Zakres
Proxy kończy HTTPS i kieruje ruch na wewnętrzny port Vaultwarden. Współczesne wydania obsługują WebSocket na tym samym porcie HTTP, więc stare reguły na 3012 wymagają usunięcia lub przebudowy.
Jak podejść do konfiguracji
Przy proxy na hoście wiąż backend z loopback; w sieci Compose wystarczy nazwa usługi. Ustaw DOMAIN. Jeżeli używasz IP_HEADER=X-Forwarded-For, w 1.37.4 sprawdź listę IP_HEADER_TRUSTED_PROXIES i rzeczywisty łańcuch proxy.
Ograniczenia i kontrola
Nagłówki od niezaufanego klienta nie mogą dowolnie ustalać adresu do limitów. Zanonimizuj access_token w logach URL. Przetestuj zapis, załącznik i połączenie /notifications/hub, nie tylko samą stronę powitalną.
Dalsze kroki
Przeczytaj źródłową stronę wiki przed zmianami. To własne polskie opracowanie tematu, nie pełne tłumaczenie. Przykłady upstream mogą opisywać inne wersje. Rejestr źródeł wskazuje snapshot i zakres publikacji. Katalog dokumentacji pozwala wybrać kolejne zadanie.