Addio a Chrome Passwords: come gestisco le mie password in sicurezza (Vaultwarden + VPN)

Salvare le password su Google Chrome è comodo, ma non è sicuro. I tuoi dati sono sincronizzati con l’account Google, spesso non cifrati end-to-end, e accessibili facilmente da chiunque abbia accesso al tuo browser.

Con l’aumento delle minacce e delle violazioni di dati, è arrivato il momento di prendere il controllo completo della tua sicurezza digitale. In questo articolo ti spiego come ho abbandonato Chrome Passwords e ho migrato tutto su un’alternativa gratuita, sicura e self-hosted: Vaultwarden.

🚫 Il problema di Chrome Passwords

❌ Nessuna cifratura end-to-end garantita
❌ Chiunque accede al tuo PC può esportare le password
❌ Difficile da integrare con ambienti professionali
❌ Basato su cloud Google, fuori dal tuo controllo

✅ Soluzioni alternative

🔐 KeePassXC (desktop)

Password manager offline, open source
Supporta database .kdbx
Nessuna sincronizzazione cloud automatica (ma puoi usare Nextcloud, Syncthing, etc.)
Disponibile per Windows, macOS, Linux

🧩 Vaultwarden (Bitwarden compatibile, self-hosted)

Alternativa leggera e open source a Bitwarden server
Interfaccia web moderna
App mobile + estensioni browser
Possibilità di ospitarlo su Docker
Supporta autenticazione a due fattori, vault condivisi, utenti multipli

🚀 Guida: installare Vaultwarden con Docker

🏗️ Requisiti

Server o VPS o LXC con Docker installato
Dominio (es. vault.tuosito.it) oppure accesso via VPN
(Facoltativo) Reverse proxy come Nginx Proxy Manager

1. Crea la directory del progetto

mkdir -p /opt/vaultwarden && cd /opt/vaultwarden

2. Crea il file `docker-compose.yml`

version: '3'

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    ports:
      - '8080:80'
    volumes:
      - ./vw-data:/data
    environment:
      DOMAIN: 'https://vault.tuosito.it'
      SIGNUPS_ALLOWED: 'false'

⚠️ Imposta SIGNUPS_ALLOWED: "true" solo se vuoi consentire la registrazione di nuovi utenti. Altrimenti crea gli utenti manualmente.

3. Avvia il servizio

docker compose up -d

Vaultwarden sarà accessibile su:

http://<IP_SERVER>:8080

Oppure su HTTPS tramite Nginx Proxy Manager + dominio.

🔐 Protezione avanzata: accesso solo tramite VPN

Opzione 1: Accesso da rete interna (WireGuard, Tailscale, ecc.)

Se già usi una VPN per accedere alla tua rete (es. 10.10.0.0/24), puoi esporre Vaultwarden solo su quell’IP privato e accedervi via:

http://10.10.0.5:8080

Opzione 2: Usa Twingate (Zero Trust VPN)

Twingate ti consente di accedere a livello applicativo solo a determinati servizi (come Vaultwarden) senza esporre nulla.

Vantaggi:

Nessuna porta da aprire
Accesso da mobile e PC protetto
Log di accesso e controllo utenti

Come fare:

Vai su https://www.twingate.com/
Crea un account gratuito (fino a 5 dispositivi)
Installa l’agente Twingate sul server
Crea una “resource” tipo vault.local che punta a 10.10.0.5:8080
Installa il client Twingate sul tuo PC e telefono

Ora puoi accedere a Vaultwarden su https://vault.local anche fuori dalla LAN, ma solo da dispositivi autorizzati.

📱 Estensioni e App

Una volta configurato Vaultwarden:

Installa l’estensione Bitwarden per Chrome/Firefox
Collega il vault self-hosted (puoi impostare l’URL server personalizzato)
Scarica l’app mobile (Android/iOS) e imposta l’endpoint

📦 Backup e sicurezza

I dati sono salvati in /opt/vaultwarden/vw-data
Esegui backup periodici (rsync, Proxmox snapshot, restic, ecc.)
Abilita 2FA (TOTP) per utenti
Aggiungi certificato HTTPS se esposto via proxy

✅ Conclusione

Passare da Chrome Passwords a Vaultwarden è stato uno dei miglioramenti di sicurezza più semplici ma più impattanti che abbia mai fatto. Ora ho:

🔐 Vault cifrato, sotto il mio controllo
🧩 Integrazione perfetta con browser e mobile
🛡️ Accesso protetto da VPN, senza esporre nulla

💬 Domande o vuoi aiuto con il deploy?

Scrivimi su [email protected] se vuoi uno script pronto o un setup integrato con WireGuard o Twingate.