Extra: Vaultwarden + Bitwarden, je wachtwoordkluis thuis¶

Optioneel. Telt niet mee in de 21 stappen. Zie Extra apps.

Doel: al je wachtwoorden in een versleutelde kluis op je eigen Umbrel. Je gebruikt ze via de gratis Bitwarden-apps in je browser (bijv. Brave) en op je telefoon. Dit vervangt Google Wachtwoordmanager, de iCloud-sleutelhanger, 1Password of LastPass. Tijd: 1–2 uur, plus het importeren per gezinslid.

🛑 Lees dit eerst. Een wachtwoordkluis is de belangrijkste app op je Umbrel. - Kwijt = kwijt. Gaat je Umbrel stuk zonder goede back-up, of ben je je hoofdwachtwoord vergeten, dan kan niemand je wachtwoorden terughalen. Wij niet, Umbrel niet, Bitwarden niet. - Begin hier dus pas aan als je back-up (stap 5) werkt en je de hersteltest (stap 5.3) hebt gedaan. - Er is geen helpdesk die je kluis kan redden. De gratis Hulplijn is een AI-assistent die voorzichtig antwoordt op basis van deze gids. Stuur nooit je hoofdwachtwoord, herstelcode of export mee.

Wat is wat?

Vaultwarden is de server: de kluis op je Umbrel. Het is een lichte, onofficiële server die werkt met de Bitwarden-apps. Vaultwarden is niet van het bedrijf Bitwarden.
Bitwarden zijn de apps: de browserextensie, de telefoonapp en de webkluis. Je gebruikt ze gratis, en je stelt ze in op jouw server in plaats van die van Bitwarden.
Je wachtwoorden worden op je eigen apparaat versleuteld met je hoofdwachtwoord, voordat ze de server bereiken. De server (en Cloudflare onderweg) ziet alleen versleutelde gegevens.

Nodig: - stap 5 (een werkende back-up) - en een HTTPS-adres, dus fase E: stap 11 en 12, route 1 of 2 (zie §2) - een USB-stick voor de noodkopie

1. Installeren¶

Umbrel App Store → zoek Vaultwarden → Installeren.
Vaultwarden draait op poort 8089. Het heeft geen standaardwachtwoord; je maakt zo zelf een account aan.

2. HTTPS: waarom en hoe dat past bij jouw route¶

De Bitwarden-apps (extensie, telefoon, webkluis) werken alleen met een https://-adres. http://umbrel.local:8089 wordt geweigerd. Daarom regel je eerst een HTTPS-adres, bijv. https://wachtwoorden.jouwdomein.nl.

	Route 1 (Eenvoudig)	Route 2 (Compleet)
Tunnel, public hostname (stap 12.3)	`wachtwoorden.jouwdomein.nl` → `HTTP` → `<umbrel-ip>:8089`	`wachtwoorden.jouwdomein.nl` → `HTTP` → `<umbrel-ip>:40080`
Nginx Proxy Manager (stap 13.5)	–	Proxy host `wachtwoorden.jouwdomein.nl` → `http` → `vaultwarden_server_1` → `8089`, ✔ Block Common Exploits, ✔ Websockets Support, je wildcardcertificaat
Pi-hole (stap 14.3)	–	A-record `wachtwoorden.jouwdomein.nl` → `192.168.1.x`
Thuis	Gaat via internet en de tunnel. Werkt prima, want de kluis is klein	Gaat direct naar de Umbrel

Route 1 is hier prima: wachtwoorden zijn kleine gegevens, dus de uploadlimiet van 100 MB speelt niet.
Valt je internet uit? De Bitwarden-apps houden een versleutelde kopie op je apparaat. Je kunt je wachtwoorden dan nog bekijken en invullen, maar niet wijzigen tot de verbinding terug is. ⚠️ Te controleren per app.
🛑 Zet geen Cloudflare Access (stap 17) vóór wachtwoorden.jouwdomein.nl. De Bitwarden-apps kunnen niet door dat extra inlogscherm heen. ⚠️ Te controleren. De beveiliging komt hier van je hoofdwachtwoord, 2FA en gesloten registratie (§4 en §8).
Alternatieven zonder domein (niet uitgewerkt): umbrelOS 2.0 heeft Local HTTPS voor thuisgebruik (dan moet je op elk apparaat het Umbrel-certificaat vertrouwen, zie Instellingen → Geavanceerd), of Tailscale Serve (Tailscale op elk apparaat).

✅ Controlepunt: https://wachtwoorden.jouwdomein.nl toont de webkluis met een slotje in de adresbalk, ook met de wifi uit (4G).

3. Accounts aanmaken (jij en je gezin)¶

Open https://wachtwoorden.jouwdomein.nl → Account aanmaken (Create account).
Vul je e-mailadres en naam in, en kies je hoofdwachtwoord (master password):
Lang (bijv. 4–5 losse woorden: paard-fiets-wolk-tafel-7). Dit is het enige wachtwoord dat je nog hoeft te onthouden.
Nergens anders gebruikt.
Opschrijven en bewaren op een veilige plek thuis (bij je noodkaart uit stap 16, in een envelop, of in een kluis).
Laat de wachtwoordhint leeg, of maak hem nietszeggend.
Laat elk gezinslid nu zelf een account aanmaken, op eigen apparaat en met een eigen hoofdwachtwoord. Jij kent hun hoofdwachtwoord niet, en dat hoort zo.
(Optioneel) Samen delen (wifi, streamingdiensten, verzekeringen): maak in de webkluis een organisatie aan (bijv. "Gezin"), nodig de gezinsleden uit en bevestig ze daarna. Gedeelde wachtwoorden zet je in een collectie van die organisatie. ⚠️ Te controleren Vaultwarden op Umbrel verstuurt geen e-mail. Uitnodigen werkt wel, maar het gezinslid moet al een account hebben, en jij moet het daarna nog bevestigen (Leden → Bevestigen).

✅ Controlepunt: iedereen die een kluis wil, heeft een account en kan inloggen in de webkluis.

4. Registratie sluiten (belangrijk!)¶

🛑 Sla dit niet over.

Standaard kan iedereen die je adres kent een account aanmaken op jouw server. Ze kunnen jouw wachtwoorden niet zien, maar ze kunnen wel jouw server gebruiken. Sluit de registratie daarom zodra alle gezinsleden een account hebben.

De Umbrel-app heeft hier (nog) geen knop voor. Je zet de instelling met één bestand in de datamap van Vaultwarden. Je hebt hiervoor de terminal nodig (stap 3.4).

Datamap vinden:
```
sudo docker inspect vaultwarden_server_1 --format '{{range .Mounts}}{{.Source}} -> {{.Destination}}{{println}}{{end}}'
```
Je ziet een regel die eindigt op -> /data. Het pad ervóór is je datamap, meestal /home/umbrel/umbrel/app-data/vaultwarden/data. ⚠️ Te controleren onder umbrelOS 2.0.
Kijk of er al een config.json is:
```
ls -l /home/umbrel/umbrel/app-data/vaultwarden/data/
```
Zie je config.json al staan? Stop. Overschrijf hem niet. Dan is er al eerder iets ingesteld. Lees de officiële Vaultwarden-wiki over de beheerpagina of stel je vraag voordat je verdergaat.

Bestand aanmaken:

echo '{"signups_allowed": false}' | sudo tee /home/umbrel/umbrel/app-data/vaultwarden/data/config.json
sudo chown 1000:1000 /home/umbrel/umbrel/app-data/vaultwarden/data/config.json

Vaultwarden herstarten: in het Umbrel-dashboard rechtsklik (of lang indrukken) op Vaultwarden → Herstarten. Of: sudo docker restart vaultwarden_server_1.

✅ Controlepunt: open https://wachtwoorden.jouwdomein.nl in een privévenster. Een nieuw account aanmaken lukt niet meer (de knop is weg, of je krijgt een foutmelding). Je bestaande accounts kunnen nog wel inloggen.

Later nog een gezinslid erbij? Zet tijdelijk true in plaats van false, herstart, laat het account aanmaken, en zet daarna weer false en herstart opnieuw.
Waarom zo? Vaultwarden leest instellingen uit config.json in zijn datamap, en die gaan vóór de standaardinstellingen. Het bestand staat in de datamap, dus het blijft bewaard bij app-updates en zit in je back-up. ⚠️ Te controleren dat Umbrel dit bestand bij een update niet overschrijft. Controleer het na elke update met het controlepunt hierboven.
De beheerpagina (/admin) van Vaultwarden staat op Umbrel standaard uit. Laat dat zo. Zet hem zeker nooit aan via de tunnel.

5. Bitwarden in je browser (Brave, Chrome, Edge)¶

Extensie installeren: open in Brave de Chrome Web Store en zoek Bitwarden Password Manager (uitgever: Bitwarden Inc.) → Toevoegen aan Brave. Zet het Bitwarden-icoon vast in de werkbalk (puzzelstukje → punaise).
Naar jouw server laten wijzen: in het inlogscherm van de extensie → Inloggen op: (Logging in on) → Zelf gehost (Self-hosted) → Server-URL: https://wachtwoorden.jouwdomein.nl → Opslaan.
Log in met je e-mailadres en hoofdwachtwoord.
De ingebouwde wachtwoordmanager van Brave uitzetten, zodat je niet twee keer de vraag "wachtwoord opslaan?" krijgt:
Ga naar brave://password-manager/settings.
Zet Aanbieden om wachtwoorden op te slaan (Offer to save passwords and passkeys) uit.
Zet Automatisch inloggen (Sign in automatically) uit.
Doe hetzelfde in Chrome/Edge als je die ook gebruikt (chrome://password-manager/settings, edge://settings/passwords).
In de Bitwarden-extensie: Instellingen → Automatisch invullen → Bitwarden als standaard-wachtwoordmanager aanzetten (als die optie er is). ⚠️ Te controleren de precieze menunamen in Brave en Bitwarden.
Ontgrendelen (Instellingen → Accountbeveiliging): stel in na hoeveel minuten de kluis vergrendelt, en of je met een pincode of biometrie mag ontgrendelen.

✅ Controlepunt: op een inlogpagina stelt Bitwarden je inloggegevens voor, en Brave vraagt niet meer zelf om wachtwoorden op te slaan.

6. Bitwarden op je telefoon¶

Installeer Bitwarden Password Manager uit de App Store of Play Store (uitgever Bitwarden Inc.).
Inlogscherm → Inloggen op: → Zelf gehost → Server-URL https://wachtwoorden.jouwdomein.nl → Opslaan → inloggen.
Automatisch invullen aanzetten:
iPhone: Instellingen → Algemeen → Automatisch invullen en wachtwoorden → zet Bitwarden aan, en (later, na de import) Wachtwoorden/iCloud-sleutelhanger uit.
Android: Instellingen → Wachtwoorden en accounts (of Automatisch invullen) → kies Bitwarden als dienst. Zet Google Wachtwoordmanager uit.
⚠️ Te controleren menunamen verschillen per telefoon en versie.
Zet ontgrendelen met Face ID/vingerafdruk aan in de Bitwarden-app. Dan hoef je je hoofdwachtwoord niet elke keer te typen.

7. Je bestaande wachtwoorden importeren¶

Importeer in de webkluis op een computer: https://wachtwoorden.jouwdomein.nl → Extra (Tools) → Gegevens importeren (Import data). Of via de extensie: Instellingen → Kluis → Items importeren. ⚠️ Te controleren de plek van het menu verschilt per versie.

Waar staan je wachtwoorden nu?	Exporteren	Formaat kiezen in Bitwarden
Google Wachtwoordmanager / Chrome	passwords.google.com → tandwiel (Instellingen) → Wachtwoorden exporteren (`.csv`)	Chrome (csv)
Brave	`brave://password-manager/settings` → Wachtwoorden exporteren (`.csv`)	Brave (csv) of Chrome (csv)
1Password	1Password-app (computer) → Bestand → Exporteren → `.1pux`	1Password (1pux/json)
LastPass	Direct importeren via de extensie (formaat LastPass, kies Rechtstreeks uit LastPass importeren), of in LastPass Geavanceerde opties → Exporteren (`.csv`)	LastPass (csv)
iCloud-sleutelhanger	Mac: app Wachtwoorden → Archief → Exporteer alle wachtwoorden (`.csv`)	Safari en macOS (csv) ⚠️ Te controleren

🛑 Een export-.csv bevat al je wachtwoorden onversleuteld. - Maak hem alleen op je eigen computer, nooit op een gedeelde computer. - Importeer meteen. - Verwijder het bestand daarna, en leeg de prullenbak. - Stuur het nooit naar iemand, ook niet naar de Hulplijn.

Daarna: - Importeer elk bestand maar één keer. Bitwarden herkent geen dubbele items. - Controleer steekproefsgewijs een paar belangrijke wachtwoorden (bank, e-mail). - Laat de oude wachtwoordmanager een maand naast Bitwarden bestaan (zoals bij stap 19). Wis daarna pas je wachtwoorden daar: bij Google via passwords.google.com, en zeg je abonnement bij 1Password of LastPass op.

✅ Controlepunt: het aantal items in je kluis klopt ongeveer met je oude wachtwoordmanager, en inloggen op een paar sites via Bitwarden werkt.

8. Tweestapsverificatie (2FA) aanzetten¶

Webkluis → Instellingen → Beveiliging → Tweestapsaanmelding (Two-step login) → Authenticator-app → scan de QR-code met een authenticator-app op je telefoon (bijv. Aegis, 2FAS, Google Authenticator of Microsoft Authenticator).
Bekijk en print de herstelcode (recovery code). Leg hem bij je opgeschreven hoofdwachtwoord. Zonder herstelcode ben je je kluis kwijt als je telefoon kwijt is.
🛑 Zet de 2FA-code van je Vaultwarden-account niet in Bitwarden zelf. Gebruik een losse authenticator-app.
Laat elk gezinslid hetzelfde doen.

⚠️ Te controleren 2FA via e-mail werkt niet, omdat Vaultwarden op Umbrel geen e-mail verstuurt. Gebruik een authenticator-app, of een beveiligingssleutel (passkey/FIDO2).

9. Back-up: twee vangnetten (verplicht)¶

🛑 Dit is het belangrijkste onderdeel van deze pagina.

Vangnet 1: de umbrelOS-back-up (stap 5). Die neemt de datamap van Vaultwarden mee, zolang de appdata op de interne opslag staat. - Controleer na de installatie dat er een geslaagde back-up is gemaakt. - ⚠️ Te controleren of de umbrelOS-back-up de database van Vaultwarden consistent meeneemt terwijl de app draait. (Gevorderd) Vóór een update kun je zelf een kopie van de database maken:

sudo docker exec vaultwarden_server_1 /vaultwarden backup

Dit maakt een kopie van de database in de datamap, met datum in de naam.

Vangnet 2: een versleutelde noodkopie op een USB-stick. Deze werkt ook als je Umbrel helemaal stuk is.

Webkluis → Extra → Kluis exporteren (Export vault).
Formaat: .json (Versleuteld) → type Met wachtwoord beveiligd (Password protected). Niet Account beperkt (Account restricted), want die kun je zonder je server niet openen.
Kies een sterk exportwachtwoord. Gebruik bijvoorbeeld hetzelfde als je hoofdwachtwoord, zodat je maar één wachtwoord hoeft te onthouden.
Zet het bestand (bijv. kluis-export.json) op een USB-stick, samen met een printje van de noodprocedure hieronder. Bewaar de stick op een veilige plek, liefst brandwerend of buitenshuis.
Gebruik je een organisatie (gedeelde wachtwoorden)? Exporteer die apart: Organisatie → Extra → Exporteren. ⚠️ Te controleren.
Herhaal dit elk kwartaal, en na een grote import. Elk gezinslid exporteert de eigen kluis.

Noodprocedure: wachtwoorden openen zonder Umbrel¶

Installeer KeePassXC (gratis, open source) op een computer: keepassxc.org/download. Op een Mac met Homebrew: brew install --cask keepassxc.
Open KeePassXC → Database → Importeren → Bitwarden (JSON) (Engelse versie: File/Database → Import → Bitwarden).
Kies het exportbestand op de USB-stick en voer het exportwachtwoord in.
Sla het resultaat op als nieuwe KeePassXC-database (.kdbx). Nu kun je je wachtwoorden bekijken en kopiëren.

⚠️ Te controleren dat jouw versie van KeePassXC met wachtwoord beveiligde Bitwarden-exports kan openen, en de precieze menunaam.

✅ Controlepunt (hersteltest): doe de noodprocedure één keer echt, op een rustige dag. Kun je in KeePassXC een willekeurig wachtwoord terugvinden? Dan werkt je vangnet. Verwijder daarna de testdatabase van die computer, als die niet van jou is.

10. Onderhoud (bovenop stap 20)¶

Elke maand: Vaultwarden apart bijwerken, niet samen met andere apps. Test daarna:
inloggen in de extensie
het controlepunt van §4 (registratie nog dicht?)
Elk kwartaal: een nieuwe noodkopie maken (§9), en de oude op de stick vervangen.
Elk jaar: controleer dat je opgeschreven hoofdwachtwoord en herstelcode nog op hun plek liggen en leesbaar zijn.

✅ Klaar. Je wachtwoorden staan nu bij jou thuis, met twee vangnetten. Gaat het mis of twijfel je? Niets verwijderen, eerst rustig nalezen of je vraag stellen.

➡️ Terug naar Extra apps