vaultwarden: signups closed by default, invite-first card (R-512); paperless: 1 worker, 1280M, card creds text (R-514/R-515)

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_0159rPz1ZhFKsS53msqPYxtS

templates/vaultwarden/.felhom.yml

@@ -50,13 +50,13 @@ deploy_fields:
   - env_var: SIGNUPS_ALLOWED
     label: "Regisztráció engedélyezése"
     type: select
-    default: "true"
+    default: "false"
     options:
-      - value: "true"
-        label: "Igen – regisztráció engedélyezve"
       - value: "false"
-        label: "Nem – regisztráció lezárva"
-    description: "Új fiókok regisztrálásának engedélyezése. Az első fiók létrehozása után állítsd 'Nem'-re."
+        label: "Nem – csak meghívással (ajánlott)"
+      - value: "true"
+        label: "Igen – bárki regisztrálhat, aki ismeri a címet"
+    description: "Alapból lezárva: a család tagjait az admin panelen hívod meg (lásd Első lépések). Nyitott regisztrációval bárki fiókot nyithat, aki kitalálja a címet."
     locked_after_deploy: false
 
 # --- App info (info page content) ---
@@ -72,8 +72,9 @@ app_info:
     - 'Biztonságos jegyzetek és bankkártya adatok tárolása'
 
   first_steps:
-    - 'Nyisd meg a vault.DOMAIN címet a böngészőben'
-    - 'Hozd létre a fiókodat erős mesterjelszóval'
+    - 'Nyisd meg a vault.DOMAIN/admin címet, és lépj be az admin panel tokenjével (Beállítások → Automatikusan generált értékek)'
+    - 'A „Users" fülön az „Invite User" mezőben hívd meg a saját és a családtagok e-mail címét — a regisztráció alapból le van zárva, csak meghívott cím nyithat fiókot'
+    - 'Nyisd meg a vault.DOMAIN címet, válaszd a „Create account" lehetőséget a meghívott címmel, és adj meg erős mesterjelszót'
     - 'Telepítsd a Bitwarden bővítményt a böngésződbe'
     - 'Telepítsd a Bitwarden alkalmazást a telefonodra'
     - 'Importáld a meglévő jelszavaidat (Chrome, Firefox, LastPass, stb.)'

templates/vaultwarden/docker-compose.yml

@@ -24,7 +24,10 @@ services:
     restart: unless-stopped
     environment:
       - DOMAIN=https://${SUBDOMAIN}.${DOMAIN}
-      - SIGNUPS_ALLOWED=${SIGNUPS_ALLOWED:-true}
+      # R-512: registration is CLOSED by default. A stranger who guesses vault.<domain> must not be able to
+      # open an account. The household is invited from the admin panel; measured 2026-09-15 on
+      # 1.36.0-alpine with SMTP off: stranger register 400, admin invite 200, invited register 200.
+      - SIGNUPS_ALLOWED=${SIGNUPS_ALLOWED:-false}
       - ADMIN_TOKEN=${ADMIN_TOKEN:-}
       - WEBSOCKET_ENABLED=true
       - TZ=Europe/Budapest