Esta é a segunda coisa de maior valor neste site, depois de uma chave de segurança, e as duas funcionam juntas: a chave impede que alguém entre como você, e o gerenciador impede que um site comprometido se transforme em todos eles. Faça os dois e a rota comum para invadir sua vida estará fechada.
01Por que um offline
A maioria dos gerenciadores de senhas armazena seu cofre nos servidores da empresa. Isso é uma conveniência genuína e não é automaticamente errado; os bons criptografam tudo para que não possam ler. Mas isso cria um alvo único, permanente e bem conhecido: um banco de dados de milhões de cofres, em um só lugar, administrado por uma empresa que pode ser invadida, comprada, alvo de intimação judicial ou simplesmente cometer um erro. Isso já aconteceu, mais de uma vez, com grandes provedores.
KeePassXC mantém o banco de dados como um arquivo no seu próprio disco. Não há empresa, nem conta, nem servidor, e nada para invadir em escala. Se alguém quiser suas senhas, terá que vir atrás de você especificamente, o que é uma proposta completamente diferente de coletar todos de uma vez.
- Nenhum terceiro detém o seu cofre, então nenhum terceiro pode perdê-lo, ser obrigado a entregá-lo ou alterar os seus termos.
- Funciona offline, inclusive numa máquina que nunca se ligou à internet.
- Open source e auditado, com um formato de ficheiro aberto que muitos programas independentes conseguem ler, não fica preso a nada.
- Gratuito para sempre, sem um nível que retenha uma funcionalidade de segurança até você pagar.
- As cópias de segurança são da sua responsabilidade. Perca o ficheiro sem cópia e as palavras-passe desaparecem. Não há serviço de apoio.
- A sincronização entre dispositivos é da sua responsabilidade, e é a parte que a maioria das pessoas faz mal. Ver secção 05.
- O telemóvel é uma aplicação separada de um programador diferente, não é oficial.
- Ninguém pode repor a sua palavra-passe mestra. É esse o objetivo, e é também o risco.
Se offline lhe parecer mais responsabilidade do que você quer, use o Bitwarden ou o Proton Pass e siga com a sua vida. A opção catastrófica é a que você usa agora, a mesma palavra-passe em cinquenta sítios. Não deixe que a procura da ferramenta perfeita o deixe na pior de todas.
02A palavra-passe mestra, que é a peça central
Tudo assenta numa única frase-passe. Se for fraca, nada mais neste guia importa; se for forte, um atacante com o teu ficheiro de base de dados continua sem nada.
Quatro a seis palavras aleatórias — não uma frase que compuseste, que é muito menos aleatória do que parece. Algo como harbour-plum-ditch-tractor-vine. É longa, genuinamente aleatória, e consegues realmente memorizá-la, o que uma sequência de símbolos nunca é. Deixa o KeePassXC gerá-la por ti usando o modo de frase-passe, depois escreve-a em papel até estar na tua cabeça, e destrói o papel depois.
A frase-passe mestra deve existir em exatamente dois lugares: na tua memória e, se precisares, numa cópia de segurança física selada num local seguro. Nunca num ficheiro, nunca numa aplicação de notas, nunca numa mensagem para ti próprio, e nunca neste ou em qualquer outro documento.
03Configurá-la
-
Instala-a a partir da fonte oficial
Descarrega de keepassxc.org, ou no Linux a partir do repositório da tua distribuição ou do Flatpak. Escreve o endereço à mão — domínios que imitam gestores de palavras-passe são um ataque bem conhecido, por razões óbvias.
-
Cria a base de dados
Database → New Database. Dá-lhe um nome que não seja "passwords". Serás questionado sobre as definições de encriptação, as predefinições são boas, e o cursor de tempo de desencriptação vale a pena compreender: um valor mais alto torna cada tentativa de um atacante mais lenta. Um segundo na tua própria máquina é uma definição razoável e um obstáculo sério à força bruta.
-
Define a frase-passe mestra
Use o gerador, no modo de frase-passe, como descrito acima. Leve o tempo necessário para a memorizar antes de preencher a base de dados com seja o que for, porque este é o único momento em que recomeçar é gratuito.
-
Decida sobre um ficheiro-chave — com cuidado
O KeePassXC pode exigir um segundo ficheiro além da sua frase-passe. Aumenta a segurança: alguém que obtenha a base de dados e adivinhe a frase-passe continua a não a conseguir abrir. Também duplica o número de coisas que pode perder, e o ficheiro-chave não deve ficar na mesma pasta que a base de dados, ou não protege contra nada. Prescinda dele a menos que tenha um local sensato para o guardar, como uma pen USB que mantém à parte.
-
Guarde-a num sítio onde vá realmente fazer cópias de segurança
Não no ambiente de trabalho. Uma pasta de documentos que esteja incluída em qualquer cópia de segurança que já faça.
04Usá-la no dia a dia
Deixe-o gerar tudo
O objetivo de um gestor não é armazenar as palavras-passe que tem, é que nunca volte a inventar uma. Para cada nova conta, clique no ícone do dado e aceite o que ele produzir. Nunca a verá, nunca a escreverá e nunca precisará de se lembrar dela, por isso o comprimento é gratuito: use 20+ caracteres sempre que o site o permita.
Percorra gradualmente as suas contas existentes, começando pelas mais importantes — email, depois tudo o que envolva dinheiro, depois tudo a partir do qual publica. Não há necessidade de fazer as duzentas numa só noite; fazer as dez principais esta semana é a maior parte do benefício.
A extensão do navegador
O KeePassXC-Browser preenche palavras-passe nas páginas por si. Instale-o a partir da loja oficial de extensões do seu navegador e ligue-o à aplicação de ambiente de trabalho, que lhe pedirá para aprovar a ligação.
A extensão só oferece uma palavra-passe no domínio para o qual foi guardada. Num domínio de phishing semelhante, permanece em silêncio, e esse silêncio é um aviso que deve aprender a notar. Se o gestor não oferecer para preencher, pare e verifique a barra de endereços em vez de escrever manualmente.
Códigos de dois fatores
O KeePassXC pode armazenar segredos TOTP e gerar os códigos de seis dígitos por si próprio. Isto é conveniente e envolve um compromisso real: a sua palavra-passe e o seu segundo fator passam a viver no mesmo ficheiro, pelo que um único comprometimento obtém ambos. Para a maioria das contas, a conveniência vence. Para as suas contas mais importantes, use antes uma chave de segurança, que é mais forte do que qualquer uma delas.
O que mais guardar lá
A base de dados é um contentor encriptado, por isso é um local sensato para mais do que palavras-passe: códigos de recuperação de todas as contas, chaves de licença de software, as respostas às "perguntas de segurança" (que devem ser cadeias aleatórias, não respostas verdadeiras) e o ocasional documento digitalizado. Cada entrada tem um campo de notas e pode conter anexos de ficheiros.
05Sincronização e cópias de segurança, onde as pessoas erram
Tem um ficheiro. Quer tê-lo no seu portátil e no seu telemóvel. Não há nenhum servidor a fazer isto por si, por isso tem de escolher um método, e a escolha importa.
| Método | Veredicto | Notas |
|---|---|---|
| Armazenamento comum na nuvem (Drive, Dropbox, Proton) | Boa | O ficheiro já está encriptado, por isso o fornecedor armazena um blob opaco. Esta é a configuração comum e é razoável. A sua frase-passe mestra está a fazer todo o trabalho, faça com que seja boa. |
| Syncthing | Melhor | Dispositivo a dispositivo, sem qualquer terceiro envolvido. Mais configuração, e o mais consistente com a razão pela qual escolheu um gestor offline. |
| Enviar por email para si próprio | No | Fica numa caixa de correio, permanentemente, em várias cópias, em servidores que não controla. |
| Dois dispositivos a editar ao mesmo tempo | Cuidado | O perigo real. Duas cópias alteradas antes de uma sincronização produzem um ficheiro de conflito, e a resolução errada perde silenciosamente novas entradas. Feche a base de dados num dispositivo antes de trabalhar no outro. |
Sincronização não é cópia de segurança. Uma sincronização copia fielmente uma eliminação ou uma corrupção para todos os dispositivos que possui. Mantenha uma cópia periódica num local que não sincronize, um disco externo, uma pen USB numa gaveta, e verifique de vez em quando que ainda abre. O KeePassXC também pode manter cópias de segurança automáticas da versão anterior sempre que guarda; ative isso nas configurações.
06Emparelhá-lo com uma YubiKey
Esta é a combinação que torna ambas as ferramentas substancialmente mais fortes, e é uma das funcionalidades menos conhecidas de qualquer uma delas. O KeePassXC pode exigir um desafio-resposta de hardware de uma YubiKey, além da sua frase-passe. Sem a chave física presente, a frase-passe correta por si só não abrirá a base de dados.
-
Configure um slot na chave
Usando o YubiKey Manager, defina um dos dois slots para desafio-resposta HMAC-SHA1. Faça isso em ambas as suas chaves, com o mesmo segredo, ou a sua chave de backup não abrirá o seu banco de dados, o que é uma tarde muito ruim.
-
Adicione-o ao banco de dados
Database → Database Security → Change Key File / Challenge-Response, e selecione a chave. Salve.
-
Teste a chave de backup imediatamente
Feche o banco de dados, desconecte a primeira chave e abra-o com a segunda. Se isso não funcionar, conserte agora, enquanto você ainda tem uma chave funcionando na máquina.
Seu banco de dados agora não pode ser aberto sem hardware. Esse é o benefício de segurança e o risco operacional na mesma frase. Também complica o uso móvel, já que o aplicativo do telefone deve suportar o mesmo desafio-resposta via NFC. Vale a pena se o banco de dados protege trabalho que coloca pessoas em risco; provavelmente mais atrito do que valor se não proteger.
07Do que isso não protege você
- Reutilização de senha, e portanto um site comprometido se tornar todos eles.
- Senhas fracas, permanentemente, porque você para de inventá-las.
- Phishing, parcialmente, a recusa da extensão em preencher é um sinal real.
- Perder o acesso a contas que você criou anos atrás e esqueceu.
- Malware no seu computador. Um keylogger captura a frase-senha mestra enquanto você a digita, e então tem tudo. O gerenciador presume que a máquina não está comprometida.
- Uma frase-senha mestra fraca. Todo o projeto se resume a esse único segredo.
- Ser forçado a abri-lo.
- Uma violação no próprio site, uma senha única limita o dano, não impede a violação.
- Uma tela desbloqueada e sem supervisão. Configure o banco de dados para bloquear após alguns minutos de inatividade e quando a tela for bloqueada.
08Perguntas que as pessoas realmente fazem
E se eu esquecer a frase-senha mestra?
Os dados se foram. Não há redefinição, nem recuperação, nem linha de suporte, essa é a consequência direta de ninguém mais guardar o seu cofre. Nas primeiras semanas, mantenha uma cópia escrita em algum lugar fisicamente seguro até ter certeza de que a memorizou. Muitas pessoas mantêm uma cópia lacrada permanentemente, com alguém de confiança ou em um cofre; isso é uma troca razoável, e não uma falha de coragem.
É seguro colocar o arquivo no Google Drive ou no Dropbox?
Sim, com a ressalva de que isso faz da sua frase-senha mestra a única coisa entre o armazenamento desse provedor e toda a sua vida digital. O arquivo é fortemente criptografado e o provedor vê apenas ruído. Se você se sente confortável com isso, é a sincronização mais simples que existe. Se não, use o Syncthing.
E o meu telefone?
O KeePassDX no Android e o Strongbox no iOS leem ambos o mesmo formato de ficheiro e são bem considerados. Nenhum é feito pela equipa do KeePassXC, por isso verifica-os tu mesmo antes de confiar neles. Aponta a aplicação para o mesmo ficheiro sincronizado e comporta-se como esperarias.
Devo abandonar o gestor de palavras-passe integrado do meu navegador?
Sim, eventualmente, mas não deixes que a migração te impeça de usar um. Os gestores dos navegadores estão ligados à conta do navegador, ficam muitas vezes desbloqueados sempre que o navegador está, e são um alvo habitual de malware que rouba informações. Exporta do navegador, importa para o KeePassXC, e depois elimina o ficheiro exportado de forma segura, é uma lista em texto simples de todas as palavras-passe que possuis, e um número surpreendente delas ainda está nas pastas de transferências.
Em que é que isto é diferente do KeePass, KeePassX, KeeWeb?
Partilham um formato de ficheiro e uma árvore genealógica. O KeePassXC é o que é mantido ativamente e é multiplataforma, com uma interface moderna e a extensão de navegador, e é por isso que é a recomendação aqui. A tua base de dados abrirá nos outros se alguma vez quiseres mudar.
09Fontes e leituras adicionais
- KeePassXC — site oficial e transferências keepassxc.org
- Guia do utilizador do KeePassXC, o manual completo keepassxc.org/docs
- Syncthing — sincronização dispositivo a dispositivo sem terceiros syncthing.net
- Have I Been Pwned, verifica quais das tuas contas já estão numa violação de dados haveibeenpwned.com
- Privacy Guides — gestores de palavras-passe comparados privacyguides.org
Última revisão: 25 de setembro de 2026