把密码收进自家保险箱：用 NAS 跑一个不外泄的 Vaultwarden 密码库

几乎每个家庭都有几十个甚至上百个账号：网购、银行、宽带、孩子学校的平台、各种会员……密码怎么记，是个绕不开的麻烦。塞进浏览器自带填充最省事，可一旦换电脑或重装系统，整套密码就跟着丢了；写在纸条或备忘录里更不安全，谁拿到设备谁就拿到全部。更关键的是，把密码交给某家云服务商，意味着你最私密的一串钥匙被别人一览无余。本文想聊的，是把密码库搬回自家 NAS，用开源的 Vaultwarden 自建一个端到端加密的私人保险箱。

为什么不直接用现成的云密码管理器

市面上的云密码管理器确实好用，自动生成强密码、跨设备同步、还能替你填表。问题在于信任边界：你的密码库虽然大多是加密存储的，但密钥派生、零知识架构是否如宣传那样严格，普通用户很难真正验证；一旦服务商出事、账号被钓鱼、或者你忘了主密码，整套体系就可能瞬间失灵。把密码库放在自己掌控的机器上，至少数据落点的主动权回到你手里——服务器在你家，备份在你手，谁也替你决定不了去留。

Vaultwarden 轻在哪里

提到自建密码库，很多人会想到官方 Bitwarden 的服务端，那套组件偏重，普通 NAS 跑起来略吃力。Vaultwarden 是用 Rust 重写的一个兼容 Bitwarden 协议的轻量实现，内存占用很小，几百兆内存就能稳稳运行，几乎所有带 Docker 的 NAS 都能装。它前端可以直接用官方 Bitwarden 的浏览器插件和手机 App，体验和大厂几乎一样，只是同步的服务器换成了你自己的。

在 NAS 上跑起来其实就几步

前提是你的 NAS 支持 Docker，并且已经规划好持久化目录。先在共享文件夹里建一个专门的数据目录，比如 docker/vaultwarden，用来存放数据库和附件，这份目录要像对待照片备份一样纳入你的 3-2-1 策略。接着用容器管理器拉取镜像，关键是把数据目录挂载进容器，并设置一组随机的长密钥作为管理令牌，同时开启注册开关只开放给局域网。容器起来后，在浏览器打开 NAS 的对应端口完成初始化，然后立刻关掉开放注册——此后只允许已有账号登录。最后装好 Bitwarden 的浏览器插件和手机 App，把服务器地址指向你的 NAS 内网地址，导入旧密码，大功告成。

三个不能省的安全收尾

第一，主密码必须够强且只存在你脑子里。它负责解密整个库，服务端只存密文，主密码丢了谁都救不回，所以不要用生日或一句话。第二，务必开启两步验证，并下载应急恢复码单独保管。第三，别忘了备份：Vaultwarden 的数据库文件就是你的全部密码，定期把它连同 NAS 其它重要数据一起做异地备份。另外，如果想在外面也能用，请走 WireGuard 或 Tailscale 这类加密隧道，而不要把端口直接暴露在公网。

写在最后

自建密码库不是炫技，而是把数字生活里最基础的钥匙串，收进一个你自己看得住、别人进不来的保险箱。它和浏览器填充一样方便，却不再把信任完全押在别人身上。对已经有一台 NAS 的家庭来说，这大概是最划算、也最值得早点做的一件小事。