Статья XDA о переносе паролей, двухфакторной аутентификации и passkey в Vaultwarden подчёркивает тренд самохостинга, который набирает обороты: крошечный сервер на Rust, совместимый с каждым клиентом Bitwarden, запущенный на Raspberry Pi или старом NUC в шкафу. Vaultwarden — правильный выбор для многих семей. Но он подойдёт не всем. Официальный сервер Bitwarden требует больше ресурсов, но включает функции, которые действительно нужны администраторам команд. Passbolt и Psono ориентированы на компании, которым нужны аудит и групповые разрешения. KeePassXC полностью обходит вопрос о сервере.
Мы протестировали 7 альтернатив Vaultwarden на рабочем столе и оценили их по одним критериям: время настройки на чистой установке Debian, процедуру восстановления из резервной копии, совместимость клиентов, групповой обмен и ежедневные трения при использовании, которые решают, действительно ли семья это внедрит.
Быстрое сравнение
| Приложение | Лучше всего для | Бесплатный план | Стартовая цена | Особенность |
|---|---|---|---|---|
| Bitwarden Self-Hosted | Официальный, полнофункциональный стек | Да, полностью локально | Бесплатно, платная org от $3/пользователь/мес | Тот же код, что в облачном продукте |
| KeePassXC | Локальное хранилище на основе файлов | Да, полностью | Бесплатно | Не нужно вообще запускать сервер |
| Passbolt | Групповой обмен паролями | Community Edition, полностью бесплатно | Pro от EUR 49/мес на 10 пользователей | Сквозное шифрование на основе GPG |
| Psono | Энтерпрайз самохостинг | Community Edition, полностью бесплатно | Enterprise от EUR 3/пользователь/мес | LDAP, SAML, гранулярные роли |
| Padloc | Облегчённый современный интерфейс | Да, только на пресах | Бесплатно | Встроенный отчёт безопасности и проверка утечек |
| Pass | Минимализм в стиле Unix | Да, полностью | Бесплатно | Каталог файлов паролей с шифрованием GPG |
| Teampass | Веб-хранилище для команды | Да, полностью | Бесплатно | Разрешения по папкам и дерево ролей |
Почему люди уходят от Vaultwarden
На r/selfhosted и в GitHub-проблемах Vaultwarden постоянно появляются три причины:
- Разработчик — один человек. Daniel García вёл проект годами. Многие самохостеры беспокоятся о проблеме одного разработчика и хотят проект с платной командой.
- Функции Bitwarden для предприятий в Vaultwarden поступают поздно или вообще не поступают. Синхронизация каталогов, SCIM, SSO с ключевым соединителем и механизм политики сначала появляются на официальном сервере. Ветка Vaultwarden их догоняет.
- Это неофициальный проект. Vaultwarden поставляет переработанный бэкенд, который имитирует API Bitwarden. В большинстве случаев это работает. Иногда новая функция в клиенте Bitwarden нарушает протокол, и Vaultwarden должен исправлять это.
Ни одно из этого — не блокирующая проблема для семьи. Но все они важны для компании из 50 человек.
7 альтернатив Vaultwarden
1. Bitwarden Self-Hosted, лучше для официального стека
Bitwarden поставляет то же программное обеспечение, которое запускает в облаке, в виде пакета для самохостинга. Полное развёртывание работает с одиннадцатью контейнерами (API, identity, web vault, attachments, admin, MSSQL и друзья) и требует немного больше памяти, чем Vaultwarden, но каждая функция появляется здесь в первую очередь: синхронизация passkey, SSO с ключевым соединителем, синхронизация каталогов, SCIM, механизм политики и новая панель администратора. Хранилище работает с Microsoft SQL Server по умолчанию, но совместимая с PostgreSQL сборка появится в 2025 году. Bitwarden и Vaultwarden в 2026: одинаковые клиенты, очень разный бэкенд.
Где он отстаёт: Нагрузка на память и диск на небольших VM. Экземпляр с двумя виртуальными ЦП и 2 ГБ памяти, на котором комфортно работает Vaultwarden, будет перегружен полным стеком Bitwarden и базой данных.
Цены:
- Бесплатно: Все функции самохостинга для личного использования, неограниченное количество устройств
- Платно: Teams Starter за $20/мес на 10 пользователей, Enterprise самохостинг от $5/пользователь/мес
- vs Vaultwarden: В обоих случаях бесплатно для личного использования. Bitwarden выставляет счёт только когда нужны функции организации, которые вилка Vaultwarden ещё не предоставляет.
Миграция из Vaultwarden: Экспортируйте каждое хранилище в зашифрованный JSON из веб-интерфейса, импортируйте в Bitwarden. Структура папок и вложения переносятся хорошо. Миграция организации требует повторного приглашения членов и повторного совместного использования коллекций вручную. Выделите вечер для семьи, выходные — для команды из 20 человек.
Загрузка: Bitwarden Self-Hosting
Итог: Выбирайте это, когда семья выросла в команду и нужны функции, которые Vaultwarden ещё не объединил.
2. KeePassXC, лучше для варианта без сервера
KeePassXC — кроссплатформная ветка KeePass, которая работает на каждом рабочем столе без сервера. Хранилище — это один файл .kdbx, который вы синхронизируете с чем угодно: Syncthing, Nextcloud, iCloud, OneDrive или USB-флеш-картой. Он поддерживает passkey (добавлено в 2.7.x), интеграцию браузера через KeePassXC-Browser, TOTP, вложения и интеграцию SSH-агента. KeePassXC и Vaultwarden в 2026: противоположные философии. Vaultwarden запускает сервер, чтобы несколько устройств синхронизировались автоматически. KeePassXC передаёт синхронизацию тому, чему вы уже доверяете.
Где он отстаёт: Разрешение конфликтов — ваша проблема. Если два устройства записывают в один и тот же файл хранилища в автономном режиме, KeePassXC не сможет их волшебно объединить. Мобильная версия тоже слабее: KeePass2Android и Strongbox хороши, но это не официальные продукты.
Цены:
- Бесплатно: Всё, никаких планов, никакой телеметрии
- Платно: Нет
- vs Vaultwarden: Оба бесплатны. KeePassXC экономит расходы на запуск сервера.
Миграция из Vaultwarden: Экспортируйте Vaultwarden в зашифрованный JSON, затем конвертируйте с помощью мастера импорта KeePassXC. Папки становятся группами, пользовательские поля переносятся, вложения остаются. Passkey не переносятся чисто и должны быть повторно зарегистрированы на каждом сайте.
Загрузка: keepassxc.org
Итог: Выбирайте это, когда вы хотите перестать запускать сервер и доверяете своему поставщику синхронизации зашифрованным файлом.
3. Passbolt, лучше для группового обмена
Passbolt был построен для команд с самого начала. Модель угрозы основана на шифровании сквозного сообщения на основе GPG: каждый пользователь имеет ключ, общие пароли повторно шифруются для каждого получателя, и сервер никогда не видит открытых учётных данных. Community Edition полностью бесплатна, работает на Debian или Docker и поставляется с расширением браузера и приемлемым веб-интерфейсом. Passbolt и Vaultwarden в 2026: модель разрешений Passbolt более детальна, но пользовательский интерфейс — цена за это.
Где он отстаёт: Веб-интерфейс вызывает больше трений, чем клоны Bitwarden. Подключение нетехнического коллеги требует объяснения ключей GPG, экспорта наборов восстановления и импорта в расширение браузера. Мобильные приложения существуют (iOS и Android), но отстают от десктопного опыта.
Цены:
- Бесплатно: Community Edition, неограниченное количество пользователей, все функции обмена
- Платно: Pro от EUR 49/мес на 10 пользователей, облачный Pro от EUR 5/пользователь/мес
- vs Vaultwarden: Оба бесплатны для самохостинга. Платный уровень Passbolt добавляет журналы аудита, SSO и синхронизацию каталогов.
Миграция из Vaultwarden: Экспортируйте Vaultwarden в CSV, затем импортируйте через импортер CSV Passbolt. Папки становятся тегами. Входы организации, совместно используемые, не автоматически переходят в модель разрешений Passbolt; ожидайте переделки матрицы обмена.
Загрузка: passbolt.com/community-downloads
Итог: Выбирайте это, когда маленькой компании нужен правильный обмен и она готова выучить одну концепцию GPG.
4. Psono, лучше для энтерпрайз самохостинга
Psono — немецкий энтерпрайз вариант для самохостеров, которым нужны LDAP, SAML, гранулярные роли и проверка безопасности без платы за энтерпрайз-уровень Bitwarden. Community Edition с открытым исходным кодом и бесплатна для неограниченного количества пользователей; сборка Enterprise добавляет SSO, логирование аудита и приоритетную поддержку. Psono и Vaultwarden в 2026: направлены на одну и ту же аудиторию самохостеров, но с учётом ИТ-отдела.
Где он отстаёт: Community Edition опускает функции, которые ожидают команды среднего размера (хранение журналов аудита, SAML, поддержка аппаратного модуля безопасности). Расширения браузера компетентны, но не такие отполированы, как у Bitwarden.
Цены:
- Бесплатно: Community Edition, неограниченное количество пользователей
- Платно: Enterprise Server от EUR 3/пользователь/мес, план SaaS от EUR 1.50/пользователь/мес
- vs Vaultwarden: Бесплатно, если остаться на Community Edition. Уровень Enterprise имеет аналогичную цену команды Bitwarden.
Миграция из Vaultwarden: Экспортируйте Vaultwarden, конвертируйте через импортер CSV Psono. Обмен переорганизовывается вокруг групповой модели Psono, которая ближе к Active Directory, чем к коллекциям Bitwarden. Выделите выходные, если команда более 25 человек.
Загрузка: psono.com
Итог: Выбирайте это, когда компании нужны LDAP/SAML и наклейка Bitwarden Enterprise слишком дорогая.
5. Padloc, лучше для современного облегчённого интерфейса
Padloc — ответ для самохостеров, которым понравилась облегчённая база Vaultwarden, но нужен более полированный интерфейс. Работает на одном процессе Node.js, общается через WebSocket для живой синхронизации и поставляется с веб-хранилищем, расширением браузера и мобильными приложениями. Бесплатный уровень охватывает всё, что нужно человеку или небольшой семье. Padloc и Vaultwarden в 2026: похожий бюджет ресурсов, более современный интерфейс, меньше экосистема.
Где он отстаёт: Сообщество вокруг Padloc меньше, чем вокруг Vaultwarden, поэтому сторонние инструменты (CLI, помощники синхронизации, страницы статуса) тоньше. Функции для предприятий минимальны.
Цены:
- Бесплатно: Самохостинг со всеми личными функциями
- Платно: Семейный план $35/год, Business от $5/пользователь/мес (хостируется)
- vs Vaultwarden: Оба бесплатны для личного самохостинга. Платные уровни Padloc ориентированы на людей, которые хотят, чтобы компания это хостила.
Миграция из Vaultwarden: Padloc напрямую импортирует CSV-экспорт Bitwarden. Папки и базовые элементы переносятся. Пользовательские типы полей и вложения требуют ручного проверки.
Загрузка: padloc.app
Итог: Выбирайте это, когда интерфейс важнее, чем список функций, и вам не нужны элементы управления на уровне организации.
6. Pass (стандартный менеджер паролей Unix), лучше для пользователей терминала
Pass хранит каждый пароль в зашифрованном файле GPG внутри репозитория Git. Это весь продукт. Нет GUI, нет веб-хранилища, нет сервера: оболочка разработчика, ключ GPG и удалённый репозиторий Git — весь стек. Плагины расширяют его с помощью TOTP, автозаполнения браузера (browserpass) и клиентов Android/iOS. Pass и Vaultwarden в 2026: максимально минимализм, максимально портативность, никаких подсказок GUI.
Где он отстаёт: Не подходит для всех, кто не может работать в терминале. Обмен требует обучения каждого получателя импорту ключа GPG. Члены семьи не будут его использовать.
Цены:
- Бесплатно: Да, GPL2
- Платно: Нет
- vs Vaultwarden: Оба бесплатны. Pass заменяет весь сервер на удалённый Git.
Миграция из Vaultwarden: Сообщество пишет скрипт, который читает экспорт зашифрованного JSON Bitwarden и пишет один файл .gpg на запись. Структура папок становится иерархией каталогов. Вложения не переносятся.
Загрузка: passwordstore.org
Итог: Выбирайте это, когда вы живёте в терминале и менеджер паролей не нуждается в интерфейсе.
7. Teampass, лучше для веб-папок команды
Teampass — давно работающий менеджер паролей PHP/MySQL для самохостинга для организаций, которые хотят только веб-интерфейс с разрешениями по папкам. Появился за несколько лет до клонов Bitwarden и остаётся разумным выбором для команд, у которых есть стек LAMP и которые не хотят добавлять другое время выполнения. Teampass и Vaultwarden в 2026: другая эстетика, но дерево разрешений труднее перерасти.
Где он отстаёт: Интерфейс выглядит устаревшим и не имеет удобств (поддержка passkey, мобильные приложения такие же отполированные, как у Bitwarden), которые предлагают новые альтернативы. Кодовая база на PHP, что некоторые команды рассматривают как компромисс безопасности.
Цены:
- Бесплатно: Да, с открытым исходным кодом под GPL
- Платно: Нет
- vs Vaultwarden: Оба бесплатны. Teampass масштабирует обмен по-другому — дерево разрешений вместо коллекций.
Миграция из Vaultwarden: Экспортируйте Vaultwarden в CSV, затем запустите импорт Teampass. Иерархия папок переводится почти напрямую. Обмен по коллекциям нужно переделать как роли Teampass.
Загрузка: teampass.net
Итог: Выбирайте это, когда маленькая организация уже запускает LAMP и нужен менеджер паролей только с веб-интерфейсом.
Как выбрать
- Выбирайте Bitwarden Self-Hosted, если нужна каждая функция, которую Vaultwarden ещё не объединил, и у вас есть ресурсы для запуска полного стека.
- Выбирайте KeePassXC, если запуск сервера — это то, чего вы пытаетесь избежать.
- Выбирайте Passbolt, если вы команда из 5–30 человек, которой нужен правильный обмен и которая может усвоить одну концепцию GPG.
- Выбирайте Psono, если ИТ-отдел нужны LDAP, SAML или журналы аудита без цены Bitwarden Enterprise.
- Выбирайте Padloc, если вы хотите облегчённую базу Vaultwarden с более современным интерфейсом.
- Выбирайте Pass, если вы разработчик и остальная семья использует другую систему.
- Выбирайте Teampass, если команда уже запускает LAMP и не хочет добавлять другой стек.
- Оставайтесь на Vaultwarden, если вы семья, ежедневные трения при использовании — это то, что вам важно, и беспокойство о проблеме одного разработчика вас не мучит.
ЧАстые вопросы
Лучше ли официальный сервер Bitwarden, чем Vaultwarden?
Официальный сервер Bitwarden более полный и консервативный. Сначала поставляет каждую функцию, поддерживает каждую интеграцию для предприятий и запускает тот же код, который Bitwarden размещает в производстве. Vaultwarden облегченнее, работает на четверти оборудования и подходит для семьи. Правильный выбор зависит от того, нужна ли вам поверхность функций для предприятия или просто личное хранилище.
Могу ли я запустить самохостируемый менеджер паролей на Raspberry Pi?
Да для Vaultwarden, KeePassXC (только файл, без сервера), Padloc и Pass. Bitwarden Self-Hosted будет работать на Raspberry Pi 4 с 4 ГБ ОЗУ, но вы почувствуете нагрузку на базу данных. Psono и Passbolt находятся где-то посередине.
Какой самохостируемый менеджер паролей самый безопасный?
Все семь проектов используют проверенное шифрование покоя. Модель угрозы, которая варьируется, — это сервер: KeePassXC и Pass никогда не имеют открытого сервера, а Vaultwarden, Bitwarden, Padloc, Psono и Passbolt полагаются на то, что ключи, полученные из мастер-пароля, никогда не покидают клиента. Повторное шифрование GPG для каждого получателя Passbolt — это самая параноидная модель при общих учётных данных.
Будут ли мои клиенты Bitwarden работать с этими альтернативами?
Официальные клиенты Bitwarden работают с Bitwarden Self-Hosted, Vaultwarden и (через режим API) Padloc. Они не работают с KeePassXC, Pass, Passbolt, Psono или Teampass — каждый из них поставляет своих клиентов.
Как перейти с Vaultwarden без потери кодов двухфакторной аутентификации?
Экспортируйте Vaultwarden в зашифрованный JSON, затем импортируйте в целевой. Секреты TOTP переносятся как часть записи, поэтому существующие коды двухфакторной аутентификации продолжают работать в новом хранилище. Passkey привязаны к происхождению и должны быть повторно зарегистрированы на каждом сайте, независимо от того, на какое хранилище вы переходите.
Какая самая дешёвая альтернатива Vaultwarden?
Каждая альтернатива в этом списке имеет бесплатный, полностью функциональный уровень для самохостинга. KeePassXC и Pass имеют самые низкие эксплуатационные расходы, потому что вообще не нуждаются в сервере.
