Як менеджери паролів зменшують щоденний ризик

Оновлено: 28.10.2026

Людина не може пам’ятати сотню унікальних складних паролів, і тому не пам’ятає: використовує один-два скрізь, а коли один сайт зливає базу, зловмисники автоматично перевіряють ті самі пари логін-пароль на пошті, банках і соцмережах. Менеджер паролів розв’язує саме цю проблему: він генерує й зберігає окремий довгий випадковий пароль для кожного сервісу, а вам лишається пам’ятати один. Логічне питання — чи не складаємо ми всі яйця в один кошик? Ця стаття пояснює, як влаштований менеджер паролів, чому він безпечніший за альтернативи, і як користуватися ним так, щоб кошик не впав.

Зашифроване сховище і головний пароль

Менеджер зберігає паролі в сховищі (vault) — файлі, зашифрованому стійким алгоритмом (AES-256 або XChaCha20). Ключ шифрування виводиться з вашого головного пароля функцією виведення ключа (PBKDF2, Argon2), навмисно повільною: сотні тисяч ітерацій, які займають частку секунди для вас і роки для того, хто перебирає мільярди варіантів. Ключ ніколи не зберігається — він обчислюється в пам’яті при розблокуванні й забувається при блокуванні.

У хмарних менеджерів (Bitwarden, 1Password, Proton Pass, вбудовані в Apple і Google) сховище синхронізується між пристроями, але шифрування й розшифрування відбувається лише на вашому пристрої. Сервер зберігає зашифрований блок і не має головного пароля, тобто не може прочитати вміст — це «архітектура нульового знання». Витік бази сервера дає зловмиснику зашифровані сховища, які без головних паролів марні; саме так завершився інцидент з LastPass у 2022 році для користувачів зі стійкими головними паролями, і саме там постраждали ті, чиї паролі були слабкими.

Локальні менеджери (KeePass і сумісні) тримають файл сховища лише у вас; синхронізацію організовуєте самі через хмарний диск чи Syncthing. Більше контролю, більше відповідальності.

Чому це безпечніше за пам’ять і блокнот

• Унікальні паролі. Витік одного сайту не зачіпає інші — це головний виграш.
• Справді випадкові й довгі. 20+ символів без закономірностей, яких людина не придумає й не запам’ятає.
• Захист від фішингу. Розширення заповнює пароль лише на домені, для якого його збережено. Якщо на сторінці, яка виглядає як банк, автозаповнення не спрацювало — ви, ймовірно, на підробці. Це захист, якого не дає жоден паперовий список.
• Аудит. Менеджер показує повторені, слабкі й скомпрометовані паролі (звіряючи з базами витоків за хешами) і сайти, де варто ввімкнути двофакторну автентифікацію.
• Безпечні нотатки й документи. Коди відновлення, ключі, номери документів — усе в одному зашифрованому місці замість чатів і фото в галереї.

Про «один кошик»

Ризик реальний, і його зменшують так. Головний пароль — довга парольна фраза з 4–6 випадкових слів (наприклад, «сокира-лампа-північ-ворота-скло»), яку ви не використовуєте більше нігде. Двофакторна автентифікація на самому менеджері — обов’язково, найкраще апаратним ключем. Автоблокування через кілька хвилин бездіяльности й після закриття браузера. Аварійний доступ — довірена людина або запечатаний конверт із головним паролем на випадок, якщо з вами щось станеться. І чистий пристрій: менеджер не захистить від шкідливої програми, яка читає екран і клавіатуру; оновлення й обережність із розширеннями лишаються вашою частиною роботи.

Як обирати

Критерії: відкритий код або незалежні аудити безпеки (опубліковані звіти); архітектура нульового знання; підтримка всіх ваших платформ і браузерів; двофакторна автентифікація й ключі доступу; експорт даних, щоб не бути прив’язаним; історія компанії щодо інцидентів і реакції на них. Вбудовані менеджери Apple, Google і браузерів — прийнятний старт для однієї екосистеми; окремий менеджер зручніший, коли пристрої різні. Уникайте маловідомих безкоштовних застосунків із магазину без аудитів і зрозумілої бізнес-моделі.

Як перейти на менеджер паролів крок за кроком

• Встановіть менеджер, увімкніть на ньому двофакторну автентифікацію й придумайте головну парольну фразу з кількох слів.
• Почніть із головного: пошта, банк, соцмережі, робота — замініть паролі на згенеровані.
• Далі міняйте паролі під час звичайного входу на сайти; за місяць більшість буде оновлено.
• Довіряйте автозаповненню як індикатору фішингу: не спрацювало — перевірте адресу.
• Збережіть коди відновлення від менеджера офлайн і налаштуйте аварійний доступ.
• Раз на пів року переглядайте звіт про слабкі й повторені паролі.

Часті запитання

Що, якщо я забуду головний пароль?

У менеджерів із нульовим знанням його не відновити — інакше він не був би нульовим. Тому головний пароль записують на папір і зберігають у надійному місці, а деякі сервіси пропонують код відновлення чи аварійний контакт.

Чи безпечно зберігати в менеджері коди двофакторної автентифікації?

Зручно й прийнятно для більшості, але це зводить два фактори до одного сховища. Для найважливіших акаунтів тримайте другий фактор окремо — в апаратному ключі або окремому застосунку.

Чи можна довіряти менеджеру паролів у браузері?

Сучасні браузерні менеджери шифрують дані й синхронізують через акаунт; вони значно кращі за повторення паролів. Їх обмеження — прив’язка до одного браузера й слабший захист від локального доступу до пристрою.

Один сильний пароль, який захищає сотню випадкових, надійніший за сотню слабких, яких ви не пам’ятаєте і які пам’ятають за вас усі бази витоків.

Коротко: менеджер паролів зберігає унікальні випадкові паролі в сховищі, зашифрованому ключем, виведеним із головного пароля, і розшифровує їх лише на вашому пристрої. Він усуває головну загрозу — повторення паролів — і захищає від фішингу, заповнюючи лише правильні домени. Захистіть сам менеджер довгою парольною фразою, двофакторною автентифікацією й офлайн-кодами відновлення.