זה הדבר בעל הערך השני בגובהו באתר הזה אחרי מפתח אבטחה, והשניים עובדים יחד: המפתח מונע ממישהו להתחבר בתור�ם, והמנהל מונע מאתר אחד שנפרץ להפוך את כולם לכאלה. עשו את שניהם והדרך הרגילה אל תוך החיים שלכם נסגרת.
01למה אחד לא מקוון
רוב מנהלי הסיסמאות שומרים את הכספת שלכם על השרתים של החברה. זהו נוחות אמיתית וזה לא אוטומטית שגוי, הטובים שבהם מצפינים אותה כך שהם לא יכולים לקרוא אותה. אבל זה יוצר מטרה אחת, קבועה וידועה היטב: מסד נתונים של מיליוני כספות, שיושב במקום אחד, מנוהל על ידי חברה שניתן לפרוץ אליה, לרכוש אותה, להוציא נגדה צו, או שהיא פשוט תעשה טעות. זה קרה, יותר מפעם אחת, לספקים גדולים.
KeePassXC שומר את מסד הנתונים כקובץ בדיסק שלכם. אין חברה, אין חשבון, אין שרת, ואין מה לפרוץ בקנה מידה. אם מישהו רוצה את הסיסמאות שלכם הוא צריך לבוא אליכם ספציפית, וזו הצעה שונה לחלוטין מליקוט של כולם בבת אחת.
- אין צד שלישי שמחזיק את הכספת שלך, כך שאף צד שלישי לא יכול לאבד אותה, לא ניתן לכפות עליו בעניינה, ולא יכול לשנות את תנאיו.
- זה עובד במצב לא מקוון, כולל על מחשב שמעולם לא התחבר לאינטרנט.
- קוד פתוח ומבוקר, עם פורמט קובץ פתוח שתוכנות עצמאיות רבות יכולות לקרוא, אתה לא נעול.
- חינם לנצח, בלי מסלול שמסתיר תכונת אבטחה עד שתשלם.
- גיבויים הם באחריותך. אם תאבד את הקובץ בלי עותק, הסיסמאות אבדו. אין דלפק תמיכה.
- סנכרון בין מכשירים הוא באחריותך, וזה החלק שרוב האנשים עושים בו טעויות. ראו סעיף 05.
- המובייל הוא אפליקציה נפרדת של מפתח אחר, לא רשמית.
- אף אחד לא יכול לאפס את סיסמת האב שלך. זו כל הנקודה, וזה גם הסיכון.
אם לא מקוון נשמע כמו יותר אחריות ממה שאתה רוצה, השתמש ב-Bitwarden או Proton Pass במקום ותמשיך בחיים שלך. האפשרות הקטסטרופלית היא זו שאתה משתמש בה עכשיו, אותה סיסמה בחמישים מקומות. אל תיתן לחיפוש אחר הכלי המושלם להשאיר אותך עם הגרוע ביותר.
02סיסמת האב, שהיא כל העניין
הכול נשען על סיסמה אחת. אם היא חלשה, לשום דבר אחר במדריך הזה אין משמעות; אם היא חזקה, לתוקף שיש בידיו את קובץ מסד הנתונים שלך עדיין אין כלום.
ארבע עד שש מילים אקראיות — לא ביטוי שחיברת בעצמך, שהוא הרבה פחות אקראי מכפי שהוא מרגיש. משהו כמו harbour-plum-ditch-tractor-vine. הוא ארוך, אקראי באמת, ואתה יכול למעשה לזכור אותו בעל פה, מה שמחרוזת של סימנים לעולם אינה. תן ל-KeePassXC ליצור אותו עבורך במצב ביטוי הסיסמה שלו, ואז רשום אותו על נייר עד שהוא יהיה לך בראש, והשמד את הנייר afterwards.
ביטוי סיסמת האב צריך להתקיים בדיוק בשני מקומות: בזיכרונך, ואם אתה זקוק לאחד, בגיבוי פיזי אטום במקום בטוח. לעולם לא בקובץ, לעולם לא באפליקציית פתקים, לעולם לא בהודעה לעצמך, ולעולם לא במסמך הזה או בכל מסמך אחר.
03הגדרתו
-
התקן אותו מהמקור הרשמי
הורד מ-keepassxc.org, או ב-Linux מהמאגר של ההפצה שלך או מ-Flatpak. הקלד את הכתובת ביד — דומיינים מתחזים של מנהלי סיסמאות הם התקפה שחוקה, מסיבות מובנות.
-
צור את מסד הנתונים
Database → New Database. תן לו שם שאינו "passwords". תישאל לגבי הגדרות הצפנה, ברירות המחדל טובות, וכדאי להבין את מחוון זמן הפענוח: ערך גבוה יותר מאט כל ניחוש שתוקף מנסה. שנייה על המכונה שלך היא הגדרה סבירה ומכשול רציני בפני כוח גס.
-
הגדר את ביטוי סיסמת האב
השתמשו במחולל, במצב ביטוי סיסמה, כמתואר לעיל. הקדישו זמן לשנן אותו לפני שתמלאו את מסד הנתונים בכל דבר, כי זה הרגע היחיד שבו להתחיל מחדש הוא בחינם.
-
החליטו על קובץ מפתח — בזהירות
KeePassXC יכול לדרוש קובץ נוסף לצד ביטוי הסיסמה שלכם. זה מגביר את האבטחה: מי שמשיג את מסד הנתונים ומנחש את ביטוי הסיסמה עדיין לא יכול לפתוח אותו. זה גם מכפיל את מספר הדברים שאתם יכולים לאבד, וקובץ המפתח אסור שיהיה באותה תיקייה כמו מסד הנתונים, אחרת הוא לא מגן מפני דבר. דלגו על זה אלא אם יש לכם מקום סביר לשמור אותו, כמו כונן USB שאתם שומרים בנפרד.
-
שמרו אותו במקום שאכן תגבו
לא בשולחן העבודה. תיקיית מסמכים שנכללת בכל גיבוי שאתם כבר מריצים.
04שימוש בו ביום-יום
תנו לו להפיק הכל
הנקודה של מנהל סיסמאות היא לא לאחסן את הסיסמאות שיש לכם, אלא שאף פעם לא תמציאו אחת שוב. לכל חשבון חדש, לחצו על סמל הקובייה וקחו כל מה שהוא מפיק. לעולם לא תראו אותה, לעולם לא תקלידו אותה ולעולם לא תצטרכו לזכור אותה, כך שהאורך הוא בחינם: השתמשו ב-20+ תווים בכל מקום שהאתר מאפשר.
עברו על החשבונות הקיימים שלכם בהדרגה, החשובים ביותר קודם — דוא"ל, אחר כך כל דבר שקשור לכסף, ואחר כך כל דבר שאתם מפרסמים ממנו. אין צורך לעשות את כל המאתיים בערב אחד; עשיית עשרת המובילים השבוע היא רוב התועלת.
תוסף הדפדפן
KeePassXC-Browser ממלא סיסמאות בעמודים עבורכם. התקינו אותו מחנות התוספים הרשמית של הדפדפן שלכם וחברו אותו לאפליקציית שולחן העבודה, שתבקש מכם לאשר את הקישור.
ההרחבה מציעה סיסמה רק בדומיין שעבורו היא נשמרה. בדומיין פישינג דומה למראה, היא נשארת שותקת, ושתיקה זו היא אזהרה שכדאי ללמוד לשים לב אליה. אם מנהל הסיסמאות אינו מציע למלא, עצרו ובדקו את שורת הכתובת במקום להקליד אותה ידנית.
קודי אימות דו-שלבי
KeePassXC יכול לאחסן סודות TOTP וליצור את הקודים בני שש הספרות בעצמו. זה נוח וכרוך בפשרה אמיתית: הסיסמה שלכם והגורם השני שלכם נמצאים כעת באותו קובץ, כך שפרצה אחת משיגה את שניהם. עבור רוב החשבונות הנוחות מנצחת. עבור החשבונות החשובים ביותר שלכם, השתמשו במפתח אבטחה במקום, שהוא חזק יותר משניהם.
מה עוד כדאי לשמור שם
מסד הנתונים הוא מכולה מוצפנת, כך שהוא בית הגיוני ליותר מסיסמאות: קודי שחזור מכל חשבון, מפתחות רישיון לתוכנה, התשובות ל"שאלות אבטחה" (שצריכות להיות מחרוזות אקראיות, לא תשובות אמיתיות), ומדי פעם מסמך סרוק. לכל רשומה יש שדה הערות ויכולה לשאת קבצים מצורפים.
05סנכרון וגיבויים, היכן שאנשים טועים
יש לכם קובץ אחד. אתם רוצים אותו על המחשב הנייד והטלפון שלכם. אין שרת שעושה זאת עבורכם, כך שאתם חייבים לבחור שיטה, והבחירה חשובה.
| שיטה | פסק דין | הערות |
|---|---|---|
| אחסון ענן רגיל (Drive, Dropbox, Proton) | בסדר | הקובץ כבר מוצפן, כך שהספק מאחסן גוש אטום. זו התצורה הנפוצה והיא סבירה. מילת המעבר הראשית שלכם עושה את כל העבודה, עשו אותה טובה. |
| Syncthing | הטוב ביותר | מכשיר למכשיר, ללא מעורבות של צד שלישי כלל. הגדרה מרובה יותר, והעקבי ביותר עם הסיבה שבגללה בחרתם במנהל לא מקוון. |
| שליחת זה לעצמכם בדוא"ל | No | זה נוחת בתיבת דואר, לצמיתות, במספר עותקים, על שרתים שאינכם שולטים בהם. |
| שני מכשירים עורכים בו-זמנית | זהירות | הסכנה האמיתית. שני עותקים שהשתנו לפני סנכרון יוצרים קובץ התנגשות, ופתרון שגוי עלול לאבד רשומות חדשות בשקט. סגרו את מסד הנתונים במכשיר אחד לפני עבודה על האחר. |
סנכרון אינו גיבוי. סנכרון מעתיק נאמנה מחיקה או השחתה לכל מכשיר שברשותכם. שמרו עותק תקופתי במקום שאינו מסונכרן, כונן חיצוני, מקל USB במגירה, ובדקו מדי פעם שהוא עדיין נפתח. KeePassXC יכול גם לשמור גיבויים אוטומטיים של הגרסה הקודמת בכל שמירה; הפעילו זאת בהגדרות.
06שילוב עם YubiKey
זהו השילוב שהופך את שני הכלים לחזקים במידה ניכרת, וזהו אחד המאפיינים הפחות מוכרים של כל אחד מהם. KeePassXC יכול לדרוש אתגר-תגובה חומרתי מ-YubiKey בנוסף לביטוי הסיסמה שלכם. בלי המפתח הפיזי נוכח, ביטוי הסיסמה הנכון לבדו לא יפתח את מסד הנתונים.
-
הגדר חריץ במפתח
באמצעות YubiKey Manager, הגדר את אחד משני החריצים ל-HMAC-SHA1 challenge-response. עשה זאת בשני המפתחות שלך, עם אותו סוד, אחרת מפתח הגיבוי שלך לא יפתח את מסד הנתונים שלך, וזה אחר צהריים גרוע מאוד.
-
הוסף אותו למסד הנתונים
Database → Database Security → Change Key File / Challenge-Response, ובחר את המפתח. שמור.
-
בדוק את מפתח הגיבוי מיד
סגור את מסד הנתונים, נתק את המפתח הראשון, ופתח אותו עם השני. אם זה לא עובד, תקן זאת עכשיו, בעוד יש לך מפתח עובד במכונה.
מסד הנתונים שלך כעת לא יכול להיפתח ללא חומרה. זהו היתרון הביטחוני והסיכון התפעולי באותו משפט. זה גם מסבך את השימוש בנייד, מכיוון שאפליקציית הטלפון חייבת לתמוך באותו challenge-response דרך NFC. שווה את זה אם מסד הנתונים מגן על עבודה שמעמידה אנשים בסיכון; כנראה יותר חיכוך מאשר ערך אם לא.
07ממה זה לא מגן עליך
- שימוש חוזר בסיסמאות, ולכן את האפשרות שאתר אחד שנפרץ יהפוך לכולם.
- סיסמאות חלשות, לצמיתות, כי אתה מפסיק להמציא אותן.
- דיוג, באופן חלקי, סירוב התוסף למלא הוא אות אמיתי.
- אובדן גישה לחשבונות שהקמת לפני שנים ושכחת.
- תוכנה זדונית במחשב שלך. מקליט הקשות לוכד את סיסמת האב תוך כדי הקלדתה, ואז יש לו הכל. המנהל מניח שהמכונה אינה כבר בידי תוקף.
- סיסמת אב חלשה. כל התכנון מצטמצם לסוד האחד הזה.
- כפייה לפתוח אותו.
- פרצה באתר עצמו, סיסמה ייחודית מגבילה את הנזק, היא אינה מונעת את הפרצה.
- מסך לא נעול וללא השגחה. הגדר את מסד הנתונים להינעל לאחר מספר דקות של חוסר פעילות וכאשר המסך ננעל.
08שאלות שאנשים באמת שואלים
מה אם אשכח את סיסמת האב?
הנתונים אבדו. אין איפוס, אין שחזור, אין קו תמיכה, זו התוצאה הישירה של כך שאף אחד אחר אינו מחזיק בכספת שלך. בשבועות הראשונים, שמור עותק כתוב במקום מאובטח פיזית עד שתהיה בטוח שהטבעת אותו בזיכרונך. אנשים רבים שומרים עותק חתום באופן קבוע, אצל מישהו שהם סומכים עליו או בכספת; זו עסקה סבירה ולא כישלון של אומץ.
האם זה בטוח לשים את הקובץ ב-Google Drive או ב-Dropbox?
כן, בתנאי שזה הופך את סיסמת האב שלך לדבר היחיד שעומד בין האחסון של אותו ספק לבין כל החיים הדיגיטליים שלך. הקובץ מוצפן היטב והספק רואה רק רעש. אם אתה שלם עם זה, זו הסנכרון הפשוט ביותר שיש. אם לא, השתמש ב-Syncthing.
מה לגבי הטלפון שלי?
KeePassDX ב-Android ו-Strongbox ב-iOS קוראים את אותו פורמט קובץ ושניהם נחשבים לטובים. אף אחד מהם לא נוצר על ידי צוות KeePassXC, לכן בדקו אותם בעצמכם לפני שאתם סומכים עליהם. כוונו את האפליקציה לאותו קובץ מסונכרן והיא תתנהג כפי שהייתם מצפים.
האם עליי לעזוב את מנהל הסיסמאות המובנה של הדפדפן?
כן, בסופו של דבר, אבל אל תתנו להעברה למנוע מכם להשתמש באחד בכלל. מנהלי סיסמאות של דפדפנים כבולים לחשבון הדפדפן, לרוב נפתחים בכל פעם שהדפדפן פתוח, והם מטרה שגרתית לתוכנות זדוניות שגונבות מידע. ייצאו מהדפדפן, ייבאו ל-KeePassXC, ואז מחקו את קובץ הייצוא באופן מאובטח, מדובר ברשימת טקסט פשוטה של כל סיסמה שיש לכם, ומספר מפתיע מהן עדיין יושב בתיקיות ההורדות.
במה זה שונה מ-KeePass, KeePassX, KeeWeb?
הם חולקים פורמט קובץ ועץ משפחה. KeePassXC הוא זה שמתוחזק באופן פעיל וחוצה-פלטפורמות, עם ממשק מודרני ותוסף הדפדפן, ולכן זו ההמלצה כאן. מסד הנתונים שלכם ייפתח גם באחרים אם תרצו לעבור אי פעם.
09מקורות וקריאה נוספת
- KeePassXC — האתר הרשמי והורדות keepassxc.org
- מדריך המשתמש של KeePassXC, המדריך המלא keepassxc.org/docs
- Syncthing — סנכרון בין מכשירים בלי צד שלישי syncthing.net
- Have I Been Pwned, בדקו אילו מהחשבונות שלכם כבר היו בהפרה haveibeenpwned.com
- Privacy Guides — השוואה בין מנהלי סיסמאות privacyguides.org
נבדק לאחרונה: 25 בספטמבר 2026