资讯 · 改写稿
用 NAS 自建密码管理器：Vaultwarden + Cloudflare Tunnel 与年度成本
一句话结论：若你已有一台常年开机的 NAS，自建密码管理器的边际支出可以压到每年几十元（一个域名），代价是备份与可用性得自己扛。核心不是「装」，而是三件事：HTTPS、关注册、管好后台。
来源是少数派作者的一篇实践记录：作者手里有三四百个密码，因为订阅涨价决定不再续费，最后用家里一台 24 小时开机的 NAS，自建了一套密码管理服务，客户端改用开源的 Keyguard。整条链路是：NAS 上跑 Vaultwarden 容器 → Cloudflare Tunnel 打通外网 → 浏览器装 Bitwarden 官方插件、手机用 Keyguard。
为什么选 Vaultwarden
Vaultwarden 是社区维护的 Bitwarden 后端，不是官方那套基于 .NET 的重型实现。来源页给的特点是镜像轻巧、常驻内存通常不到一百兆，而且默认就能用上 TOTP 管理与多人共享等高级功能——而在官方服务里，免费档的 TOTP 入口是锁住的。
三个必须配对的开关
部署本身不难，NAS 上一条 Docker Compose 就够；真正决定安全与可用性的是三件事：
- HTTPS（安全上下文）：密码管理器的网页端依赖 Web Crypto 加密接口，而该接口只在可信网络下可用。直接用局域网 IP 打开会被拒绝，所以必须配反向代理或隧道。
- SIGNUPS_ALLOWED=false：默认任何人访问你的域名都能注册账号，甚至上传附件。注册完自己的账号后要立刻关掉。
- ADMIN_TOKEN：/admin 后台掌控整个服务与数据库，默认关闭。配完就建议删掉该变量，彻底关掉后台入口。
内网穿透方面，作者推荐 Cloudflare Tunnel：免费，顺带解决证书、DDoS 防护与访问控制。没有域名时会分配一个临时的 trycloudflare 域名，但重启即变，长期使用还是买个便宜域名托管上去更省事。
成本：自建到底省多少
本站计算——把「省下的订阅费」算清楚：主流密码管理器家庭档多在每年数十美元一档（按 1 美元≈7.0–7.3 元折算，约 280–440 元/年；各家定价页见文末来源，以当日为准）；而自建的边际支出主要是一个域名，约 70 元/年（部分后缀更便宜），隧道与容器软件本身免费；若 NAS 本来 24 小时开着，电费属于沉没成本。也就是说第一年约 70 元、之后每年约 70 元，三年累计约 210 元，对比订阅三年约 840–1320 元。前提是：你已经有 NAS，且愿意自己管备份。
迁移与客户端
迁移靠「导入」功能：Vaultwarden 能解析绝大多数主流密码管理器的导出格式。作者提醒，在确认所有登录方式都迁完之前，别急着卸载旧工具，两者并行一段时间更稳妥。移动端官方 App 体验一般，可换开源的 Keyguard（支持 Windows / macOS / Linux / Android），它还能接管 Android 14 起开放的第三方自动填充。
装完就直接公网访问，没先关掉开放注册，等于把服务变成公共网盘。
只留一份数据在 NAS 上、不做异地或冷备份——硬件坏了密码库一起没。
用局域网 IP 访问并忽略「非安全上下文」警告，误以为功能正常。
自检清单
常见问题
自建密码管理器安全吗？
取决于配置。核心是三点：必须走 HTTPS（安全上下文）、注册后关闭开放注册、管好或关闭 /admin 后台。做到这三点，安全边界主要落在你的 NAS 与备份上。
没有 NAS 能自建吗？
可以，但需要一台常年开机的设备（旧电脑、迷你主机或 VPS）。若没有，自建省下的钱可能抵不过多出来的电费与运维精力。
自建一年大概花多少钱？
边际支出主要是一个域名，约 70 元/年；软件与隧道免费。若设备本来就在开机，电费可视为沉没成本。
客户端用什么？
浏览器端用 Bitwarden 官方插件并选「自托管服务」；移动端可用开源的 Keyguard，界面与填充体验通常优于官方 App。
来源参考
以上为外部来源；本文为 RefHub 用自己的结构重写，事实以来源页为准，价格与政策会变，请回源核对当日。
下一步：想再看一个「自托管替代订阅」的实例，读 本地模型能顶掉订阅吗；要估算工具额度，用 额度计算器。