Vaultwarden をオフショアVPSでホスト

# 1) DNS: vault.example.com をあなたの ChainVPS の IP に向ける (A/AAAAレコード)
# 2) Argon2 の ADMIN_TOKEN を生成する(平文の文字列は使用しないこと):
#    docker run --rm -it vaultwarden/server /vaultwarden hash
#    生成された '$argon2id$...' という文字列を下記の ADMIN_TOKEN に貼り付ける (.env ではシングルクォートで囲むこと)
# 3) docker-compose.yml として保存し、下記の Caddyfile を作成した上で: docker compose up -d を実行する

services:
  vaultwarden:
    image: vaultwarden/server:1.32.7
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.example.com"      # 公開URLと完全に一致させること
      SIGNUPS_ALLOWED: "false"                  # アカウントを作成したら、このまま false を維持する
      INVITATIONS_ALLOWED: "true"
      ADMIN_TOKEN: "${ADMIN_TOKEN}"             # 手順2で生成したArgon2ハッシュ、.envに保管する
      WEBSOCKET_ENABLED: "true"                 # リアルタイム同期(メインポートで提供)
      SENDS_ALLOWED: "true"
      ROCKET_PORT: "80"
    volumes:
      - ./vw-data:/data                         # vault、添付ファイル、sqliteデータベース、鍵
    networks: [vw]
    # ホストポートは公開しない: Caddyのみが内部ネットワーク経由で通信する

  caddy:
    image: caddy:2
    container_name: vaultwarden-caddy
    restart: unless-stopped
    ports:
      - "80:80"
      - "443:443"
      - "443:443/udp"                           # HTTP/3
    volumes:
      - ./Caddyfile:/etc/caddy/Caddyfile:ro
      - ./caddy-data:/data
      - ./caddy-config:/config
    networks: [vw]
    depends_on: [vaultwarden]

networks:
  vw:

# ---- Caddyfile (同じディレクトリ) ----
# vault.example.com {
#     encode gzip
#     reverse_proxy vaultwarden:80
# }
# Caddy が Let's Encrypt証明書を自動的に取得・更新する。Bitwardenクライアントは
# セキュアオリジンでのみ動作するWebCryptoを使用するため、HTTPSは必須である。