这是本网站上价值仅次于安全密钥的东西，而且两者可以配合使用：密钥阻止别人以你的身份登录，管理器则阻止一个被攻破的网站牵连到所有网站。两样都做到，通往你生活的寻常入口就被关闭了。
01为什么选择离线版本
大多数密码管理器把你的密码库存储在公司服务器上。这确实很方便，也并不一定是错的，好的服务商会对其加密，使其无法读取。但这会制造一个单一、永久、众所周知的靶子：数百万个密码库的数据库集中在一处，由一家可能被入侵、被收购、被传唤，或者仅仅犯个错误的公司运营。这种情况已经发生过，而且不止一次，发生在大提供商身上。
KeePassXC 把数据库作为你自己磁盘上的一个文件保存。没有公司，没有账户，没有服务器，也没有可供大规模入侵的东西。如果有人想要你的密码，他们必须专门针对你下手，这与一次性收割所有人是完全不同的概念。
- 没有第三方持有你的密码库，因此没有第三方能弄丢它、被强制交出它，或更改其条款。
- 它可以离线运行，包括在一台从未连接过互联网的机器上。
- 开源且经过审计，采用开放的文件格式，许多独立程序都能读取，你不会被锁定。
- 永久免费，没有哪个付费层级会扣着某项安全功能不给你。
- 备份是你自己的事。文件丢了又没有副本，密码就没了。没有客服。
- 设备间同步是你自己的事，而这正是大多数人搞砸的地方。见第 05 节。
- 移动端是另一个应用，由不同的开发者开发，并非官方出品。
- 没人能重置你的主密码。这正是重点，也正是风险所在。
如果离线听起来要承担的责任超出你的意愿，那就改用 Bitwarden 或 Proton Pass，然后继续过你的日子。灾难性的选择是你现在正在用的那个，同一个密码用在五十个地方。别为了寻找完美工具，反而停留在最糟糕的那个上。
02主密码，这才是关键所在
一切都系于一个口令。如果它很弱，本指南中的其他内容都毫无意义；如果它很强，即使攻击者拿到了你的数据库文件，也依然一无所获。
四到六个随机单词——不是你自己编造的短语，那种短语的随机性远不如感觉上那么高。类似 harbour-plum-ditch-tractor-vine 这样的东西。它很长，真正随机，而且你确实能记住它，而一串符号则永远做不到。让 KeePassXC 用它的口令模式为你生成一个，然后写在纸上，直到记进脑子里，之后销毁那张纸。
主口令应该只存在于两个地方：你的记忆中，以及——如果你需要的话——某个安全地点的一份密封物理备份。绝不放在文件里，绝不放在笔记应用中，绝不放在发给自己的消息里，也绝不放在本文档或任何其他文档中。
03进行设置
-
从官方来源安装
从 keepassxc.org 下载，或在 Linux 上从你的发行版仓库或 Flatpak 安装。手动输入网址——出于显而易见的原因，仿冒密码管理器的域名是一种老套的攻击手法。
-
创建数据库
数据库 → 新建数据库。给它起一个不叫“passwords”的名字。系统会询问加密设置，默认值就很好，而解密时间滑块值得了解：值越高，攻击者每次尝试猜测的速度就越慢。在你自己的机器上设置为一秒是合理的，也是对暴力破解的严重阻碍。
-
设置主口令
使用生成器，以如上所述的密码短语模式。在你往数据库里填入任何东西之前，花时间把它记住，因为这是唯一一个重新开始无需代价的时刻。
-
决定是否使用密钥文件——要谨慎
KeePassXC 可以要求在你的密码短语之外再提供一个文件。这能提高安全性：即使有人拿到了数据库并猜出了密码短语，仍然无法打开它。但它也让你可能丢失的东西翻倍，而且密钥文件绝不能与数据库放在同一个文件夹中，否则它什么都保护不了。除非你有合适的地方存放它，比如单独保管的 U 盘，否则就跳过这一步。
-
把它保存在你确实会备份的地方
不要放在桌面上。放在一个已被你现有备份覆盖的文档文件夹里。
04日常使用
让它生成一切
密码管理器的意义不在于存储你已有的密码，而在于让你再也不必自己编造密码。每注册一个新账户，点击骰子图标，直接采用它生成的结果。你永远不会看到它、不会输入它，也不需要记住它，所以长度是免费的：只要网站允许，就使用 20 个以上的字符。
逐步处理你现有的账户，从最重要的开始——先是电子邮件，然后是一切与钱有关的，再然后是你用来发布内容的。没必要在一个晚上处理完两百个账户；这周先搞定最重要的十个，就已经获得了大部分好处。
浏览器扩展
KeePassXC-Browser 可以为你把密码填入网页。从浏览器的官方扩展商店安装它，并连接到桌面应用，应用会要求你批准这次关联。
该扩展只会在保存密码的域名上提供密码。在仿冒钓鱼域名上，它会保持沉默，而这种沉默是一个你应该学会留意的警告。如果密码管理器没有主动提供填充，请停下来检查地址栏，而不是手动输入。
双因素验证码
KeePassXC 可以存储 TOTP 密钥并自行生成六位验证码。这很方便，但也涉及一个真实的权衡：你的密码和第二因素现在存放在同一个文件中，因此一次泄露就会同时失去两者。对大多数账户来说，便利性更胜一筹。对于你最重要的账户，请改用安全密钥，它比两者都更强。
还可以在里面放什么
该数据库是一个加密容器，因此它不仅是密码的合理存放处：还可以存放每个账户的恢复代码、软件许可证密钥、“安全问题”的答案（这些应该是随机字符串，而不是真实答案），以及偶尔扫描的文档。每个条目都有备注字段，并且可以携带文件附件。
05同步与备份，人们常在这里出错
你只有一个文件。你想把它放在笔记本电脑和手机上。没有服务器替你完成这件事，所以你必须选择一种方法，而这个选择很重要。
| 方法 | 结论 | 说明 |
|---|---|---|
| 普通云存储 （Drive、Dropbox、Proton） | 没问题 | 该文件已经加密，因此服务商存储的是一团不透明的数据。这是常见做法，也是合理的。你的主密码承担了全部工作，请把它设得足够强。 |
| Syncthing | 最佳 | 设备到设备，完全不涉及第三方。设置更多，也最符合你选择离线管理器的初衷。 |
| 通过电子邮件发给自己 | No | 它会永久落在邮箱里，以多份副本的形式，存在于你无法控制的服务器上。 |
| 两台设备同时编辑 | 小心 | 真正的危险所在。在同步之前，两份副本都发生了更改，就会产生冲突文件，而错误的解决方式会悄无声息地丢失新条目。在一台设备上关闭数据库后，再在另一台设备上操作。 |
同步不是备份。同步会忠实地把删除或损坏复制到你拥有的每一台设备上。要定期在不参与同步的地方保留一份副本，比如外置硬盘、抽屉里的 U 盘，并偶尔检查它是否还能打开。KeePassXC 还可以在每次保存时自动保留上一版本的备份；在设置中开启该功能。
06与 YubiKey 配合使用
这种组合能让两个工具都显著更强，而且这是两者都最不为人知的特性之一。KeePassXC 可以在你的口令之外，额外要求来自 YubiKey 的硬件质询-响应。没有物理密钥在场，仅凭正确的口令也无法打开数据库。
-
在密钥上配置一个槽位
使用 YubiKey Manager，将两个槽位之一设置为 HMAC-SHA1 质询-响应。在你的两把密钥上都这样做，并使用相同的密钥，否则你的备用密钥将无法打开你的数据库，那会是一个非常糟糕的下午。
-
将其添加到数据库
数据库 → 数据库安全 → 更改密钥文件 / 质询-响应，然后选择该密钥。保存。
-
立即测试备用密钥
关闭数据库，拔下第一把密钥，然后用第二把打开它。如果这不起作用，现在就修复它，趁你还有一把可用的密钥插在机器上。
你的数据库现在没有硬件就无法打开。这既是安全收益，也是同一句话里的操作风险。它还会使移动端使用变得复杂，因为手机应用必须支持通过 NFC 进行相同的质询-响应。如果数据库保护的工作会让人面临风险，那就值得；如果不是，那可能麻烦多于价值。
07它不能保护你免受什么
- 密码重用，因此一个网站被攻破不会导致所有网站都被攻破。
- 弱密码，永久解决，因为你不再自己编造密码。
- 钓鱼攻击，部分情况下，扩展程序拒绝填充是一个真实的信号。
- 失去访问权限，针对你多年前设置且已遗忘的账户。
- 你电脑上的恶意软件。键盘记录器会在你输入主密码时捕获它，然后它就拥有了一切。密码管理器假设这台机器尚未被攻陷。
- 弱主密码。整个设计都归结为这一个秘密。
- 被强制打开它。
- 网站本身遭到入侵，唯一密码能限制损害，但无法阻止入侵。
- 未锁定、无人看管的屏幕。将数据库设置为在几分钟无操作后锁定，并在屏幕锁定时锁定。
08人们真正会问的问题
如果我忘记了主密码怎么办？
数据就没了。没有重置，没有恢复，没有支持热线，这是没有其他人持有你的保险库的直接后果。在最初几周，请在物理安全的地方保留一份书面副本，直到你确信自己已经记住。很多人会永久保留一份密封副本，交给信任的人或放在保险箱里；这是一种合理的权衡，而不是胆怯。
把文件放在 Google Drive 或 Dropbox 里安全吗？
安全，但需要注意的是，这会让你的主密码成为该提供商的存储与你整个数字生活之间唯一的屏障。文件经过强加密，提供商看到的只是噪声。如果你对此感到放心，这是最简单的同步方式。如果不放心，请使用 Syncthing。
那我的手机呢？
Android 上的 KeePassDX 和 iOS 上的 Strongbox 都能读取相同的文件格式，且口碑良好。两者都不是 KeePassXC 团队开发的，所以在信任它们之前请自行核查。将应用指向同一个同步文件，它的表现就符合你的预期。
我应该放弃浏览器内置的密码管理器吗？
是的，最终应该放弃，但不要让迁移过程阻碍你使用密码管理器。浏览器密码管理器与浏览器账户绑定，通常只要浏览器处于解锁状态它也就解锁了，而且是信息窃取恶意软件的常见目标。从浏览器导出，导入 KeePassXC，然后安全删除导出文件，它是一份纯文本列表，包含你拥有的每一个密码，而且其中相当一部分至今仍躺在下载文件夹里。
这与 KeePass、KeePassX、KeeWeb 有何不同？
它们共享同一种文件格式和同一个家族谱系。KeePassXC 是其中仍在积极维护的跨平台版本，拥有现代化的界面和浏览器扩展，因此这里推荐它。如果你将来想换用其他版本，你的数据库也能在它们中打开。
09来源与进一步阅读
- KeePassXC — 官方网站与下载 keepassxc.org
- KeePassXC 用户指南，完整手册 keepassxc.org/docs
- Syncthing — 无需第三方的设备间同步 syncthing.net
- Have I Been Pwned，检查你的哪些账户已经出现在数据泄露中 haveibeenpwned.com
- Privacy Guides — 密码管理器对比 privacyguides.org
最后审核：2026年9月25日