게 특히 중요한 이유예요.

결론

Vaultwarden은 셀프호스팅 프로젝트 중에서도 가장 보안에 민감한 축에 속해요. 그만큼 HTTPS, 회원가입 제한, 백업이라는 세 가지 기본기를 제대로 갖추고 시작하는 게 다른 어떤 셀프호스팅 서비스보다 중요해요.