--- title: "Tu propio gestor de contraseñas con Vaultwarden: dominio, cierre del registro, uso compartido en equipo y copias de seguridad" description: "Despliega Vaultwarden en tu propio servidor con la plantilla de Zenavo, asocia un dominio con HTTPS, cierra el registro público después de registrarte, configura el correo para invitar a tus compañeros, conecta los clientes de Bitwarden y prepara las copias de seguridad y las actualizaciones." date: 2026-11-13 language: es-ES url: https://zenavo.app/es-ES/blog/self-host-vaultwarden --- # Tu propio gestor de contraseñas con Vaultwarden: dominio, cierre del registro, uso compartido en equipo y copias de seguridad [Vaultwarden](https://github.com/dani-garcia/vaultwarden) es un servidor de gestión de contraseñas de código abierto compatible con los clientes oficiales de Bitwarden: la extensión del navegador, la aplicación de escritorio, la app móvil y la línea de comandos se conectan a él directamente. Está escrito en Rust y usa muy poca memoria, así que un servidor pequeño basta para todo un equipo. Tener la caja fuerte de contraseñas en tu propio servidor significa que los datos no pasan por la nube de un tercero; también significa que el dominio, el registro, las copias de seguridad y las actualizaciones corren de tu cuenta. En esta guía usamos la plantilla de Vaultwarden de Zenavo y vamos desde el despliegue hasta las copias de seguridad. Vaultwarden es un proyecto de la comunidad y no tiene relación con la empresa Bitwarden. ## Despliega Vaultwarden Primero [conecta un servidor Linux](https://docs.zenavo.app/es-ES/servers/add-a-server) a Zenavo, abre la [plantilla de Vaultwarden](https://zenavo.app/deploy?template=vaultwarden), elige el servidor y despliega. Actualmente la plantilla configura: | Ajuste | Valor o finalidad | |---|---| | Imagen | `vaultwarden/server:latest` | | Puerto HTTP | `80` | | Volumen | `/data`: aquí están la base de datos SQLite, los adjuntos, los archivos de Send, las claves usadas para el inicio de sesión y los ajustes guardados desde el panel de administración | La plantilla no define ninguna variable de entorno. Los pasos siguientes las completan. ## Primero el dominio, después el registro La versión web de Vaultwarden depende de las API criptográficas del navegador y solo funciona con HTTPS, así que asocia el dominio **antes de registrar ninguna cuenta**. En la pestaña **Red** del servicio vaultwarden, asocia un dominio al puerto `80`, por ejemplo `vault.example.com`, crea en el DNS un registro A que apunte al servidor y espera a que esté listo el HTTPS. Los pasos están en [Dominios y HTTPS](https://docs.zenavo.app/es-ES/networking/domains). Después añade en la pestaña **Variable**: ```sh DOMAIN=https://vault.example.com ``` Guarda y reinicia. `DOMAIN` debe coincidir exactamente con la dirección que usas de verdad (`https://` incluido); de ella dependen los enlaces de los correos y algunas funciones de los clientes. ## Crea tu cuenta y cierra el registro Abre `https://vault.example.com`, haz clic en **Crear cuenta** y elige tu correo y tu contraseña maestra. **La contraseña maestra no se puede recuperar.** Vaultwarden solo guarda los datos cifrados, y ni siquiera el administrador del servidor puede descifrarlos. Olvidar la contraseña maestra equivale a perder toda la caja fuerte, así que apúntala en un lugar seguro o activa el desbloqueo biométrico en los clientes para el día a día. Por defecto, la plantilla permite que se registre cualquiera. Cuando todo tu equipo se haya registrado, añade en **Variable**: ```sh SIGNUPS_ALLOWED=false ``` Guarda y reinicia. A partir de entonces solo podrá unirse quien reciba una invitación de una organización (`INVITATIONS_ALLOWED` está activado por defecto). Si solo quieres permitir que se registren direcciones de tu empresa, también puedes dejar abierto el registro y usar `SIGNUPS_DOMAINS_WHITELIST=example.com`. ## Configura el correo (necesario para invitar a compañeros) Las invitaciones a miembros, la verificación del correo y los avisos de inicio de sesión desde un dispositivo nuevo se envían por correo. Añade tu servicio SMTP en **Variable**: ```sh SMTP_HOST=smtp.example.com SMTP_PORT=587 SMTP_SECURITY=starttls SMTP_FROM=vault@example.com SMTP_USERNAME=tu usuario SMTP SMTP_PASSWORD=tu contraseña SMTP ``` Si tu proveedor usa el puerto 465, cambia `SMTP_SECURITY` a `force_tls`. Guarda y reinicia. Zenavo guarda los valores de las variables cifrados y los oculta a los observadores del equipo. ## Compartir en equipo: organizaciones y colecciones En la versión web, haz clic en **Nueva organización** para crear una organización y después crea **colecciones** según su uso, como "Servidores", "Cuentas de terceros" o "Finanzas". Mete en las colecciones los elementos que quieras compartir, invita a los miembros e indica a qué colecciones puede acceder cada uno. Cuando un miembro acepta la invitación, un administrador de la organización tiene que **confirmarlo** una vez más en la lista de miembros para que vea el contenido compartido. Este paso sirve para intercambiar las claves de cifrado y es normal. ## Conecta los clientes de Bitwarden Todos los clientes de Bitwarden permiten elegir el servidor en la pantalla de inicio de sesión: 1. En la pantalla de inicio de sesión, busca la opción del servidor (o "Iniciar sesión en") y elige **Autoalojado**. 2. Como URL del servidor, introduce `https://vault.example.com`. 3. Inicia sesión con tu correo y tu contraseña maestra. La extensión del navegador, la aplicación de escritorio y la app móvil guardan en local una copia cifrada de la caja fuerte, así que puedes seguir consultando los elementos existentes aunque el servidor se caiga un rato. ## Panel de administración (opcional) Vaultwarden tiene un panel de administración en `/admin` para ver usuarios, borrar cuentas y cambiar ajustes. Si no defines `ADMIN_TOKEN`, está desactivado; te recomendamos dejarlo así y activarlo solo cuando lo necesites. Para activarlo, no uses una contraseña en texto plano. Ejecuta en el panel **Comando** del servicio vaultwarden: ```sh /vaultwarden hash ``` Introduce la contraseña dos veces cuando te la pida y obtendrás una cadena que empieza por `$argon2id$`. Guarda la cadena entera como valor de `ADMIN_TOKEN`, reinicia y entra en `https://vault.example.com/admin` con la contraseña que acabas de introducir. Ojo: los ajustes que guardes en el panel de administración se escriben en `/data/config.json` y **sobrescriben** las variables de entorno del mismo nombre. Si más adelante cambias una variable y no surte efecto, comprueba primero si también la has definido en el panel de administración. ## Copias de seguridad Todos los datos del servidor están en el volumen `/data`. Haz copia de seguridad de ese volumen desde la pestaña **Copias de seguridad y restauración** del servicio vaultwarden: 1. Elige un momento en que nadie lo esté usando y detén el proyecto (la copia de un volumen requiere que el proyecto esté detenido). 2. Crea la copia y, cuando termine, vuelve a iniciar el proyecto. Durante esos minutos los clientes siguen pudiendo leer su copia local. 3. Descarga una copia para conservarla. La copia de seguridad contiene la caja fuerte cifrada, pero también los adjuntos y las claves usadas para el inicio de sesión, así que guárdala con el mismo cuidado que una contraseña. Además, conviene que cada persona exporte de vez en cuando un JSON cifrado desde la versión web, en **Herramientas → Exportar caja fuerte**, como segunda copia independiente del servidor. Una copia de seguridad solo es fiable cuando la has restaurado y comprobado. Puedes restaurarla en un proyecto nuevo, iniciar sesión y confirmar que están todos los elementos. ## Actualizaciones La plantilla usa la etiqueta `latest`, así que cada nuevo despliegue puede traer una versión nueva. Para un uso a largo plazo, cambia la imagen a una versión fija en **Origen**, dentro de los **Ajustes** del servicio, por ejemplo `vaultwarden/server:1.37.5` (toma como referencia la versión de la [página de versiones](https://github.com/dani-garcia/vaultwarden/releases)). Antes de actualizar, haz una copia de seguridad y lee las notas de la versión antes de cambiarla. ## Preguntas frecuentes **¿La web no abre o dice que hace falta una conexión segura?** La versión web solo funciona con HTTPS. Comprueba que el dominio está asociado, que el certificado ya está activo y que entras con `https://`. **He cerrado el registro, ¿cómo añado a alguien?** Invítalo desde la organización. Con SMTP configurado, recibirá un correo de invitación; sin SMTP, la dirección invitada puede registrarse directamente en la versión web. **¿Qué hago si olvido la contraseña maestra?** No se puede recuperar: en el servidor no hay nada que permita descifrarla. Solo puedes borrar la cuenta y volver a registrarte, y los elementos anteriores se pierden. Por eso conviene exportar la caja fuerte con regularidad. **¿El móvil no se sincroniza en tiempo real?** La versión web y la de escritorio se sincronizan en tiempo real mediante WebSocket. Las notificaciones push de la app móvil requieren solicitar un ID de instalación y una clave en [bitwarden.com/host](https://bitwarden.com/host) y después definir `PUSH_ENABLED=true`, `PUSH_INSTALLATION_ID` y `PUSH_INSTALLATION_KEY`. Si no lo configuras, la app móvil se sincroniza al abrirla o al deslizar hacia abajo para actualizar. **¿Qué servidor necesito?** Vaultwarden suele ocupar solo unas decenas de MB de memoria, así que puede compartir sin problema un servidor pequeño con otras aplicaciones. Empieza con la [plantilla de Vaultwarden](https://zenavo.app/deploy?template=vaultwarden): asocia primero el dominio, después registra tu cuenta y cierra el registro, y por último organiza las copias de seguridad.