# 密码不上云：Bitwarden自托管+cpolar打造跨网同步的私人保险箱
**把密码交给大厂云端保管，本质上和把家门钥匙交给保安复制一份没有区别**。
某金融机构运维工程师自建Bitwarden三年，期间经历过三家商业密码管理器数据泄露事件，而他的密码库始终只在自己NAS硬盘里躺着。**但他也有过尴尬时刻：出差途中想登录公司系统，密码存在家里，手机4G网络进不去局域网**。
这个场景折射出自托管密码方案的核心矛盾：**数据绝对私有与访问随时可达，在传统网络架构下是互斥的**。Bitwarden负责前者，cpolar则补上了后者缺失的那块拼图。
## 一、自托管：密码控制权的“物理归位”
Bitwarden的开源属性让它成为自托管首选，**但真正让隐私落地的不是软件本身，而是部署位置**。官方推荐镜像为`vaultwarden/server`，这是轻量级社区封装版，资源占用远低于官方企业版，**树莓派或群晖NAS上跑Docker即可承载全家密码**。
```bash
# 拉取镜像（群晖/ Linux通用）
sudo docker pull vaultwarden/server
# 运行容器，宿主机8088端口映射容器80端口
docker run -d --name bitwarden \
-p 8088:80 \
-v /path/to/data:/data \
vaultwarden/server
```
<"p0.p5k3.org.cn">
<"m4.p5k3.org.cn">
<"a6.p5k3.org.cn">
启动后浏览器访问`http://群晖IP:8088`即可看到登录页。**但此时只能局域网访问，且注册账号强制要求HTTPS**——这恰好是下一步cpolar要解决的两个问题。
## 二、cpolar：把本地端口“翻译”成公网域名
cpolar的工作逻辑非常直接：**它将内网`127.0.0.1:8088`映射为公网可访问的`https://随机字符串.cpolar.top`**。无需公网IP，无需路由器端口转发，**全程不触碰密码数据本身，只做流量管道**。
**群晖安装cpolar套件**（其他系统同理）：
1. 官网下载`.spk`安装包，套件中心手动安装
2. 访问`http://群晖IP:9200`进入cpolar Web管理
3. 创建隧道：协议http，本地地址8088，域名类型选随机域名
4. 在线隧道列表中获得`https://xxxx.cpolar.top`地址
**此时用这个https地址访问，即可注册Bitwarden账号并正常使用**。随机域名生成即用，适合临时测试；**若需长期服务，建议保留固定二级子域名**（如`bitwarden.cpolar.cn`），需cpolar官网预留并更新隧道配置，**地址从此不再变化**。
## 三、跨端配置：让浏览器和App都指向你的私有地址
Bitwarden真正的生产力体现在**全平台客户端均支持“自托管服务器地址”配置**。
**浏览器扩展配置**（Edge/Chrome）：
1. 安装Bitwarden官方扩展
2. 点击齿轮图标，将服务器URL修改为你的cpolar公网地址（如`https://bitwarden.cpolar.cn`）
3. 保存后使用自建账号登录，**密码库实时同步**
手机App同理。**至此，你在咖啡馆用手机新增一条Wi-Fi密码，办公室电脑的扩展会在几秒内自动拉取更新**。所有数据只经过你的服务器和端到端加密通道，第三方云服务商没有任何解密机会。
## 四、两个必须明确的边界
**第一，HTTPS证书由cpolar自动提供**，这是随机域名能直接注册账号的原因。若使用自定义域名需自行配置SSL。
**第二，cpolar免费套餐的随机域名24小时轮换，固定子域名需付费套餐**。**对于密码库这种需要长期稳定访问的服务，不建议依赖轮换地址**——你不想每次换地址都要重配所有设备。
## 五、这套方案解决了什么根本问题？
**商业密码管理器的本质是“用信任换便利”**：你把密钥库交给对方，对方承诺不会偷看。**自托管+cpolar的组合，则是“用少量配置换双重自由”——既自由于第三方云，又自由于局域网囚笼**。
某跨境电商团队使用此方案后，**12名成员共享一个自建Bitwarden实例，所有公司服务账号统一纳管，离职交接时只需修改主密码，无需逐站更换凭证**。密码数据始终跑在他们自己的香港轻量云服务器上，**审计日志可导出，没有任何SaaS供应商介入**。
**不把密码交给任何“云”，却能让所有设备随时取用——这听起来矛盾的诉求，Bitwarden与cpolar的组合把它变成了几十行Docker命令和三次鼠标点击**。**隐私不是姿态，是架构选择的结果**。