To druga najcenniejsza rzecz na tej stronie po kluczu bezpieczeństwa, a obie działają razem: klucz powstrzymuje kogoś przed zalogowaniem się jako ty, a menedżer powstrzymuje jedną zhakowaną stronę przed przejęciem wszystkich. Zrób jedno i drugie, a zwykła droga do twojego życia zostanie zamknięta.
01Dlaczego offline
Większość menedżerów haseł przechowuje twój sejf na serwerach firmy. To prawdziwa wygoda i nie jest automatycznie błędem — te dobre szyfrują go tak, że nie mogą go odczytać. Ale tworzy to jeden, stały, dobrze znany cel: bazę danych milionów sejfów, stojącą w jednym miejscu, prowadzoną przez firmę, którą można zhakować, kupić, wezwać do sądu lub która może po prostu popełnić błąd. To się zdarzyło, więcej niż raz, dużym dostawcom.
KeePassXC trzyma bazę danych jako plik na twoim własnym dysku. Nie ma firmy, konta, serwera ani niczego, co można zhakować na skalę masową. Jeśli ktoś chce twoje hasła, musi przyjść po ciebie konkretnie, co jest zupełnie inną sprawą niż zbieranie wszystkich naraz.
- Żadna strona trzecia nie przechowuje twojego sejfu, więc żadna strona trzecia nie może go zgubić, zostać zmuszona do wydania go ani zmienić jego warunków.
- Działa offline, także na maszynie, która nigdy nie miała styczności z internetem.
- Otwarte źródło i audyt, z otwartym formatem pliku, który może odczytać wiele niezależnych programów — nie jesteś uwiązany.
- Darmowe na zawsze, bez planu, który wstrzymuje funkcję bezpieczeństwa, dopóki nie zapłacisz.
- Kopie zapasowe są twoim zadaniem. Zgub plik bez kopii, a hasła przepadną. Nie ma działu wsparcia.
- Synchronizacja między urządzeniami jest twoim zadaniem i to jest część, w której większość ludzi popełnia błąd. Zobacz sekcję 05.
- Wersja mobilna to osobna aplikacja innego dewelopera, nie oficjalna.
- Nikt nie może zresetować twojego hasła głównego. O to właśnie chodzi, i to jest również ryzyko.
Jeśli offline brzmi jak więcej odpowiedzialności, niż chcesz, użyj zamiast tego Bitwarden lub Proton Pass i zajmij się swoim życiem. Katastrofalną opcją jest ta, której używasz teraz — to samo hasło w pięćdziesięciu miejscach. Nie pozwól, by poszukiwanie idealnego narzędzia zostawiło cię przy najgorszym.
02Hasło główne, czyli cała istota
Wszystko opiera się na jednym haśle. Jeśli jest słabe, nic innego w tym poradniku nie ma znaczenia; jeśli jest silne, atakujący z plikiem twojej bazy danych wciąż nie ma nic.
Cztery do sześciu losowych słów — nie wymyślonej przez ciebie frazy, która jest znacznie mniej losowa, niż się wydaje. Coś w rodzaju harbour-plum-ditch-tractor-vine. Jest długa, naprawdę losowa i faktycznie możesz ją zapamiętać, czego nigdy nie można powiedzieć o ciągu symboli. Pozwól KeePassXC wygenerować ją w trybie frazy hasłowej, a potem zapisz ją na papierze, aż utkwi ci w głowie, i zniszcz papier.
Główna fraza hasłowa powinna istnieć dokładnie w dwóch miejscach: w twojej pamięci i, jeśli jej potrzebujesz, w zapieczętowanej fizycznej kopii zapasowej w bezpiecznym miejscu. Nigdy w pliku, nigdy w aplikacji do notatek, nigdy w wiadomości do samego siebie i nigdy w tym ani żadnym innym dokumencie.
03Konfiguracja
-
Zainstaluj go z oficjalnego źródła
Pobierz z keepassxc.org, a w systemie Linux z repozytorium twojej dystrybucji lub Flatpaka. Wpisz adres ręcznie — domeny łudząco podobne do menedżerów haseł to dobrze znany atak, z oczywistych powodów.
-
Utwórz bazę danych
Database → New Database. Nadaj jej nazwę, która nie brzmi „passwords”. Zostaniesz zapytany o ustawienia szyfrowania, domyślne są dobre, a suwak czasu odszyfrowywania warto zrozumieć: wyższa wartość sprawia, że każda próba odgadnięcia przez atakującego jest wolniejsza. Jedna sekunda na twoim własnym komputerze to rozsądne ustawienie i poważna przeszkoda dla ataku brute force.
-
Ustaw główną frazę hasłową
Użyj generatora w trybie frazy hasłowej, zgodnie z powyższym opisem. Poświęć czas na jej zapamiętanie, zanim wypełnisz bazę danych czymkolwiek, ponieważ to jedyny moment, w którym rozpoczęcie od nowa jest darmowe.
-
Zdecyduj się na plik klucza — starannie
KeePassXC może wymagać drugiego pliku obok frazy hasłowej. Zwiększa to bezpieczeństwo: ktoś, kto zdobędzie bazę danych i odgadnie frazę hasłową, nadal nie może jej otworzyć. Podwaja to również liczbę rzeczy, które możesz zgubić, a plik klucza nie może znajdować się w tym samym folderze co baza danych, bo inaczej niczego nie chroni. Pomiń go, chyba że masz sensowne miejsce, aby go przechowywać, na przykład pendrive trzymany osobno.
-
Zapisz go w miejscu, które faktycznie będziesz kopiować zapasowo
Nie na pulpicie. Folder dokumentów, który jest objęty dowolną kopią zapasową, którą już wykonujesz.
04Codzienne używanie
Pozwól mu generować wszystko
Sedno menedżera haseł nie polega na przechowywaniu haseł, które masz, ale na tym, że nigdy więcej nie wymyślasz żadnego. Dla każdego nowego konta kliknij ikonę kości i weź to, co wygeneruje. Nigdy go nie zobaczysz, nigdy go nie wpiszesz i nigdy nie będziesz musiał go pamiętać, więc długość jest darmowa: używaj 20+ znaków wszędzie, gdzie strona na to pozwala.
Przechodź przez swoje istniejące konta stopniowo, od najważniejszych — najpierw e-mail, potem wszystko związane z pieniędzmi, a następnie wszystko, z czego publikujesz. Nie ma potrzeby robić wszystkich dwustu w jeden wieczór; zrobienie dziesięciu najważniejszych w tym tygodniu to większość korzyści.
Rozszerzenie przeglądarki
KeePassXC-Browser wypełnia hasła na stronach za Ciebie. Zainstaluj je z oficjalnego sklepu z dodatkami swojej przeglądarki i połącz z aplikacją desktopową, która poprosi Cię o zatwierdzenie połączenia.
Rozszerzenie oferuje hasło tylko w domenie, dla której zostało zapisane. W domenie phishingowej łudząco podobnej do prawdziwej pozostaje ciche, a to milczenie jest ostrzeżeniem, którego powinieneś nauczyć się zauważać. Jeśli menedżer nie proponuje wypełnienia, zatrzymaj się i sprawdź pasek adresu, zamiast wpisywać go ręcznie.
Kody dwuskładnikowe
KeePassXC może przechowywać sekrety TOTP i samodzielnie generować sześciocyfrowe kody. Jest to wygodne i wiąże się z realnym kompromisem: twoje hasło i drugi składnik znajdują się teraz w tym samym pliku, więc jedno przejęcie daje dostęp do obu. W przypadku większości kont wygoda wygrywa. W przypadku twoich najważniejszych kont użyj zamiast tego klucza bezpieczeństwa, który jest silniejszy niż jedno i drugie.
Co jeszcze warto tam trzymać
Baza danych to zaszyfrowany kontener, więc jest sensownym miejscem na więcej niż hasła: kody odzyskiwania z każdego konta, klucze licencyjne oprogramowania, odpowiedzi na „pytania bezpieczeństwa” (które powinny być losowymi ciągami znaków, a nie prawdziwymi odpowiedziami) oraz okazjonalnie zeskanowane dokumenty. Każdy wpis ma pole notatek i może zawierać załączniki.
05Synchronizacja i kopie zapasowe, czyli gdzie ludzie popełniają błędy
Masz jeden plik. Chcesz go mieć na laptopie i telefonie. Nie ma serwera, który zrobiłby to za ciebie, więc musisz wybrać metodę, a wybór ma znaczenie.
| Metoda | Werdykt | Uwagi |
|---|---|---|
| Zwykła chmura (Drive, Dropbox, Proton) | W porządku | Plik jest już zaszyfrowany, więc dostawca przechowuje nieprzejrzysty blob. To typowa konfiguracja i jest rozsądna. Twoje hasło główne wykonuje całą pracę, zadbaj, by było dobre. |
| Syncthing | Najlepsza | Bezpośrednio między urządzeniami, bez udziału jakiejkolwiek strony trzeciej. Więcej konfiguracji i najbardziej spójna z powodem, dla którego wybrałeś menedżera offline. |
| Wysyłanie go sobie e-mailem | No | Ląduje w skrzynce pocztowej, na stałe, w kilku kopiach, na serwerach, których nie kontrolujesz. |
| Dwa urządzenia edytujące jednocześnie | Ostrożnie | To jest rzeczywiste zagrożenie. Dwie kopie zmienione przed synchronizacją tworzą plik konfliktu, a błędne rozwiązanie po cichu gubi nowe wpisy. Zamknij bazę danych na jednym urządzeniu, zanim zaczniesz pracować na drugim. |
Synchronizacja to nie kopia zapasowa. Synchronizacja wiernie kopiuje usunięcie lub uszkodzenie na każde twoje urządzenie. Trzymaj okresową kopię w miejscu, które się nie synchronizuje, na dysku zewnętrznym, pendrive w szufladzie, i od czasu do czasu sprawdzaj, czy nadal się otwiera. KeePassXC może też zachowywać automatyczne kopie zapasowe poprzedniej wersji przy każdym zapisie; włącz to w ustawieniach.
06Parowanie go z YubiKey
To jest połączenie, które czyni oba narzędzia znacznie silniejszymi, i jest to jedna z najmniej znanych funkcji każdego z nich. KeePassXC może wymagać sprzętowego challenge-response z YubiKey oprócz twojego hasła. Bez obecności fizycznego klucza samo poprawne hasło nie otworzy bazy danych.
-
Skonfiguruj slot na kluczu
Za pomocą YubiKey Manager ustaw jeden z dwóch slotów na uwierzytelnianie challenge-response HMAC-SHA1. Zrób to na obu swoich kluczach, z tym samym sekretem, inaczej klucz zapasowy nie otworzy twojej bazy danych, co jest bardzo złym popołudniem.
-
Dodaj go do bazy danych
Database → Database Security → Change Key File / Challenge-Response i wybierz klucz. Zapisz.
-
Natychmiast przetestuj klucz zapasowy
Zamknij bazę danych, odłącz pierwszy klucz i otwórz ją drugim. Jeśli to nie działa, napraw to teraz, dopóki masz jeszcze działający klucz w maszynie.
Twojej bazy danych nie można teraz otworzyć bez sprzętu. To jest korzyść bezpieczeństwa i ryzyko operacyjne w tym samym zdaniu. Komplikuje to również korzystanie z telefonu, ponieważ aplikacja mobilna musi obsługiwać to samo challenge-response przez NFC. Warto, jeśli baza danych chroni pracę, która naraża ludzi na ryzyko; prawdopodobnie więcej tarcia niż wartości, jeśli nie.
07Czego cię to nie chroni
- Ponowne używanie haseł, a więc sytuację, w której jedna zhakowana strona staje się wszystkimi.
- Słabe hasła, na stałe, bo przestajesz je wymyślać.
- Phishing, częściowo, odmowa wypełnienia przez rozszerzenie to prawdziwy sygnał.
- Utrata dostępu do kont, które założyłeś lata temu i o nich zapomniałeś.
- Złośliwe oprogramowanie na twoim komputerze. Keylogger przechwytuje główne hasło podczas jego wpisywania, a wtedy ma już wszystko. Menedżer zakłada, że maszyna nie jest już przejęta.
- Słabe hasło główne. Cała konstrukcja sprowadza się do tego jednego sekretu.
- Bycie zmuszonym do jego otwarcia.
- Włamanie do samej witryny, unikalne hasło ogranicza szkody, ale nie zapobiega włamaniu.
- Odblokowany, pozostawiony bez nadzoru ekran. Ustaw bazę danych tak, aby blokowała się po kilku minutach bezczynności oraz gdy ekran się zablokuje.
08Pytania, które ludzie naprawdę zadają
Co jeśli zapomnę hasła głównego?
Dane przepadają. Nie ma resetu, nie ma odzyskiwania, nie ma linii wsparcia, to bezpośrednia konsekwencja tego, że nikt inny nie przechowuje twojego sejfu. W pierwszych tygodniach trzymaj zapisaną kopię w fizycznie bezpiecznym miejscu, dopóki nie będziesz pewien, że ją zapamiętałeś. Wiele osób trzyma zapieczętowaną kopię na stałe, u kogoś zaufanego lub w sejfie; to rozsądny kompromis, a nie brak odwagi.
Czy bezpieczne jest umieszczenie pliku w Google Drive lub Dropbox?
Tak, z zastrzeżeniem, że sprawia to, iż twoje hasło główne jest jedyną rzeczą stojącą między pamięcią tego dostawcy a całym twoim cyfrowym życiem. Plik jest silnie zaszyfrowany, a dostawca widzi szum. Jeśli ci to odpowiada, to najprostsza synchronizacja, jaka istnieje. Jeśli nie, użyj Syncthing.
A co z moim telefonem?
KeePassDX na Android i Strongbox na iOS odczytują ten sam format pliku i są dobrze oceniane. Żadna z nich nie jest tworzona przez zespół KeePassXC, więc sprawdź je sam, zanim im zaufasz. Wskaż aplikacji ten sam zsynchronizowany plik i będzie działać zgodnie z oczekiwaniami.
Czy powinienem odejść od wbudowanego menedżera haseł w przeglądarce?
Tak, docelowo, ale nie pozwól, aby migracja powstrzymała cię od korzystania z jakiegokolwiek menedżera. Menedżery przeglądarek są powiązane z kontem przeglądarki, często są odblokowane, gdy przeglądarka jest otwarta, i są rutynowym celem złośliwego oprogramowania wykradającego informacje. Wyeksportuj dane z przeglądarki, zaimportuj do KeePassXC, a następnie bezpiecznie usuń plik eksportu — to zwykły tekstowy wykaz wszystkich twoich haseł, a zaskakująco wiele z nich wciąż leży w folderach pobranych.
Czym to się różni od KeePass, KeePassX, KeeWeb?
Dzielą format pliku i drzewo genealogiczne. KeePassXC to aktywnie utrzymywana wersja wieloplatformowa z nowoczesnym interfejsem i rozszerzeniem do przeglądarki, dlatego jest tu rekomendowana. Twoja baza danych otworzy się w pozostałych, jeśli kiedykolwiek zechcesz się przenieść.
09Źródła i dalsza lektura
- KeePassXC — oficjalna strona i pliki do pobrania keepassxc.org
- Podręcznik użytkownika KeePassXC, pełna instrukcja keepassxc.org/docs
- Syncthing — synchronizacja między urządzeniami bez pośredników syncthing.net
- Have I Been Pwned — sprawdź, które z twoich kont zostały już ujawnione w wycieku haveibeenpwned.com
- Privacy Guides — porównanie menedżerów haseł privacyguides.org
Ostatnia weryfikacja: 25 września 2026