Migrar de Bitwarden cloud a Vaultwarden en un VPS

Por qué migrar a Vaultwarden self-hosted

Lo que Vaultwarden ofrece frente a Bitwarden cloud

• Coste mensual fijo: el precio de tu VPS, no una suscripción por usuario o por funcionalidad.
• Bóvedas de organización y colecciones sin coste adicional: disponibles desde la instalación, no reservadas a un plan premium.
• TOTP integrado: códigos de autenticación de dos factores almacenados en Vaultwarden, sin necesitar Bitwarden Premium.
• Datos en tu infraestructura: ningún tercero tiene acceso a tu bóveda cifrada ni a los registros de conexión.
• Compatibilidad total con los clientes oficiales de Bitwarden: sin cambios de hábitos para tus usuarios.
• Consumo muy bajo: menos de 50 MB de RAM en reposo, funciona en el VPS más pequeño junto a otros servicios.

Requisitos previos antes de empezar

SMTP_HOST=smtp.example.com
[email protected]
SMTP_PORT=587
SMTP_SECURITY=starttls
[email protected]
SMTP_PASSWORD=tucontraseña

Migrar de Bitwarden cloud a Vaultwarden: procedimiento completo

1. 01

   Autenticarse en Bitwarden cloud con la CLI

   Abre un terminal e inicia sesión en tu cuenta de Bitwarden cloud. La CLI se autentica en el servidor oficial por defecto — no cambies el server todavía; este comando debe apuntar a Bitwarden cloud:

   bw login

   Introduce tu correo electrónico y contraseña maestra. Una vez autenticado, desbloquea la bóveda y exporta la clave de sesión:

   export BW_SESSION=$(bw unlock --raw)

   El flag --raw es esencial: sin él, bw unlock muestra un mensaje formateado en lugar de la clave bruta, y los comandos posteriores que usen $BW_SESSION devolverán un error de autenticación.

   Verifica que la sesión es válida:

   bw status

   La respuesta debe indicar "status": "unlocked".

2. 02

   Exportar tu bóveda personal en formato Bitwarden JSON

   El export en formato JSON nativo de Bitwarden (bitwardenjson) conserva todos los metadatos: tipos de entradas, campos personalizados, URIs, notas, TOTP. No uses el formato CSV, que pierde esta información.

   bw export --format bitwardenjson --output ./bitwarden-personal.json

   Attention : Este archivo no contiene tus archivos adjuntos. Es la laguna más importante del export estándar. Los adjuntos deben descargarse por separado, entrada por entrada (paso 4).

   El archivo JSON está cifrado en el lado del cliente — contiene tus datos en texto claro. Almacénalo en un directorio privado y elimínalo tras la importación.

3. 03

   Exportar cada organización por separado

   Los datos de organización no están incluidos en el export de la bóveda personal. Cada organización debe exportarse con su propio identificador.

   Primero lista tus organizaciones para obtener sus identificadores:

   bw list organizations

   Para cada organización mostrada, anota su id y expórtala:

   bw export --organizationid <id-de-la-organizacion> --format bitwardenjson --output ./bitwarden-org-<nombre>.json

   Repite este comando para cada organización. Si el comando devuelve un error de permisos, verifica que eres propietario o administrador de la organización.

4. 04

   Descargar los archivos adjuntos

   Este es el paso que la mayoría de guías omite. El export JSON lista las entradas pero no contiene los archivos adjuntos.

   Para cada entrada que tenga un adjunto, usa el comando bw get attachment:

   bw list items | jq '.[] | select(.attachments != null) | {id, name, attachments}'

   Para descargar cada adjunto:

   bw get attachment <nombre-del-archivo> --itemid <id-de-la-entrada> --output ./attachments/

   Si tienes muchos adjuntos, este script de bash automatiza la descarga:

   mkdir -p ./attachments
   bw list items | jq -c '.[] | select(.attachments != null)' | while read item; do
     ITEM_ID=$(echo $item | jq -r '.id')
     ITEM_NAME=$(echo $item | jq -r '.name')
     echo $item | jq -c '.attachments[]' | while read att; do
       ATT_ID=$(echo $att | jq -r '.id')
       ATT_NAME=$(echo $att | jq -r '.fileName')
       bw get attachment "$ATT_NAME" --itemid "$ITEM_ID" --output "./attachments/${ITEM_ID}_${ATT_NAME}"
     done
   done

5. 05

   Importar en Vaultwarden

   Primero redirige la CLI hacia tu instancia Vaultwarden:

   bw config server https://vault.tudominio.com

   Autentícate en Vaultwarden:

   bw logout
   bw login
   export BW_SESSION=$(bw unlock --raw)

   Importa la bóveda personal:

   bw import bitwardenjson ./bitwarden-personal.json

   Para las organizaciones, primero crea la organización en la interfaz web de Vaultwarden, luego recupera su identificador:

   bw list organizations

   Importa cada archivo de organización con el identificador recién creado:

   bw import bitwardenjson ./bitwarden-org-<nombre>.json --organizationid <nuevo-id>

   Finalmente, vuelve a adjuntar manualmente los archivos descargados a sus entradas a través de la interfaz web de Vaultwarden.

6. 06

   Verificar la importación y actualizar los clientes

   Antes de dar la migración por completada, realiza estas comprobaciones:

   En la interfaz web de Vaultwarden:
   - el número de entradas coincide con el de Bitwarden cloud;
   - los campos personalizados están presentes en algunas entradas de referencia;
   - los códigos TOTP funcionan;
   - las organizaciones y sus colecciones son visibles.

   En los clientes Bitwarden (extensión de navegador, aplicación móvil):
   - cierra sesión en la cuenta de Bitwarden cloud;
   - en los ajustes del cliente, cambia la URL del servidor a https://vault.tudominio.com;
   - vuelve a iniciar sesión con las mismas credenciales.

   Espera la sincronización completa antes de eliminar nada de la cuenta antigua.

Configuración post-migración

0 3 * * * tar -czf /backup/vaultwarden-$(date +%Y%m%d).tar.gz /opt/vaultwarden/data/ 2>/dev/null

Solución de errores frecuentes

export BW_SESSION=$(bw unlock --raw)

Tu bóveda self-hosted está operativa