Это вторая по ценности вещь на этом сайте после ключа безопасности, и они работают вместе: ключ не даёт кому-то войти под вами, а менеджер не даёт одному взломанному сайту превратиться во все остальные. Сделайте и то, и другое — и обычный путь в вашу жизнь закрыт.
01Почему офлайн-версия
Большинство менеджеров паролей хранят ваше хранилище на серверах компании. Это настоящее удобство, и это не обязательно плохо — хорошие шифруют его так, что сами не могут прочитать. Но это создаёт единую, постоянную, хорошо известную цель: база данных из миллионов хранилищ, находящаяся в одном месте, управляемая компанией, которую могут взломать, купить, вызвать в суд или которая просто может совершить ошибку. Это случалось, и не раз, с крупными провайдерами.
KeePassXC хранит базу данных как файл на вашем собственном диске. Нет компании, нет аккаунта, нет сервера и нечего взламывать в масштабе. Если кто-то хочет получить ваши пароли, ему придётся прийти именно за вами, а это совершенно другое дело, чем собрать всех сразу.
- Никакая третья сторона не хранит ваше хранилище, поэтому никакая третья сторона не может его потерять, быть принуждена к действиям с ним или изменить его условия.
- Он работает офлайн, в том числе на машине, которая никогда не подключалась к интернету.
- Открытый исходный код и аудит, с открытым форматом файлов, который могут читать многие независимые программы, вы не привязаны к одному решению.
- Бесплатно навсегда, без тарифа, который удерживает функцию безопасности, пока вы не заплатите.
- Резервное копирование — ваша задача. Потеряйте файл без копии — и пароли исчезнут. Службы поддержки нет.
- Синхронизация между устройствами — ваша задача, и именно здесь большинство людей ошибается. См. раздел 05.
- Мобильная версия — это отдельное приложение от другого разработчика, а не официальное.
- Никто не может сбросить ваш мастер-пароль. В этом суть, и в этом же риск.
Если офлайн-вариант кажется вам слишком большой ответственностью, используйте вместо него Bitwarden или Proton Pass и живите спокойно. Катастрофический вариант — тот, которым вы пользуетесь сейчас, один и тот же пароль в пятидесяти местах. Не позволяйте поиску идеального инструмента оставить вас на худшем.
02Мастер-пароль, то есть самое главное
Всё держится на одной парольной фразе. Если она слабая, всё остальное в этом руководстве не имеет значения; если она надёжная, у злоумышленника с вашим файлом базы данных всё равно ничего нет.
Четыре-шесть случайных слов — не фраза, которую вы придумали сами, ведь она куда менее случайна, чем кажется. Что-то вроде harbour-plum-ditch-tractor-vine. Она длинная, по-настоящему случайная, и её действительно можно запомнить, чего никогда не скажешь о наборе символов. Позвольте KeePassXC сгенерировать её за вас в режиме парольной фразы, затем запишите её на бумаге, пока не запомните, и после этого уничтожьте бумагу.
Мастер-парольная фраза должна существовать ровно в двух местах: в вашей памяти и, если она вам нужна, в запечатанной физической резервной копии в надёжном месте. Никогда в файле, никогда в приложении для заметок, никогда в сообщении самому себе и никогда в этом или любом другом документе.
03Настройка
-
Установите его из официального источника
Скачайте с keepassxc.org или в Linux из репозитория вашего дистрибутива либо Flatpak. Вводите адрес вручную — домены-двойники менеджеров паролей это давно избитая атака, по очевидным причинам.
-
Создайте базу данных
Database → New Database. Дайте ей имя, которое не "passwords". Вас спросят о настройках шифрования, значения по умолчанию хороши, и стоит разобраться с ползунком времени расшифровки: более высокое значение замедляет каждую попытку подбора у злоумышленника. Одна секунда на вашей собственной машине — разумная настройка и серьёзное препятствие для перебора.
-
Задайте мастер-парольную фразу
Используйте генератор в режиме парольной фразы, как описано выше. Потратьте время на то, чтобы запомнить её, прежде чем заполнять базу чем-либо, потому что это единственный момент, когда начать заново ничего не стоит.
-
Выберите ключевой файл — тщательно
KeePassXC может требовать второй файл в дополнение к вашей парольной фразе. Это повышает безопасность: тот, кто получит базу данных и угадает парольную фразу, всё равно не сможет её открыть. Это также удваивает количество вещей, которые вы можете потерять, и ключевой файл не должен находиться в той же папке, что и база данных, иначе он ни от чего не защищает. Пропустите его, если у вас нет подходящего места для его хранения, например USB-флешки, которую вы держите отдельно.
-
Сохраните её туда, где вы действительно будете делать резервные копии
Не на рабочий стол. В папку документов, которая включена в любое резервное копирование, которое вы уже делаете.
04Повседневное использование
Позвольте ему генерировать всё
Смысл менеджера не в хранении паролей, которые у вас есть, а в том, что вы больше никогда не придумываете ни одного. Для каждой новой учётной записи нажмите на значок кубика и возьмите то, что он выдаст. Вы никогда его не увидите, никогда не введёте и никогда не должны будете запоминать, поэтому длина ничего не стоит: используйте 20+ символов везде, где сайт это позволяет.
Постепенно обработайте свои существующие учётные записи, начиная с самых важных — электронная почта, затем всё, что связано с деньгами, затем всё, откуда вы публикуете. Нет необходимости делать все двести за один вечер; сделать десять самых важных на этой неделе — это уже большая часть пользы.
Расширение для браузера
KeePassXC-Browser заполняет пароли на страницах за вас. Установите его из официального магазина дополнений вашего браузера и подключите к настольному приложению, которое попросит вас подтвердить связь.
Расширение предлагает пароль только на том домене, для которого он был сохранён. На похожем фишинговом домене оно молчит, и это молчание — предупреждение, которое стоит научиться замечать. Если менеджер не предлагает заполнить, остановитесь и проверьте адресную строку, а не вводите его вручную.
Двухфакторные коды
KeePassXC может хранить секреты TOTP и сам генерировать шестизначные коды. Это удобно и связано с реальным компромиссом: ваш пароль и второй фактор теперь находятся в одном файле, поэтому одна компрометация даёт оба. Для большинства аккаунтов удобство побеждает. Для ваших самых важных аккаунтов используйте вместо этого ключ безопасности, который сильнее любого из них.
Что ещё там хранить
База данных — это зашифрованный контейнер, поэтому это разумное место не только для паролей: коды восстановления от каждого аккаунта, ключи лицензий на программное обеспечение, ответы на «секретные вопросы» (которые должны быть случайными строками, а не настоящими ответами), и occasional отсканированные документы. У каждой записи есть поле для заметок и возможность прикреплять файлы.
05Синхронизация и резервные копии, где люди ошибаются
У вас один файл. Вы хотите его на ноутбуке и на телефоне. Нет сервера, который сделает это за вас, поэтому вам придётся выбрать метод, и выбор имеет значение.
| Метод | Вердикт | Заметки |
|---|---|---|
| Обычное облачное хранилище (Drive, Dropbox, Proton) | Нормально | Файл уже зашифрован, поэтому провайдер хранит непрозрачный блок. Это распространённая настройка, и она разумна. Всю работу выполняет ваша мастер-парольная фраза, сделайте её хорошей. |
| Syncthing | Лучший | Устройство-к-устройству, третья сторона вообще не участвует. Больше настройки, и наиболее соответствует причине, по которой вы выбрали офлайн-менеджер. |
| Отправить себе по электронной почте | No | Оно навсегда попадает в почтовый ящик, в нескольких копиях, на серверах, которые вы не контролируете. |
| Два устройства редактируют одновременно | Осторожно | Настоящая опасность. Две копии, изменённые до синхронизации, создают файл конфликта, и неверное разрешение молча теряет новые записи. Закройте базу данных на одном устройстве, прежде чем работать на другом. |
Синхронизация — это не резервная копия. Синхронизация добросовестно копирует удаление или повреждение на каждое ваше устройство. Держите периодическую копию где-нибудь, где нет синхронизации, — на внешнем диске, на USB-флешке в ящике, — и время от времени проверяйте, что она всё ещё открывается. KeePassXC также может автоматически сохранять резервные копии предыдущей версии при каждом сохранении; включите это в настройках.
06Сопряжение с YubiKey
Это то сочетание, которое делает оба инструмента существенно сильнее, и это одна из наименее известных функций каждого из них. KeePassXC может требовать аппаратный challenge-response от YubiKey в дополнение к вашей парольной фразе. Без физического ключа одна лишь правильная парольная фраза не откроет базу данных.
-
Настройте слот на ключе
С помощью YubiKey Manager установите один из двух слотов в режим HMAC-SHA1 challenge-response. Сделайте это на обоих ваших ключах, с одним и тем же секретом, иначе ваш резервный ключ не откроет вашу базу данных, а это очень неприятный вечер.
-
Добавьте его в базу данных
Database → Database Security → Change Key File / Challenge-Response, и выберите ключ. Сохраните.
-
Сразу проверьте резервный ключ
Закройте базу данных, отключите первый ключ и откройте её вторым. Если это не работает, исправьте сейчас, пока у вас всё ещё есть рабочий ключ в машине.
Вашу базу данных теперь нельзя открыть без аппаратного ключа. Это одновременно и преимущество безопасности, и операционный риск, в одном предложении. Это также усложняет использование на мобильном устройстве, поскольку приложение на телефоне должно поддерживать тот же challenge-response через NFC. Оно того стоит, если база данных защищает работу, которая подвергает людей риску; вероятно, это больше неудобств, чем пользы, если нет.
07От чего это вас не защищает
- Повторное использование паролей, и, следовательно, проблему, когда одна взломанная площадка становится всеми сразу.
- Слабые пароли, навсегда, потому что вы перестаёте их придумывать.
- Фишинг, отчасти, отказ расширения заполнять поля — это реальный сигнал.
- Потеря доступа к аккаунтам, которые вы создали годы назад и забыли.
- Вредоносного ПО на вашем компьютере. Кейлоггер перехватывает мастер-пароль, пока вы его вводите, и тогда у него есть всё. Менеджер исходит из того, что машина ещё не скомпрометирована.
- Слабого мастер-пароля. Вся конструкция сводится к этому одному секрету.
- Принуждения открыть его.
- Утечки на самом сайте, уникальный пароль ограничивает ущерб, но не предотвращает утечку.
- Разблокированного экрана без присмотра. Настройте блокировку базы данных через несколько минут бездействия и при блокировке экрана.
08Вопросы, которые люди действительно задают
Что если я забуду мастер-пароль?
Данные пропали. Нет сброса, нет восстановления, нет службы поддержки, это прямое следствие того, что никто кроме вас не хранит ваше хранилище. В первые недели держите письменную копию в физически защищённом месте, пока не убедитесь, что запомнили его. Многие люди постоянно хранят запечатанную копию у доверенного человека или в сейфе; это разумный компромисс, а не проявление малодушия.
Безопасно ли класть файл в Google Drive или Dropbox?
Да, с той оговоркой, что это делает ваш мастер-пароль единственным, что стоит между хранилищем провайдера и всей вашей цифровой жизнью. Файл надёжно зашифрован, и провайдер видит лишь шум. Если вас это устраивает, это самая простая синхронизация из возможных. Если нет, используйте Syncthing.
А что насчёт моего телефона?
KeePassDX на Android и Strongbox на iOS читают один и тот же формат файла и хорошо себя зарекомендовали. Ни то, ни другое не создано командой KeePassXC, поэтому проверьте их сами, прежде чем доверять им. Укажите приложению тот же синхронизированный файл, и оно будет вести себя так, как вы ожидаете.
Стоит ли мне отказаться от встроенного менеджера паролей в браузере?
Да, в конечном итоге, но не позволяйте миграции помешать вам вообще использовать какой-либо из них. Менеджеры браузеров привязаны к аккаунту браузера, часто разблокированы, когда разблокирован сам браузер, и являются обычной целью вредоносного ПО для кражи информации. Экспортируйте из браузера, импортируйте в KeePassXC, затем безопасно удалите файл экспорта — это обычный текстовый список всех ваших паролей, и удивительное количество из них до сих пор лежит в папках загрузок.
Чем это отличается от KeePass, KeePassX, KeeWeb?
У них общий формат файла и общее происхождение. KeePassXC — активно поддерживаемый кроссплатформенный вариант с современным интерфейсом и расширением для браузера, поэтому именно он рекомендуется здесь. Ваша база данных откроется и в остальных, если вы когда-нибудь захотите перейти.
09Источники и дополнительное чтение
- KeePassXC — официальный сайт и загрузки keepassxc.org
- Руководство пользователя KeePassXC, полное руководство keepassxc.org/docs
- Syncthing — синхронизация между устройствами без третьей стороны syncthing.net
- Have I Been Pwned — проверьте, какие из ваших аккаунтов уже попали в утечку haveibeenpwned.com
- Privacy Guides — сравнение менеджеров паролей privacyguides.org
Последняя проверка: 25 сентября 2026