Це друга за цінністю річ на цьому сайті після ключа безпеки, і вони працюють разом: ключ не дає комусь увійти як ви, а менеджер не дає одному зламаному сайту перетворитися на всі інші. Зробіть і те, і те — і звичайний шлях у ваше життя буде закрито.
01Чому офлайн-менеджер
Більшість менеджерів паролів зберігають ваше сховище на серверах компанії. Це справжня зручність, і це не обов'язково погано — хороші з них шифрують його так, що не можуть прочитати. Але це створює єдину, постійну, добре відому ціль: базу даних із мільйонів сховищ, що лежить в одному місці, керовану компанією, яку можуть зламати, купити, зобов'язати судом або яка просто може помилитися. Це траплялося, і не раз, із великими провайдерами.
KeePassXC зберігає базу даних як файл на вашому власному диску. Немає компанії, немає облікового запису, немає сервера і нічого, що можна зламати в масштабі. Якщо хтось хоче ваші паролі, йому доведеться прийти саме за вами, а це зовсім інша справа, ніж збирати всіх одразу.
- Жодна третя сторона не зберігає ваш сейф, тож жодна третя сторона не може його втратити, бути примушена щодо нього або змінити його умови.
- Він працює офлайн, зокрема на машині, яка ніколи не під'єднувалася до інтернету.
- Відкритий код і аудит, з відкритим форматом файлів, який можуть читати багато незалежних програм, ви не прив'язані до одного постачальника.
- Безкоштовно назавжди, без тарифу, який приховує функцію безпеки, доки ви не заплатите.
- Резервне копіювання — ваша робота. Втратите файл без копії — і паролі зникнуть. Служби підтримки немає.
- Синхронізація між пристроями — ваша робота, і саме тут більшість людей помиляється. Див. розділ 05.
- Мобільний застосунок — окремий, від іншого розробника, а не офіційний.
- Ніхто не може скинути ваш головний пароль. У цьому суть, і в цьому ж ризик.
Якщо офлайн звучить як більше відповідальності, ніж ви хочете, використовуйте натомість Bitwarden або Proton Pass і живіть далі. Катастрофічний варіант — той, який ви використовуєте зараз, той самий пароль у п'ятдесяти місцях. Не дозвольте пошукам ідеального інструменту залишити вас на найгіршому.
02Головний пароль — це найважливіше
Усе тримається на одній парольній фразі. Якщо вона слабка, ніщо інше в цьому посібнику не має значення; якщо вона надійна, зловмисник навіть із вашим файлом бази даних не отримає нічого.
Чотири-шість випадкових слів — не фраза, яку ви склали самі, адже вона набагато менш випадкова, ніж здається. Щось на кшталт harbour-plum-ditch-tractor-vine. Вона довга, справді випадкова, і ви можете її запам'ятати, чого ніколи не скажеш про рядок символів. Дозвольте KeePassXC згенерувати її для вас у режимі парольної фрази, потім запишіть її на папері, доки не запам'ятаєте, і знищте папір після цього.
Головна парольна фраза має існувати рівно у двох місцях: у вашій пам'яті та, якщо потрібно, у запечатаній фізичній резервній копії в безпечному місці. Ніколи у файлі, ніколи в застосунку для нотаток, ніколи в повідомленні собі й ніколи в цьому чи будь-якому іншому документі.
03Налаштування
-
Встановіть його з офіційного джерела
Завантажте з keepassxc.org, або на Linux — з репозиторію вашого дистрибутива чи Flatpak. Введіть адресу вручну — домени-двійники менеджерів паролів є добре відомою атакою, з очевидних причин.
-
Створіть базу даних
Database → New Database. Дайте їй назву, яка не є "passwords". Вас запитають про налаштування шифрування, стандартні значення добрі, і варто розібратися з повзунком часу дешифрування: вище значення робить кожну спробу вгадування зловмисником повільнішою. Одна секунда на вашій власній машині — розумне налаштування й серйозна перешкода для перебору.
-
Встановіть головну парольну фразу
Використовуйте генератор у режимі парольної фрази, як описано вище. Знайдіть час, щоб запам'ятати її, перш ніж чимось заповнювати базу даних, бо це єдиний момент, коли почати спочатку нічого не коштує.
-
Визначтеся з файлом-ключем — ретельно
KeePassXC може вимагати другий файл разом із вашою парольною фразою. Це підвищує безпеку: той, хто отримає базу даних і вгадає парольну фразу, все одно не зможе її відкрити. Це також подвоює кількість речей, які ви можете загубити, і файл-ключ не повинен лежати в тій самій теці, що й база даних, інакше він ні від чого не захищає. Пропустіть його, якщо у вас немає розумного місця для його зберігання, наприклад USB-флешки, яку ви тримаєте окремо.
-
Збережіть його там, де ви справді робитимете резервні копії
Не на робочому столі. Тека документів, яка включена в будь-яке резервне копіювання, яке ви вже робите.
04Використання у повсякденні
Дозвольте йому генерувати все
Сенс менеджера не в зберіганні паролів, які у вас є, а в тому, що ви більше ніколи не вигадуєте жодного. Для кожного нового облікового запису натискайте іконку з кубиками й беріть те, що він згенерує. Ви ніколи його не побачите, не введете й не потребуватимете запам'ятовувати, тож довжина нічого не коштує: використовуйте 20+ символів скрізь, де сайт дозволяє.
Поступово опрацюйте свої наявні облікові записи, найважливіші першими — електронна пошта, потім усе, що пов'язано з грошима, потім усе, звідки ви публікуєте. Немає потреби робити всі двісті за один вечір; зробити десять найважливіших цього тижня — це вже більша частина користі.
Розширення для браузера
KeePassXC-Browser заповнює паролі на сторінках за вас. Встановіть його з офіційного магазину додатків вашого браузера та підключіть до настільного застосунку, який попросить вас підтвердити зв'язок.
Розширення пропонує пароль лише на тому домені, для якого його було збережено. На схожому фішинговому домені воно мовчить, і це мовчання — попередження, яке варто навчитися помічати. Якщо менеджер не пропонує заповнити, зупиніться й перевірте адресний рядок, а не вводьте пароль вручну.
Двофакторні коди
KeePassXC може зберігати TOTP-секрети й самостійно генерувати шестизначні коди. Це зручно, але має реальний компроміс: ваш пароль і ваш другий фактор тепер живуть в одному файлі, тож одна компрометація дає обидва. Для більшості акаунтів зручність перемагає. Для ваших найважливіших акаунтів натомість використовуйте апаратний ключ безпеки, який сильніший за будь-який із них.
Що ще там тримати
База даних — це зашифрований контейнер, тож це розумне місце не лише для паролів: коди відновлення з кожного акаунта, ліцензійні ключі програм, відповіді на «секретні питання» (які мають бути випадковими рядками, а не справжніми відповідями) та іноді скановані документи. Кожен запис має поле для нотаток і може містити вкладені файли.
05Синхронізація та резервні копії, де люди помиляються
У вас є один файл. Ви хочете мати його і на ноутбуці, і на телефоні. Жоден сервер не робить це за вас, тож доведеться обрати метод, і цей вибір має значення.
| Метод | Вердикт | Нотатки |
|---|---|---|
| Звичайне хмарне сховище (Drive, Dropbox, Proton) | Нормально | Файл уже зашифровано, тож провайдер зберігає незрозумілий набір байтів. Це поширений підхід, і він розумний. Усю роботу виконує ваша головна парольна фраза, тож зробіть її надійною. |
| Syncthing | Найкраще | Пристрій-до-пристрою, без жодної третьої сторони. Більше налаштування, і найбільш узгоджено з причиною, чому ви обрали офлайн-менеджер. |
| Надсилання собі електронною поштою | No | Воно потрапляє до поштової скриньки, назавжди, у кількох копіях, на серверах, які ви не контролюєте. |
| Два пристрої редагують одночасно | Обережно | Справжня небезпека. Дві копії, змінені до синхронізації, створюють файл конфлікту, і неправильне вирішення тихо втрачає нові записи. Закрийте базу даних на одному пристрої, перш ніж працювати на іншому. |
Синхронізація — це не резервна копія. Синхронізація сумлінно копіює видалення або пошкодження на кожен ваш пристрій. Тримайте періодичну копію десь, де немає синхронізації, зовнішній диск, USB-флешку в шухляді, і час від часу перевіряйте, що вона все ще відкривається. KeePassXC також може зберігати автоматичні резервні копії попередньої версії щоразу, коли ви зберігаєте; увімкніть це в налаштуваннях.
06Поєднання з YubiKey
Це комбінація, яка робить обидва інструменти суттєво сильнішими, і це одна з найменш відомих функцій кожного з них. KeePassXC може вимагати апаратний challenge-response від YubiKey на додачу до вашої парольної фрази. Без присутності фізичного ключа сама лише правильна парольна фраза не відкриє базу даних.
-
Налаштуйте слот на ключі
За допомогою YubiKey Manager призначте один із двох слотів на режим HMAC-SHA1 challenge-response. Зробіть це на обох ваших ключах з однаковим секретом, інакше ваш резервний ключ не відкриє вашу базу даних, а це дуже неприємний вечір.
-
Додайте його до бази даних
Database → Database Security → Change Key File / Challenge-Response і виберіть ключ. Збережіть.
-
Негайно перевірте резервний ключ
Закрийте базу даних, від'єднайте перший ключ і відкрийте її другим. Якщо це не працює, виправте це зараз, поки у вас ще є робочий ключ у машині.
Вашу базу даних тепер неможливо відкрити без апаратного ключа. Це і перевага в безпеці, і операційний ризик в одному реченні. Це також ускладнює використання на мобільному, оскільки застосунок на телефоні має підтримувати той самий challenge-response через NFC. Варто, якщо база даних захищає роботу, яка наражає людей на ризик; ймовірно, більше тертя, ніж користі, якщо ні.
07Від чого це вас не захищає
- Повторне використання паролів, а отже, і ситуацію, коли один зламаний сайт стає всіма ними.
- Слабкі паролі, назавжди, бо ви перестаєте їх вигадувати.
- Фішинг, частково, відмова розширення заповнювати поля є реальним сигналом.
- Втрата доступу до акаунтів, які ви створили роки тому й забули.
- Шкідливе програмне забезпечення на вашому комп'ютері. Кейлогер перехоплює мастер-парольну фразу, коли ви її вводите, і тоді в нього є все. Менеджер припускає, що машина ще не скомпрометована.
- Слабка мастер-парольна фраза. Уся конструкція зводиться до цього одного секрету.
- Примус відкрити його.
- Злам на самому сайті, унікальний пароль обмежує шкоду, але не запобігає зламу.
- Розблокований екран без нагляду. Налаштуйте блокування бази даних через кілька хвилин бездіяльності та при блокуванні екрана.
08Питання, які люди насправді ставлять
Що робити, якщо я забуду мастер-парольну фразу?
Дані зникли. Немає скидання, немає відновлення, немає лінії підтримки, це прямий наслідок того, що ніхто інший не зберігає ваше сховище. У перші тижні тримайте письмову копію в фізично безпечному місці, поки не переконаєтеся, що запам'ятали її. Багато людей постійно зберігають запечатану копію в когось, кому довіряють, або в сейфі; це розумний компроміс, а не брак мужності.
Чи безпечно зберігати файл у Google Drive або Dropbox?
Так, з застереженням, що це робить вашу мастер-парольну фразу єдиним, що стоїть між сховищем цього провайдера та всім вашим цифровим життям. Файл надійно зашифрований, і провайдер бачить лише шум. Якщо вас це влаштовує, це найпростіша синхронізація з можливих. Якщо ні, використовуйте Syncthing.
А як щодо мого телефону?
KeePassDX на Android і Strongbox на iOS обидва читають той самий формат файлу і добре зарекомендували себе. Жоден з них не створений командою KeePassXC, тому перевірте їх самостійно, перш ніж довіряти їм. Вкажіть застосунку той самий синхронізований файл, і він поводитиметься так, як ви очікуєте.
Чи варто мені відмовитися від вбудованого менеджера паролів у моєму браузері?
Так, зрештою, але не дозволяйте міграції завадити вам користуватися ним взагалі. Браузерні менеджери прив'язані до облікового запису браузера, часто розблоковані щоразу, коли відкритий браузер, і є звичайною ціллю для зловмисного програмного забезпечення, що викрадає інформацію. Експортуйте з браузера, імпортуйте в KeePassXC, а потім безпечно видаліть файл експорту — це звичайний текстовий список усіх ваших паролів, і напрочуд багато з них досі лежать у папках завантажень.
Чим це відрізняється від KeePass, KeePassX, KeeWeb?
Вони мають спільний формат файлу та спільне походження. KeePassXC — це той, що активно підтримується, кросплатформний, із сучасним інтерфейсом і розширенням для браузера, саме тому він рекомендується тут. Ваша база даних відкриється і в інших, якщо ви колись захочете перейти.
09Джерела та додаткове читання
- KeePassXC — офіційний сайт і завантаження keepassxc.org
- Посібник користувача KeePassXC, повний посібник keepassxc.org/docs
- Syncthing — синхронізація між пристроями без третьої сторони syncthing.net
- Have I Been Pwned — перевірте, які з ваших облікових записів уже потрапили у витік haveibeenpwned.com
- Privacy Guides — порівняння менеджерів паролів privacyguides.org
Останній перегляд: 25 вересня 2026