Bitwarden‑lite 2026.8.1 añade modo rootless y sistema de archivos de solo lectura

Después de casi 18 meses de trabajo, el pull request que introduce soporte rootless y de solo lectura en el contenedor de bitwarden‑lite ha sido aceptado y publicado con la versión v2026.8.1. El aporte, realizado por el usuario kayson y revisado por MtnBurrit0 del equipo oficial, permite ejecutar la aplicación como cualquier usuario no privilegiado y montar el sistema de archivos en modo readonly.

Qué cambia

• Rootless: el contenedor ya no necesita acceso al daemon de Docker con privilegios de root. Puedes lanzar la instancia con un UID/GID cualquiera, lo que elimina la superficie de ataque asociada a procesos con privilegios elevados.
• Readonly filesystem: el volume que contiene los datos de Bitwarden‑lite se monta en modo de solo lectura. La única excepción es la carpeta de persistent storage configurada explícitamente para escritura, lo que dificulta la alteración de binarios o scripts internos.
• Compatibilidad: si ya utilizas Docker en modo rootless, la actualización sigue funcionando sin cambios. Sólo debes añadir la bandera :ro al volume correspondiente en tu docker‑compose.yml, tal y como muestra el ejemplo del autor.

Impacto operativo

Para administradores de sistemas que despliegan Bitwarden‑lite en entornos de producción, la combinación de rootless + readonly reduce significativamente los riesgos de escalada de privilegios y de manipulación del contenedor. No se requiere modificar la lógica de la aplicación; el cambio es puramente de configuración de Docker. Además, al no depender del usuario root, la solución encaja mejor en políticas de seguridad que prohíben procesos con UID 0 dentro de los hosts.

Cómo probarlo

1. Actualiza a la versión 2026.8.1 del contenedor oficial.
2. En tu archivo docker‑compose.yml define el servicio con user: 1000:1000 (o el UID/GID que prefieras).
3. Monta el volumen de datos con la opción ro:

   volumes:
     - bw-data:/data:ro
   

4. Levanta el stack con docker compose up -d y verifica que el contenedor arranca sin errores de permisos.

El aporte está disponible en el repositorio oficial y ya forma parte de la rama estable. No se reportan problemas de compatibilidad con versiones anteriores del cliente web o con la sincronización entre dispositivos.

Con esta actualización, los operadores pueden reforzar la postura de seguridad sin sacrificar la facilidad de despliegue que caracteriza a Bitwarden‑lite en entornos auto‑alojados.