Menedżer haseł: jak go wybrać i przenieść do niego hasła

Jedno hasło używane w wielu serwisach to najprostsza droga do przejęcia kont. Wystarczy, że wycieknie z jednego z nich. CERT Polska zaleca osobne, unikalne hasło dla każdego konta i wskazuje menedżer haseł jako sposób, by nie musieć ich zapamiętywać. Ten poradnik pokazuje, jakie masz możliwości i jak przenieść hasła bez narażania ich po drodze.

1. Jakie hasło jest dziś dobre

Aktualne zalecenia odeszły od wymyślnych reguł złożoności na rzecz długości. NIST SP 800-63B w rewizji 4 z sierpnia 2025 wymaga od usług, by hasło będące jedynym zabezpieczeniem logowania miało co najmniej 15 znaków. Zabrania też narzucania mieszania typów znaków i wymuszania okresowej zmiany haseł. Zmiana jest obowiązkowa dopiero wtedy, gdy są dowody, że hasło wyciekło.

Polskie instytucje mówią podobnie. CERT Polska rekomenduje co najmniej 14 znaków i hasła złożone z całych zdań. NASK pisze o co najmniej 12 znakach i przypomina, że okresowa zmiana nie jest potrzebna, jeśli nie podejrzewasz wycieku. Menedżer haseł rozwiązuje przy tym najtrudniejszą część, czyli zapamiętanie dziesiątek różnych haseł.

2. Menedżer wbudowany czy osobna aplikacja

Najprostszą opcją jest menedżer, który już masz. Konto Google ma Menedżer haseł Google, zintegrowany z Chrome i Androidem. Apple od iOS 18 i macOS Sequoia ma osobną aplikację Hasła, która przechowuje hasła, klucze dostępu i hasła Wi-Fi, a na Windows działa przez iCloud dla Windows. Microsoft trzyma hasła w przeglądarce Edge, zsynchronizowane z kontem Microsoft.

Według BleepingComputer Microsoft w 2025 roku wycofał z aplikacji Authenticator zapisywanie i autouzupełnianie haseł i przeniósł tę rolę do Edge. Jeśli trzymałeś hasła w Authenticatorze, znajdziesz je teraz w Edge, pod warunkiem że korzystasz z tego samego konta Microsoft.

Osobna aplikacja ma sens, gdy używasz urządzeń różnych producentów, na przykład iPhone’a i komputera z Windows z przeglądarką Firefox. Wtedy jedna baza haseł działa wszędzie tak samo.

3. Trzy przykłady osobnych menedżerów

Bitwarden ma kod dostępny publicznie na licencjach GNU AGPL v3.0 i Bitwarden License. Co roku przechodzi zewnętrzne audyty, między innymi firm Cure53 i Fracture Labs, a w 2025 roku także przegląd kryptograficzny zespołu ETH Zurich. Plan darmowy pozwala przechowywać hasła bez limitu liczby urządzeń.

KeePassXC działa inaczej. Trzyma bazę haseł w zaszyfrowanym pliku KDBX na twoim komputerze, szyfrowanym AES-256 albo Twofish, i nie ma wbudowanej synchronizacji w chmurze. Działa na Windows, macOS i Linuksie, na licencji GPLv3, i obsługuje klucze sprzętowe, na przykład YubiKey. Plik możesz trzymać lokalnie albo samodzielnie synchronizować.

1Password oprócz hasła głównego używa 34-znakowego klucza Secret Key, generowanego na twoim urządzeniu. Firma go nie zna i nie może go odzyskać. Razem z hasłem tworzy on klucz szyfrujący, co utrudnia łamanie haseł nawet po kradzieży danych z serwera.

4. Jak przenieść hasła z przeglądarki

Przenosiny wyglądają podobnie niezależnie od menedżera. Eksportujesz hasła z przeglądarki do pliku CSV, importujesz go do nowego menedżera i usuwasz plik. Chrome eksportuje hasła z ustawień Menedżera haseł Google. Edge robi to z sekcji Hasła w menu, ale tylko w wersji na komputer. Aplikacja Hasła na Macu eksportuje z menu Plik, bez haseł Wi-Fi i dostępów „Zaloguj się przez Apple”.

Import działa w drugą stronę. Menedżer haseł Google przyjmuje plik CSV z nagłówkami url, username i password, najwyżej 3000 haseł w jednym imporcie. Bitwarden importuje dane z Chrome, Edge, Firefoksa, Safari, LastPass, 1Password i KeePass i przyjmuje do 40 000 elementów. Nie wykrywa jednak duplikatów, więc importuj każdy plik tylko raz.

5. Plik CSV to najsłabszy punkt przenosin

Wszyscy producenci ostrzegają przed tym samym. Microsoft pisze, że hasła wyeksportowane do CSV nie są chronione i zobaczy je każdy, kto ma dostęp do pliku. Mozilla dodaje, by pliku nie wysyłać e-mailem, nie udostępniać i nie wgrywać do internetu. Google zaleca usunięcie pliku zaraz po imporcie.

Najbezpieczniej przeprowadzić całą operację za jednym razem. Wyeksportuj hasła, zaimportuj je, sprawdź kilka logowań w nowym menedżerze i od razu usuń plik trwale, z pominięciem kosza. Microsoft podaje do tego skrót Shift+Delete w Windows. Na koniec wyłącz zapisywanie haseł w starej przeglądarce, żeby hasła nie rozjeżdżały się między dwoma miejscami.

6. Czego uczy incydent LastPass

Menedżer haseł to cenny cel dla przestępców. W sierpniu 2022 ktoś przejął konto dewelopera LastPass i dostał się do środowiska deweloperskiego firmy. W komunikacie z 22 grudnia 2022 LastPass ujawnił, że skopiowano kopię zapasową sejfów klientów. Hasła i notatki były w niej zaszyfrowane kluczem wyprowadzanym z hasła głównego. Adresy stron, nazwy użytkowników i dane kontaktowe były jednak niezaszyfrowane.

Z tego incydentu wynikają dwie praktyczne wskazówki. Hasło główne do menedżera musi być długie i niepowtarzalne, bo od niego zależy ochrona skradzionego sejfu. Samo konto menedżera zabezpiecz też drugim składnikiem logowania, bo według CERT Polska uwierzytelnianie dwuskładnikowe uniemożliwia zalogowanie się komuś, kto zna tylko login i hasło.

7. Podsumowanie

Menedżer haseł to dziś podstawowe narzędzie, a wybór sprowadza się do tego, czy wystarczy ci menedżer wbudowany w konto Google, Apple lub Microsoft, czy potrzebujesz jednej aplikacji na urządzenia różnych producentów. Przenosiny trwają kilka minut, a jedynym poważnym ryzykiem jest plik CSV, który trzeba usunąć zaraz po imporcie.