これはこのサイトでセキュリティキーに次いで価値の高いもので、両者は連携して機能します。キーは誰かがあなたとしてログインするのを防ぎ、マネージャーは1つの侵害されたサイトがすべてのサイトの侵害に変わるのを防ぎます。両方を行えば、あなたの生活への通常の侵入経路は閉ざされます。
01なぜオフラインのものを選ぶのか
ほとんどのパスワードマネージャーは、あなたの保管庫を企業のサーバーに保存します。それは確かに便利であり、自動的に間違いとは言えません。優れたものは暗号化して企業自身も読めないようにしています。しかしそれは、単一で永続的でよく知られた標的を生み出します。何百万もの保管庫のデータベースが一箇所に置かれ、侵害されたり、買収されたり、召喚状を受けたり、あるいは単にミスを犯したりする可能性のある企業によって運営されているのです。これは大手プロバイダーで一度ならず起こっています。
KeePassXCはデータベースをあなた自身のディスク上のファイルとして保持します。企業もアカウントもサーバーもなく、大規模に侵害されるものは何もありません。誰かがあなたのパスワードを欲しがるなら、あなた個人を狙って来なければならず、それは全員から一斉に収集するのとはまったく異なる話です。
- 第三者があなたの保管庫を保持しないため、第三者がそれを失ったり、それについて強制されたり、条件を変更したりすることはありません。
- オフラインで動作します。インターネットに一度も接続したことのないマシンでも含みます。
- オープンソースで監査済み、多くの独立したプログラムが読めるオープンなファイル形式で、囲い込みはありません。
- 永久に無料で、支払うまでセキュリティ機能を保留するような階層はありません。
- バックアップはあなたの仕事です。コピーのないファイルを失えば、パスワードは消えます。サポートデスクはありません。
- デバイス間の同期はあなたの仕事です。そしてこれがほとんどの人が間違える部分です。セクション05を参照してください。
- モバイル版は別のアプリで、別の開発者によるものであり、公式のものではありません。
- マスターパスワードをリセットできる人は誰もいません。 それが利点であり、同時にリスクでもあります。
オフラインが自分には責任が重すぎると感じるなら、代わりにBitwardenかProton Passを使って、人生を先に進めましょう。壊滅的な選択肢は、今あなたが使っているもの、つまり同じパスワードを50か所で使うことです。完璧なツールを探すあまり、最悪のツールに留まらないようにしてください。
02マスターパスワード、これがすべて
すべては1つのパスフレーズにかかっています。それが弱ければ、このガイドの他のことは何も意味がありません。強ければ、あなたのデータベースファイルを手に入れた攻撃者でも、何も得られません。
ランダムな4〜6個の単語 — 自分で考えたフレーズは使わないでください。それは思っているよりずっとランダムではありません。harbour-plum-ditch-tractor-vineのようなものです。長く、本当にランダムで、実際に覚えられます。記号の羅列では決してそうはなりません。KeePassXCのパスフレーズモードで生成させ、頭に入るまで紙に書き、その後で紙を破棄しましょう。
マスターパスフレーズが存在すべき場所は正確に2か所だけです。あなたの記憶と、必要なら安全な場所にある封印された物理バックアップです。ファイルに、メモアプリに、自分宛てのメッセージに、そしてこの文書や他のどんな文書にも決して入れないでください。
03セットアップ
-
公式ソースからインストールする
keepassxc.org からダウンロードするか、Linux ではディストリビューションのリポジトリまたは Flatpak から入手してください。アドレスは手入力してください。パスワードマネージャーに似せたドメインは、明らかな理由から、よく使われる攻撃手法です。
-
データベースを作成する
データベース → 新しいデータベース。 「passwords」ではない名前を付けてください。暗号化設定について尋ねられますが、デフォルトで問題ありません。また、復号時間のスライダーは理解しておく価値があります。値を高くすると、攻撃者が試すすべての推測が遅くなります。自分のマシンで 1 秒というのは妥当な設定であり、ブルートフォースに対する重大な障害となります。
-
マスターパスフレーズを設定する
前述のとおり、パスフレーズモードのジェネレーターを使用してください。データベースに何かを入れる前に、これを覚える時間を取ってください。やり直しが無料でできるのはこの瞬間だけだからです。
-
キーファイルについて慎重に決める
KeePassXC では、パスフレーズに加えて 2 つ目のファイルを要求できます。これによりセキュリティが向上します。データベースを入手してパスフレーズを推測した者でも、開くことはできません。その一方で、紛失する可能性のあるものが 2 倍になります。キーファイルはデータベースと同じフォルダに置いてはいけません。そうでなければ何も保護できません。別に保管する USB スティックなど、適切な保管場所がない限りは省略してください。
-
実際にバックアップする場所に保存する
デスクトップではありません。すでに実行しているバックアップに含まれるドキュメントフォルダに保存してください。
04日常的な使用
すべてを生成させる
マネージャーの要点は、すでに持っているパスワードを保存することではなく、二度と自分でパスワードを考え出さなくて済むことです。新しいアカウントごとに、サイコロのアイコンをクリックして生成されたものを受け入れてください。それを目にすることも、入力することも、覚える必要もないので、長さは自由です。サイトが許す限り 20 文字以上を使用してください。
既存のアカウントを徐々に、重要なものから順に進めてください — まずメール、次にお金に関わるもの、そして次に発信元として使っているもの。二百個すべてを一晩でやる必要はありません。今週上位十個をやれば、効果の大部分は得られます。
ブラウザ拡張機能
KeePassXC-Browserはページにパスワードを自動入力します。ブラウザの公式アドオンストアからインストールし、デスクトップアプリに接続してください。接続時にリンクの承認を求められます。
拡張機能は、保存されたドメインでのみパスワードを提示します。似たようなフィッシングドメインでは、沈黙を保ちます。その沈黙は気づくべき警告です。マネージャーが入力を提案しない場合は、手動で入力せず、アドレスバーを確認してください。
二要素コード
KeePassXCはTOTPシークレットを保存し、六桁のコードを自身で生成できます。これは便利ですが、実際のトレードオフを伴います。パスワードと第二要素が同じファイルに保存されるため、一度の侵害で両方が奪われます。ほとんどのアカウントでは便利さが勝ります。最も重要なアカウントには、代わりにセキュリティキーを使用してください。どちらよりも強力です。
他に何を入れておくべきか
データベースは暗号化されたコンテナなので、パスワード以外にも適した保管場所です。すべてのアカウントのリカバリーコード、ソフトウェアライセンスキー、「秘密の質問」の答え（真の答えではなくランダムな文字列であるべき）、時折のスキャン文書などです。各エントリにはメモ欄があり、ファイル添付も可能です。
05同期とバックアップ、人が間違えるところ
ファイルは一つです。ノートパソコンとスマートフォンの両方に持ちたい。これを代行してくれるサーバーはないので、方法を選ぶ必要があり、その選択は重要です。
| 方法 | 判定 | 注記 |
|---|---|---|
| 通常のクラウドストレージ (Drive、Dropbox、Proton) | 問題なし | ファイルはすでに暗号化されているため、プロバイダーは不透明なブロブを保存するだけです。これは一般的な構成であり、妥当です。マスターパスフレーズがすべての役割を担っているので、強力なものにしてください。 |
| Syncthing | 最良 | デバイス間で直接やり取りし、第三者を一切介しません。設定は増えますが、オフラインマネージャーを選んだ理由と最も整合します。 |
| 自分自身にメールで送る | No | メールボックスに、恒久的に、複数のコピーとして、あなたが管理していないサーバー上に残ります。 |
| 2台のデバイスで同時に編集 | 注意 | これが実際の危険です。同期前に2つのコピーが変更されると競合ファイルが生成され、誤った解決により新しいエントリが気付かないうちに失われます。一方のデバイスで作業する前に、もう一方のデバイスでデータベースを閉じてください。 |
同期はバックアップではありません。同期は削除や破損を、あなたが持つすべての端末に忠実にコピーします。同期しない場所、外付けドライブ、引き出しの中のUSBメモリなどに定期的なコピーを保管し、ときどき問題なく開けるか確認してください。KeePassXCは、保存するたびに前のバージョンの自動バックアップを保持することもできます。設定で有効にしてください。
06YubiKeyと組み合わせる
これは両方のツールを大幅に強化する組み合わせであり、どちらのツールでもあまり知られていない機能の一つです。KeePassXCは、パスフレーズに加えてYubiKeyによるハードウェアのチャレンジレスポンスを要求できます。物理キーが手元にない場合、正しいパスフレーズだけではデータベースを開けません。
-
キーのスロットを設定する
YubiKey Managerを使い、2つのスロットのうち1つをHMAC-SHA1チャレンジレスポンスに設定します。これを両方のキーで、同じシークレットを使って行ってください。そうしないと、予備のキーでデータベースを開けず、非常に厄介な午後になります。
-
データベースに追加する
データベース → データベースセキュリティ → キーファイル / チャレンジレスポンスの変更を選び、キーを選択します。保存します。
-
予備のキーをすぐにテストする
データベースを閉じ、1つ目のキーを抜き、2つ目のキーで開きます。うまくいかない場合は、まだ使えるキーがマシンにあるうちに、今すぐ修正してください。
これでデータベースはハードウェアなしでは開けなくなります。それが同じ一文の中にあるセキュリティ上の利点であり、運用上のリスクです。また、スマートフォンアプリがNFC経由で同じチャレンジレスポンスに対応している必要があるため、モバイルでの利用も複雑になります。データベースが人々を危険にさらすような活動を保護するものであれば、やる価値があります。そうでなければ、おそらく手間のほうが価値を上回ります。
07保護してくれないこと
- パスワードの使い回し、つまり1つのサイトの漏洩がすべてのサイトの漏洩になることを防ぐ。
- 弱いパスワードを恒久的に排除する。もう自分で考える必要がなくなるからだ。
- フィッシングにある程度は効く。拡張機能が入力を拒否することは、実際の警告サインになる。
- アクセス不能になること。何年も前に作って忘れていたアカウントでも。
- パソコン上のマルウェア。キーロガーはマスターパスフレーズを入力するそばから盗み取り、それで全部を手に入れる。パスワードマネージャーは、その端末がすでに乗っ取られていないことを前提にしている。
- 弱いマスターパスフレーズ。設計全体がこの1つの秘密に集約される。
- 開くよう強要されること。
- サイト自体の漏洩。固有のパスワードは被害を抑えるだけで、漏洩そのものは防げない。
- ロックされていない、放置された画面。データベースは数分間操作がなければロックし、画面がロックされたときにもロックするよう設定すること。
08実際によくある質問
マスターパスフレーズを忘れたらどうなりますか？
データは失われます。リセットも復元もサポート窓口もありません。これは、あなた以外に誰もあなたの保管庫を保持していないことの直接的な結果です。最初の数週間は、完全に暗記したと確信できるまで、物理的に安全な場所に書いたコピーを保管してください。多くの人は、信頼できる人に預けるか金庫に入れて、封印したコピーを永久に保管しています。それは神経の弱さではなく、合理的なトレードオフです。
ファイルをGoogle DriveやDropboxに置いても安全ですか？
はい。ただし、そのプロバイダーのストレージとあなたのデジタル生活全体の間に立ちはだかる唯一のものがマスターパスフレーズになるという条件付きです。ファイルは強力に暗号化されており、プロバイダーにはノイズにしか見えません。それで問題なければ、これが最も簡単な同期方法です。そうでなければ、Syncthingを使ってください。
スマートフォンはどうですか？
AndroidのKeePassDXとiOSのStrongboxはどちらも同じファイル形式を読み取ることができ、評価も高いです。どちらもKeePassXCチームが作ったものではないので、信頼する前に自分で確認してください。アプリを同じ同期ファイルに向ければ、期待通りに動作します。
ブラウザ内蔵のパスワードマネージャーから移行すべきですか？
はい、最終的には。ただし、移行のせいでパスワードマネージャーを全く使わなくなることのないようにしてください。ブラウザのマネージャーはブラウザアカウントに紐づいており、ブラウザが開いているときは常にロックが解除されていることが多く、情報窃取マルウェアの常習的な標的です。ブラウザからエクスポートし、KeePassXCにインポートしたら、エクスポートファイルを安全に削除してください。それはあなたが持つすべてのパスワードのプレーンテキストリストであり、驚くほど多くのものが今もダウンロードフォルダに残っています。
これはKeePass、KeePassX、KeeWebとどう違うのですか？
これらはファイル形式と系統樹を共有しています。KeePassXCは、モダンなインターフェースとブラウザ拡張機能を備えた、積極的にメンテナンスされているクロスプラットフォーム版であり、ここで推奨されている理由です。データベースは、移行したい場合には他のものでも開くことができます。
09情報源と参考資料
- KeePassXC — 公式サイトとダウンロード keepassxc.org
- KeePassXCユーザーガイド、完全なマニュアル keepassxc.org/docs
- Syncthing — 第三者を介さないデバイス間同期 syncthing.net
- Have I Been Pwned、自分のアカウントがすでに漏洩に含まれているか確認する haveibeenpwned.com
- Privacy Guides — パスワードマネージャーの比較 privacyguides.org
最終レビュー日: 2026年9月25日