Mac OS X - KeePassXC - менеджер паролей - 2026

Материал из Wiki - Iphoster - the best ever hosting and support. 2005 - 2026
Перейти к:навигация, поиск

Published: 2026-09-03


Что такое KeePassXC

KeePassXC — это современный, безопасный и полностью открытый менеджер паролей, предназначенный для хранения и управления вашими самыми чувствительными данными: логинами, паролями, URL-адресами, вложенными файлами и заметками. В отличие от облачных менеджеров паролей, KeePassXC работает по принципу локального хранения: все данные записываются в один зашифрованный файл с расширением .kdbx, который вы контролируете сами. Вы можете хранить этот файл где угодно — на локальном диске Mac, на флешке, в iCloud, Dropbox, Google Drive, Nextcloud или на собственном сервере.

Программа распространяется полностью бесплатно по лицензии GPL-2/GPL-3 и работает на трёх платформах: macOS (включая Mac OS X), Windows и Linux. Название расшифровывается как «KeePass Cross-Platform» — кроссплатформенная версия известного Windows-приложения KeePass Password Safe, которая по сути является «сообществным» портом, развиваемым международной командой энтузиастов.

Основная идея KeePassXC точная такая же, как и у её предшественника KeePass: вы запоминаете только один-единственный мастер-пароль, а всё остальное хранится в зашифрованной базе данных. При этом шифрование выполнено по всем современным стандартам: используются проверенные алгоритмы — AES-256, ChaCha20, Twofish и KDF-функция Argon2id.

Полный список возможностей, которые есть в KeePassXC:

  • Создание, открытие и сохранение баз в формате KDBX (совместимость с KeePass: KDBX4 и KDBX3) — как в оригинале KeePass, так и в собственных версиях.
  • Вся информация шифруется «at rest» — то есть на диске она никогда не хранится в открытом виде; данные никогда не покидают пределы программы и не передаются на сторонние серверы.
  • Хранение чувствительной информации в записях (entries), которые организуются в настраиваемые группы (groups) с вложенными уровнями.
  • Мощный генератор паролей — с настраиваемой длиной, наборами символов и режимом «парольная фраза» (passphrase), который позволяет создавать запоминающиеся, но надёжные фразы.
  • Продвинутый поиск по базе данных с поддержкой регулярных выражений, операторов, модификаторов и логических условий.
  • Хранение и генерация одноразовых паролей по протоколу TOTP (RFC 6238) — стандарт «authenticator-приложений» вида Google Authenticator.
  • Поддержка аппаратных ключей YubiKey и OnlyKey в режиме challenge-response.
  • Система Auto-Type — автоматический ввод паролей в любые приложения и поля, включая ввод в окна терминала, VPN-клиентов и десктопные программы.
  • Интеграция с браузерами: Google Chrome, Mozilla Firefox, Microsoft Edge, Chromium, Vivaldi, Brave и Tor-Browser через официальное расширение KeePassXC-Browser.
  • Поддержка Passkeys (ключей аутентификации стандарта FIDO2/WebAuthn) через браузерную интеграцию.
  • Автоматическая загрузка иконок сайтов (favicon) для быстрой идентификации записей.
  • Импорт баз из форматов CSV, 1Password, Bitwarden, Proton Pass и KeePass 1 (.kdb).

К расширенным функциям относятся:

  • Отчёты по базе данных: анализ здоровья паролей (password health), проверка паролей против утечек HIBP (Have I Been Pwned), статистика по всем записям.
  • Экспорт базы в форматы CSV, XML и HTML (в том числе удобный «бумажный бэкап»).
  • Ссылки между полями записей (field references) — возможность динамически подставлять значения одного поля в другое.
  • Вложения файлов и настраиваемые дополнительные атрибуты с защитой от просмотра (protected custom attributes).
  • История записей и восстановление данных после изменений.
  • Полноценный интерфейс командной строки — утилита keepassxc-cli.
  • Интеграция с SSH Agent: хранение и использование SSH-ключей непосредственно в базе.
  • Интеграция по стандарту FreeDesktop.org Secret Service (замена GNOME Keyring и других системных хранилищ секретов).
  • Дополнительные шифрования: Twofish и ChaCha20.
  • KeeShare — общие базы данных для совместной работы (импорт, экспорт и синхронизация).

Зачем нужен менеджер паролей на Mac

Современная веб-инфраструктура устроена так, что у каждого пользователя есть десятки, а то и сотни паролей: почта, банковские кабинеты, соцсети, магазины, рабочие системы, VPN, SSH-серверы. Использование одинакового пароля везде — это катастрофа с точки зрения безопасности. Если хотя бы один сервис, где у вас зарегистрирован этот пароль, взломают, злоумышленники получат доступ сразу ко всем вашим аккаунтам. Этот сценарий называется credential stuffing — перебор украденных пар логин/пароль по другим сайтам.

Статистика подтверждает: согласно сервису Have I Been Pwned, базы данных паролей из утечек превышают миллиарды записей, и злоумышленники активно используют эти данные для взлома одноимённых паролей на других ресурсах. Метод максимизации безопасности — генерировать отдельный уникальный пароль для каждого сервиса. Вручную запомнить 100 разных паролей невозможно, поэтому на помощь приходит менеджер паролей.

Существует два семейства менеджеров:

  • Облачные (1Password, Bitwarden, Proton Pass, Dashlane, LastPass, Keeper, NordPass): синхронизация через серверы компании, авторизация через аккаунт, наличие подписок и тарифов, и зависимость от инфраструктуры провайдера. Удобная синхронизация между всеми устройствами, но часть решений требует оплату, а серверы компании теоретически являются внешней точкой доверия (даже при E2E-шифровании).
  • Локальные/офлайн (KeePass, KeePassXC, Bitwarden Self-hosted, Passbolt): база хранится отдельным файлом где угодно, контроль персональный, никаких серверов и подписок. Kiplinger и большинство специалистов по безопасности отмечают, что для персонального использования локальные менеджеры часто являются лучшим решением, так как они не передают данные вообще никуда.

KeePassXC принадлежит ко второму семейству. Это принципиальный подход, который особенно ценят:

  • приверженцы приватности, которые не хотят загружать свои пароли ни в какие облака;
  • пользователи, которым важен полный контроль над файлом базы — возможность держать его на флешке, в защищённом vault, на отдельном устройстве;
  • владельцы больших баз-«библиотек» с тысячами записей: в KeePassXC такие базы обрабатываются быстро и без «таррификации»;
  • корпоративные пользователи, которым нужна интеграция с SSH Agent и Secret Service;
  • ностальгаторы по классическому формату KeePass — KeePassXC полностью совместим с ним как в ту, так и в другую сторону.

Преимущества KeePassXC на macOS особенно заметны, ведь приложение — нативное, написано на C++ с использованием кроссплатформенного фреймворка Qt, и не эмулирует веб-страницу: скорость работы, тёмная и светлая темы, поддержка Touch ID-разблокировки, интеграция с системным Keystore — всё сделано по-настоящему качественно.

История проекта KeePassXC

История KeePassXC начинается с проекта KeePassX — кроссплатформенного Qt-порта KeePass Password Safe. В течение долгого времени KeePassX развивался очень медленно: к 2016 году в его Github-репозитории накопилось около 69 зависших Pull Request-ов без какого-либо ответа от основного мейнтейнера, и инструмент начал отставать от современного KeePass 2.x по набору функций.

В результате сообщество приняло решение создать «перезапуск» проекта — так появился репозиторий KeePassX Reboot, впоследствии получивший название KeePassXC. Идея была проста: объединить накопившиеся доработки, заимствовать лучшие идеи из KeePass 2.x и предложить пользователям полноценный современный менеджер паролей. Само название KeePassXC — сокращение от KeePass Cross-Component/X-Cross — подчёркивает его кроссплатформенность.

Официально KeePassX объявил о прекращении разработки 9 декабря 2021 года, и KeePassXC стал его де-факто наследником. Форкс проекта KeePassXC начал активно развиваться: добавлялись браузерная интеграция, поддержка Argon2, YubiKey, SSH Agent, Secret Service, TOTP, Passkeys и многие другие функции.

Сегодня KeePassXC — зрелый проект, насчитывающий:

  • 28,7 тысяч звёзд на GitHub;
  • около 1,9 тыс. форков репозитория;
  • 906 открытых issue-тредов (включая запросы возможностей и пул-реквесты);
  • 507 контрибьюторов — разработчиков, принявших свой код в репозиторий;
  • 4 988 коммитов в основной ветке develop;
  • последний релиз 2.7.12 от 10 марта 2026 года.

Развитием занимается команда из пяти основных разработчиков: droidmonkey, phoerious, hifi, louib и varjolintu. Проект поддерживает GitHub Sponsors сервис, а также принимает подписки через официальную организацию.

Ключевые принципы и философия безопасности

Ключевая особенность KeePassXC — полное отсутствие сети и облака в качестве обязательной инфраструктуры. Программа физически не имеет возможности «выгрузить» пароли куда-либо: в ней просто нет кода, который это делает. В README проекта прямо сказано: «Вся информация зашифрована в состоянии покоя и никогда не выходит за пределы программы».

Приложение шифрует данные с использованием:

  • AES-256-CBC — стандарт, принятый правительствами и специализированными агентствами;
  • ChaCha20 — современный потоковый шифр (RFC 7539/8439), используемый в протоколах QUIC/TLS 1.3 и рекомендованный для перфоманса на устройствах без железов-ускорения AES;
  • Twofish — классический блочный шифр, доступный как дополнительный вариант.

В качестве функции формирования ключа (KDF) используются:

  • Argon2id — рекомендуется по умолчанию: современная memory-hard функция, победитель Password Hashing Competition, эффективно противостоящая атакам на GPU/ASIC;
  • Argon2d — для максимальной совместимости с другими портами KeePass;
  • AES-KDF — классическая функция из KeePass 1.x и KDBX 3.1, оставлена для совместимости.

База защищена так называемыми Database Credentials — с 2.6.0 термин «Master Key» был официально переименован, чтобы подчеркнуть концепцию нескольких факторов аутентификации. Вместо одного пароля можно использовать комбинации:

  • пароль (мастер-пароль);
  • key file — внешний файл ключа;
  • аппаратный токен — YubiKey или OnlyKey в режиме challenge-response (не персистентное хранилище, а именно шифрованный вызов-ответ).

Эти факторы можно комбинировать в любом числе: например, пароль + ключ-файл + YubiKey. Такую связку можно в принципе считать трёхфакторной, но важно понимать, что challenge-response YubiKey не является настоящим 2FA в смысле «второго устройства» — это скорее второй фактор владения ключом.

Рекомендуемая конфигурация из официального руководства:

  • длинный случайный мастер-пароль, не встречавшийся в утечках;
  • настройка времени расшифровки ~1 секунду (ползунок Decryption Time);
  • использование Argon2id в качестве KDF;
  • добавление key file и/или YubiKey как доп. факторов;
  • отдельная база данных для TOTP-секретов.

Важно понимать: потеря мастер-пароля означает безвозвратную потерю данных — механизма восстановления в KeePassXC нет, и это осознанная конструкция. Поэтому мастер-пароль нужно хранить в надёжном месте, например, в напечатанном виде в сейфе, но ни в коем случае не рядом с базой.

Установка KeePassXC на macOS

Для пользователей Mac программа доступна в нескольких форматах установки. Актуальная версия на момент написания статьи — 2.7.12 (релиз от 10 марта 2026 года). Минимальные системные требования — macOS 12 и выше, помимо этого требует MSVC Redistributable только для Windows, на Mac таких требований нет.

1. DMG-установщик

Самый популярный способ: скачать диск-образ .dmg с официальной страницы загрузки. Для каждого типа процессора отдельная сборка:

  • KeePassXC for Apple Silicon — для Mac на процессорах M1/M2/M3/M4;
  • KeePassXC for Intel Macs — для Mac на процессорах Intel.

На сайте https://keepassxc.org/download на вкладке macOS есть два больших блока скачивания: отдельно для Apple Silicon и отдельно для Intel Macs. Рядом с каждой ссылкой на скачивание расположены два файла-спутника:

  • .sig — PGP-подпись релиза, созданная ключом команды KeePassXC;
  • .DIGEST — файл с SHA-256 хешем для простой проверки целостности.

Установка происходит тривиально двойным щелчком: открываете DMG, в появившемся окне приложения перетаскиваете иконку KeePassXC в папку Applications.

Важно: после установки сразу проверьте целостность скачанного файла. Прямое выборочное предупреждение из официального руководства — не доверять файлам со сторонних сайтов: «We strongly discourage downloading KeePassXC from third-party websites». Сама программа при установке на macOS проверяет App Developer ID — если цифровая подпись Apple не прошла верификацию, приложение не откроется вовсе, это системная защита.

2. Homebrew (рекомендуемый метод для продвинутых)

Homebrew — стандартный менеджер пакетов для macOS. Установка KeePassXC занимает одну команду в терминале: 

brew install --cask keepassxc

Достоинства пакетной установки:

  • автоматические обновления через brew upgrade;
  • версия 2.7.12 заранее агрегирована под архитектуры Apple Silicon (golden gate, tahoe, sequoia, sonoma, ventura, monterey) и Intel (tahoe, sequoia, sonoma, ventura, monterey);
  • в комплект каска включается бинарник keepassxc-cli, который попадает в /opt/homebrew/bin/keepassxc-cli (или /usr/local/bin для Intel), что позволяет использовать CLI из терминала без дополнительной настройки;
  • в комплект входят man-страницы keepassxc.1 и keepassxc-cli.1.

Столбец Analytics сайта Homebrew показывает, что каскам пользуются довольно активно: около 29 тыс. установок за 365 дней.

3. MacPorts

MacPorts — альтернативный менеджер пакетов для macOS. Он официально указан на странице загрузки KeePassXC как «MacPorts for macOS 11 and below» — то есть он предназначен для старых систем, которые не поддерживаются актуальными DMG (Потому что macOS < 12). Установка: 

sudo port install KeePassXC

Обновление: 

sudo port selfupdate && sudo port upgrade KeePassXC

В MacPorts порт также актуальной версии 2.7.12 и обновляется регулярно.

4. Сборка из исходного кода

Для любителей полного контроля проект можно собрать самостоятельно из исходников. Официальная документация (INSTALL.md) предлагает классическую процедуру CMake: 

git clone https://github.com/keepassxreboot/keepassxc.git
cd keepassxc
cmake -B ./build
cmake --build ./build

Программа соберётся в ./build/src/. Требования:

  • Qt (5.12 и выше, предпочтительно последняя ветка);
  • Botan 2.12 или 3.0 (библиотека криптографии);
  • zlib;
  • компилятор с поддержкой C++17 — g++ >= 9.3 или Clang >= 10;
  • CMake >= 3.16;
  • Asciidoctor >= 2.0 (для сборки документации опционально).

Полезные CMake-флаги:

  • -DWITH_XC_NETWORKING=OFF — отключить сетевой код (позволяет собрать версию без встроенного Updater и сетевых компонентов);
  • -DWITH_XC_BROWSER=OFF — отключить браузерную интеграцию;
  • -DWITH_XC_SSHAGENT=OFF — отключить SSH Agent;
  • -DWITH_XC_FDOSECRETS=OFF — отключить FDO Secret Service;
  • -DOVERRIDE_VERSION=... — задать собственный номер версии;
  • KEEPASSXC_BUILD_TYPE=[Snapshot|Release].

Стоит заметить, что даже в минимальной сборке с KPXC_MINIMAL в приложение всё равно линкуется модуль QtNetwork — из-за использования именованных каналов в Windows, но на macOS это не влияет на офлайн-принцип работы.

5. Снапшоты (develop-версии)

Для тестирования новых функций доступны nightly-сборки с сайта https://snapshot.keepassxc.org/. Там публикуются свежие сборки ветки develop. На момент написания статьи доступны сборки для macOS (включая Apple Silicon) и других платформ. Это версии с новыми фичами, но и с возможными багами, поэтому использовать их стоит с осторожностью, например на отдельной копии базы.

Первый запуск и создание базы данных

При первом запуске KeePassXC показывает экран приветствия, на котором предлагается либо создать новую базу, либо открыть существующую.

Создание базовой БД

1. Нажмите кнопку «Create a new database». 2. В мастере создания укажите имя базы и, по желанию, краткое описание. 3. На шаге Encryption Settings настраивается время расшифровки — ползунок от ~100 мс до десятков секунд. Выставьте дешифровку на примерно 1 секунду: это даёт хороший баланс безопасности и удобства. Из рекомендаций руководства: «Мы не советуем менять ничего, кроме времени дешифровки». 4. На шаге Database Credentials введите мастер-пароль. Рекомендация — длинный случайный пароль. Рядом с полем пароля кнопка с глазом — показать/скрыть. Если хотите надёжный пароль, откройте генератор паролей прямо из мастера (кнопка «dice»). 5. Нажмите Done — вам будет предложено сохранить файл базы в .kdbx. Можете положить его в любое место: на внутренний диск Mac, в Dropbox, в синхронизированную папку.

Открытие и разблокировка

При открытии базы появляется окно разблокировки, где вы вводите пароль. Также есть опции:

  • «I have a key file» — подключить key file;
  • «YubiKey / OnlyKey» — подключить аппаратный токен (после вставки в USB-порт выберите его из списка).

После разблокировки доступны все записи.

Быстрая разблокировка Quick Unlock

Quick Unlock — функция, позволяющая разблокировать базу с помощью биометрии. На Mac это означает Touch ID или Apple Watch:

  • после первого ввода master-пароля и его верификации KeePassXC предложит сохранить зашифрованный ключ в системы кейчейн;
  • при последующем разблокировании будет достаточно биометрической аутентификации — Touch ID или подтверждение на Apple Watch;
  • функция включена по умолчанию (в 2.7.6 Quick Unlock автоматически активируется при Auto-Type и браузерной интеграции);
  • отключить её можно в Tools → Settings → Security.

Важно понимать границу: при Quick Unlock всё равно выполняется дешифровка тем же ключом — разница лишь в том, что не нужно вводить длинный мастер-пароль. Если ваш Mac взломан и злоумышленник поднимется до уровня root, он теоретически может использовать биометрию; эта особенность намеренная (это просто удобство).

Интерфейс KeePassXC

Интерфейс KeePassXC построен максимально функционально и состоит из четырёх панелей:

  • Группы — слева дерево групп (можно создавать вложенные подгруппы, наследование настроек);
  • Поиски и теги — динамические папки с сохранёнными поисками, тегами и специальными представлениями (например, «истёкшие», «слабые пароли»);
  • Записи — таблица всех записей выбранной группы, с сортируемыми, масштабируемыми и настраиваемыми колонками;
  • Превью — справа панель подробностей выбранной записи без открытия на редактирование.

Есть возможность открывать несколько баз одновременно — они появляются как вкладки. Поддерживаются две темы: светлая и тёмная, с автоматическим определением под системную. Есть и «Compact Mode» — компактный режим для маленьких экранов: уменьшенные тулбар, иконки и строки.

Горячие клавиши

Это важнейшая часть UX. На macOS Ctrl заменяется на Cmd (⌘):

  • ⌘+O — открыть базу данных;
  • ⌘+S — сохранить;
  • ⌘+Shift+N — новая база;
  • ⌘+N — новая запись;
  • ⌘+C — скопировать пароль выбранной записи;
  • ⌘+B — скопировать логин;
  • ⌘+U — скопировать URL;
  • ⌘+T — скопировать TOTP-код;
  • ⌘+Y — скопировать пароль и TOTP;
  • ⌘+Shift+T — показать TOTP;
  • ⌘+Shift+V — Auto-Type в активное приложение;
  • ⌘+L — заблокировать базу;
  • ⌘+Shift+L — заблокировать все базы;
  • ⌘+H — добавить ключ в SSH Agent;
  • ⌘+Shift+H — удалить ключ из SSH Agent;
  • ⌘+Shift+J — переход к группе из поиска;
  • F2 — фокус в панель записей;
  • F3 / ⌘+F — фокус в поиск;
  • Esc — очистка поиска;
  • ⌘+/ — показать все клавиши.

Полный список комбинаций находится в документации KeyboardShortcuts.adoc.

Работа с записями

Чтобы добавить запись (entry), нажмите ⌘+N. В форме заполняются поля: Title (заголовок), Username, Password, URL, Notes. В поле пароля рядом кнопка-кубик — открыть генератор, кнопка-глаз — показать/скрыть. После указания URL можно нажать кнопку загрузки favicon, и иконка сайта появится у записи.

Записи можно:

  • редактировать (Enter или двойной клик);
  • клонировать (⌘+D) — с копированием всех полей;
  • удалять (Del) — с перемещением в «Recycle Bin», включённый по умолчанию;
  • помечать тегами, цветовыми метками, датами истечения (expiry);
  • снабжать дополнительными атрибутами (custom attributes) с защитой от просмотра — такие поля используют префикс {S:ATTR};
  • прикреплять файлы (attachments);
  • сохранять историю предыдущих изменений.

Важная деталь: с версии 2.7.0 двойной клик по полю логина/пароля в таблице НЕ копирует значение по умолчанию — это изменение намеренно, для защиты от случайного попадания пароля в буфер обмена. Включить старый режим можно: Tools → Settings → General → Entry Management → «Copy data on double clicking field in entry view».

Поиск

Поиск в KeePassXC — очень мощный инструмент. Синтаксис включает модификаторы и префиксы полей:

Модификатор Значение
- !! исключить термин из результата
! !! исключить термин из результата
+ !! точное совпадение термина
* !! термин трактуется как регулярное выражение

Поля можно ограничивать префиксами:

Поле Префикс
Название !! t
Логин !! u
Пароль !! p, pw
URL !! url
Заметки !! n
Атрибуты !! attr
Вложение !! attach
Группа !! g
Теги !! tag
Состояние !! is:expired, is:weak

Поддерживаются wildcard-символы: * — всё, ? — один символ, | — логическое ИЛИ.

Примеры запросов:

  • user:johnsmith url:www.google.com — логин johnsmith и URL с google.com;
  • user:john|smith — логин john ИЛИ smith;
  • +user:johnsmith -url:www.google.com *notes:"secret note \d" — точный johnsmith, URL без google.com, заметка содержит секретную фразу с цифрой;
  • is:expired is:weak — все истёкшие записи со слабыми паролями.

Формат KDBX — технические детали

Формат файла .kdbx — центральная часть KeePassXC и всего семейства KeePass. Разберём его подробнее, поскольку именно он определяет надёжность и совместимость.

Как устроен KDBX-файл

KDBX-файл начинается с фиксированных байт-сигнатур: 0x9AA2D903 (KeePass), затем 0xB54BFB67 (KDBX 2.x), после чего идёт 32-битная версия формата (например, 0x00040001 для KDBX 4.1). Далее следуют сегменты:

  • KdfParameters (ID 11) — параметры KDF в виде VariantDictionary;
  • EncryptionIV (ID 7) — вектор инициализации шифрования;
  • MasterSeed — главный сид (256 бит), генерируется случайным образом при каждом сохранении;
  • RandomStream — параметры для защиты памяти процесса.

KDBX 3.1 (легаси)

В формате KDBX 3.1 применён следующий стек:

  • шифр: AES-256-CBC (обязательный);
  • KDF: только AES-KDF (параметр TransformRounds — число итераций AES);
  • компрессия: GZIP;
  • аутентификация: MAC-then-Encrypt — после расшифровки проверяется SHA-256 хеш блока;
  • вложения: кодируются Base64 в XML-части;
  • защита памяти: потоковый шифр Salsa20.

KDBX 4 (актуальный)

KDBX 4 появился в KeePass 2.35 и несёт в себе радикальные улучшения — именно этот формат KeePassXC пишет по умолчанию. Основные изменения:

  • Argon2 как KDF — память-жёсткая функция заменяет AES-KDF, что даёт серьёзную защиту от GPU/ASIC атак; параметры (итерации, память, параллелизм) хранятся в VariantDictionary внутри поля 11.
  • Encrypt-then-MAC — вместо MAC-then-Encrypt: HMAC-SHA-256 вычисляется уже над шифротекстом. Формат стал более безопасным для побайтовой проверки.
  • HMAC-SHA-256 заголовка — целостность самого заголовка теперь проверяется до расшифровки, что предотвращает атаки на padding-исключения.
  • ChaCha20 — потоковый шифр с 256-битным ключом и 96-битным nonce, IV длиной ровно 12 байт.
  • Inner Header — внутренний зашифрованный и сжатый заголовок для хранения вложенных бинарных файлов. Вложения теперь хранятся напрямую бинарно (не через Base64), что уменьшает размер базы и повышает производительность.
  • Extensible Header — поле заголовка ID 12 в виде VariantDictionary для плагинов (не шифруется).
  • CustomData — словарь произвольных данных для базы, групп и записей (шифруется, в отличие от расширяемого заголовка).
  • Длина полей заголовка увеличена с 2 байт до 4 байт — это решает проблему с параметрами KDF более 64 КБ.

Рекомендация KeePassXC: использовать KDBX 4 с KDF Argon2id, шифром AES-256-CBC или ChaCha20, с временем дешифровки около 1 секунды. В варианте KDBX 4.1 появилась поддержка потоков и улучшений, которые используются в новых версиях KeePass и KeePassXC.

Как шифрование работает «под капотом»

Ключевая схема:

1. Вы вводите мастер-пароль (или применяете key file + YubiKey). 2. Пароль и соль проходят через KDF Argon2id — создаётся ключ шифрования. 3. Данные шифруются блочно (AES-256-CBC) или потоково (ChaCha20). 4. Каждый блок снабжается HMAC-SHA-256: ключ для блока i вычисляется как Ki := SHA-512(i ‖ K), где K — 512-битный производный ключ. 5. XML-часть (все поля, текст, метаданные) сжимается, затем шифруется вместе с вложениями — именно поэтому файл .kdbx при открытии в текстовом редакторе выглядит как мусор.

Важно: KeePassXC никогда не записывает незашифрованные данные на диск, включая временные файлы и кэш (по умолчанию безопасные транзакционные записи — так называемые safe saves).

Учётные данные базы (Database Credentials)

Отдельно разберём концепцию «Database Credentials» — так сейчас официально называются факторы, открывающие базу, вместо старого термина «Master Key».

Пароль

Рекомендуемый мастер-пароль — не менее 12-20 символов, лучше — сгенерированный генератором KeePassXC или парольная фраза из 6 слов (см. ниже). Держите его только в одном месте и не сообщайте никому.

Key file

Файл ключа генерируется самим KeePassXC (Tools → Database Security → Add Key File → Generate). Это бинарный или текстовый файл случайного содержимого. Он добавляется как второй фактор: открыть базу на другом компьютере можно, только имея и пароль, и файл ключа. Хороший вариант — хранить key file на отдельном USB-носителе или в специальном контейнере, а базу — в облаке: даже при утечке файла базы из облака получить доступ без пароля и ключа невозможно.

YubiKey / OnlyKey

KeePassXC поддерживает аппаратные токены YubiKey (включая YubiKey 5, YubiKey NFC, YubiKey Bio) и OnlyKey в режиме Challenge-Response:

  • команда от выбора подключается в Tools → Settings → Hardware Key;
  • токен должен быть настроен с помощью ykpersonalize — слот 2 HMAC-SHA1, 20 байт секрета;
  • при разблокировке базы YubiKey требует физического касания;
  • бэкап: важнейшая рекомендация — создать резервную копию HMAC-секрета на второй YubiKey или сохранить секрет на бумаге (для этого есть страницы с кодом в документации).

Интеграция с YubiKey не заменяет полноценный двухфакторный вход на веб-сайтах — она защищает саму базу данных. Для веб-2FA используйте TOTP (раздел ниже).

Экстренный случай

Совокупность базовых правил при потере любых факторов:

  • потеря мастер-пароля → потеря базы (невосстановима);
  • потеря key file → потеря базы (если не осталось копии файла);
  • потеря YubiKey → потеря базы (если не сделана копия секрета на второй ключ);
  • испорченный файл базы → восстановление из бэкапа (если есть).

Рекомендуется автоматическое резервное копирование базы, а также регулярное создание bакup-копий в формате .bak.kdbx — KeePassXC умеет делать их автоматически с плейсхолдерами {DB_FILENAME}-{TIME}.bak.kdbx.

Генератор паролей и парольные фразы

Обычные пароли

В Tools → Password Generator доступна настройка:

  • длина — от 1 до 128 символов (ползунок);
  • наборы символов — строчные, прописные, цифры, спецсимволы;
  • исключение похожих символов (0/O, 1/l);
  • advanced-режим: гарантированное включение каждого выбранного набора, исключение повторов, etc;
  • история и стойкость показываются в реальном времени (strength estimator).

Практическая рекомендация: 16+ символов с полным набором — для обычных сайтов; 20-24+ — для почты, банков, паспортных кабинетов; для самого KeePassXC базы — 30+ символов или 6-словная парольная фраза.

Парольные фразы (Passphrases)

Метод «парольной фразы» из нескольких случайных слов считается компромиссом между памятью и надёжностью. EFF рекомендует минимум 6 слов из списка в 7776 слов. EFF Dice-Generated Passphrases — официальный источник: https://www.eff.org/dice — генерирует фразы принципами 5 бросков кубиков на слово.

В KeePassXC:

  • переключитесь на вкладку Passphrase;
  • задайте количество слов (рекомендуется 6-7);
  • выберите разделитель (пробел, дефис, цифра и т.д.);
  • выберите регистр: lower, upper, title, MIXED (новый пресет с 2.7.10);
  • при необходимости подгрузите свой wordlist (например, словари EFF или Diceware Рейнхольда).

Простой пример: 「panoramic nectar precut smith banana handclap」 — фраза с 77 бит энтропии, понять легче, чем случайный пароль, но надёжнее большинства придуманных человеком паролей.

Достоинство фраз: их стойкость против перебора по-настоящему высока, они легко печатаются на иностранных клавиатурах. Минус: могут коробиться на сайтах с ограничением длины пароля (например, до 16 символов), поэтому для таких сайтов используйте обычные пароли.

TOTP — одноразовые коды в KeePassXC

TOTP (Timed One-Time Passwords) — протокол RFC 6238, который лежит в основе «authenticator-приложений»: Google Authenticator, Authy, Microsoft Authenticator. KeePassXC умеет хранить секрет и генерировать коды:

  • секрет хранится в поле otp записи;
  • настраивается через правый клик по записи → TOTP → Set up TOTP…;
  • коды обычно 6 цифр, период 30 секунд — но можно и больше (максимальный шаг с 2.7.5 увеличен до 24 часов);
  • код отображается в панели превью и в отдельном окне (TOTP-меню);
  • используется через браузерное расширение, Auto-Type с плейсхолдером {TOTP} или через keepassxc-cli (show -t / clip -t).

Важное предупреждение из руководства

Разработчики прямо предупреждают: «Storage TOTP-кодов в ТОЙ ЖЕ базе, что и пароли, уничтожает смысл двухфакторной аутентификации». Если база взломана — злоумышленник получит и пароль, и код. Если вы желаете максимальной безопасности — храните TOTP в ОТДЕЛЬНОЙ базе, которую разблокируете только по необходимости.

Suществует и компромиссный вариант: основная база с паролями и отдельная маленькая база с TOTP-кодами, привязанная к вам на другом устройстве-сейфе, либо — для мобильных — использование KeePassium/Strongbox и отдельного authenticator.

Квадрат ввода линий

Синхронизация времени обязательно должна работать (ТОТП зависит от текущего времени). На Mac это автоматически обеспечивается системой, но если вы увидите ошибку из-за рассинхрона — проверьте системные часы и включите автоматическую синхронизацию в настройках macOS.

Интеграция с браузерами: KeePassXC-Browser

Одна из самых востребованных функций — автозаполнение паролей прямо в браузере. Реализована через официальное расширение KeePassXC-Browser.

Установка расширения

  • Chrome / Chromium / Vivaldi / Brave → Chrome Web Store;
  • Firefox / Tor-Browser → Mozilla Add-ons;
  • Microsoft Edge → Microsoft Edge Add-ons.

На момент написания статьи актуальная версия расширения — 1.10.3 (обновление июнь 2026), с ~800 000 пользователей в Chrome и ~139 000 в Firefox.

Связывание расширения с KeePassXC

1. В KeePassXC: Tools → Settings → Browser Integration → поставьте флажок «Enable browser integration»; 2. Отметьте галочками браузеры, с которыми работаете; 3. Убедитесь, что база разблокирована; 4. В браузере нажмите иконку KeePassXC-Browser → Connect; 5. Выберите или придумайте имя соединения (например, firefox-laptop) → Save and allow access.

После этого расширение и менеджер будут общаться через локальный транспорт:

  • macOS/Linux — Unix-сокет (прокси-процесс keepassxc-proxy);
  • Windows — именованный канал.

Шифрование трафика — TweetNaCl box (curve25519-xsalsa20-poly1305): эта схема дополнительно защищает общение между браузером и KeePassXC даже внутри самого компьютера.

Использование

  • расширение показывает зелёный индикатор, когда база подключена и разблокирована;
  • на странице логина появится иконка KeePassXC в поле логина — клик по ней заполняет форму сохранёнными данными;
  • если у сайта несколько записей, выбивается выпадающий список;
  • при первом доступе к сайту KeePassXC может показать диалог Confirm Access — вы разрешаете доступ к выбранным записям (и можете сохранить решение через Remember);
  • справа клик по полю пароля → KeePassXC → Show Password Generator — можно сгенерировать пароль прямо в браузере и сразу сохранить его в базу;
  • поддержны KPH: <имя> дополнительные поля — заполнение альтернативных полей через настраиваемые атрибуты записи.

Passkeys (FIDO2/WebAuthn)

Начиная с KeePassXC 2.7.7 (март 2024) в браузерной интеграции появилась поддержка Passkeys:

  • Passkey генерируется и хранится в записи KeePassXC как обычное вложение/поле;
  • при регистрации на сайте через веб-клапан расширение перехватывает challenge;
  • флаги BE (backup eligible) и BS (backup state) поддерживаются с 2.7.12 (предупреждение: может затронуть существующие passkeys — перед обновлением можно пересоздать);
  • пароль на базе вашего master-пароля остаётся ключевым звеном защиты.

Важная деталь: для использования Passkeys нужен современный браузер и доступ к нативным API WebAuthn. В связке KeePassXC + KeePassXC-Browser вы получаете хранилище Passkeys, которое не зависит от облака.

Ограничения браузерной интеграции

  • Flatpak/Snap версии браузеров в Linux не поддерживаются (кроме Firefox Snap);
  • Edge в managed-настройках — нужен специальный конфиг org.keepassxc.keepassxc_browser_edge.json;
  • некоторые сайты блокируют автозаполнение программ; в этом случае используйте сохранённые правила Access Control;
  • для предотвращения фишинга всегда проверяйте адрес сайта, на котором расширение предлагает сохранённые данные.

Auto-Type — ввод паролей в любые приложения

Auto-Type — функция ввода сохранённых данных в активное приложение через имитацию клавиатурного ввода. Это полезно для настольных приложений, VPN-клиентов, FTP-клиентов, терминалов SSH, программ с собственным логином.

Как работает на macOS:

  • выберите запись, нажмите ⌘+Shift+V — KeePassXC наберёт ваши данные в активное окно;
  • для каждой записи можно задать sequence в поле Auto-Type:
 * {USERNAME} — логин;
 * {PASSWORD} — пароль;
 * {TOTP} — текущий TOTP-код;
 * {TIMEOTP} — новый плейсхолдер с 2.7.12, поддерживающий настраиваемые параметры;
 * {DELAY=200} — пауза в мс перед определённым символом;
 * {CLEARFIELD} — очистка поля;
 * {PICKCHARS} — выбор через настройки;
 * {S:ATTRIBUTE} — пользовательский атрибут;
 * {T-CONV:...} и {T-REPLACE-RX:...} — преобразования текста (с 2.7.10).
  • настройки по группе: наследуются, если включить «Auto-Type» в группе;
  • сопоставление с окном приложения — по заголовку (можно регулярным выражением).

Управление окнами: KeePassXC сопоставляет целевую программу по RegEx-шаблону. Если окно не найдено, введите его в списке Window Matching в настройках.

Ограничение: Auto-Type работает только на X11 на Linux; на macOS и Windows работает полноценно, включая ввод в поля программ из-под подписи, но защита от скриншотов такого типа не распространяется на сторонние приложения.

SSH Agent — интеграция с SSH-ключами

KeePassXC умеет хранить приватные SSH-ключи в базе и предоставлять их через SSH Agent. Это удобная и очень безопасная схема:

  • создаёте SSH-ключ (Ed25519, RSA, DSA) в терминале или импортируете в базу;
  • кладёте приватный ключ во вложение записи (или указываете путь к файлу);
  • парольная фраза ключа — это поле Password записи;
  • после разблокировки БД ключ автоматически добавляется в агент (всё можно и вручную: ⌘+H);
  • при использовании ключа KeePassXC запрашивает подтверждение.

Работа с Windows: KeePassXC поддерживает Pageant и OpenSSH-агент Windows; в macOS работает системный ssh-agent; в Linux — любой ssh-agent через SSH_AUTH_SOCK. Поддержка gpg-agent отсутствует.

Важно: как и в GitHub, ключи Ed25519 защищены от подмены, но для максимальной безопасности нужно следить за правами файла base и настройкой authorized_keys.

Ключи хранятся только в OpenSSH-формате (приватный ключ уже зашифрован в KDBX), не поддерживаются .ppk (PuTTY), RFC4716 и SSHv1.

Secret Service (Linux) — замена GNOME Keyring

В Linux-версии KeePassXC может выступать в роли провайдера стандарта FreeDesktop.org Secret Service. Это аналог ключей системы: приложения (GNOME, Chromium, Thunderbird, клиенты почты и др.) могут запрашивать пароли через DBus-интерфейс org.freedesktop.secrets, и тогда KeePassXC предоставляет их из базы.

На macOS эта функция неактуальна — используются системные Keychain и биометрия, но знать о ней полезно, если вы одновременно работаете с Linux-машиной.

Как это работает:

  • в KeePassXC включает услугу в Tools → Settings → Secret Service;
  • идёт регистрация dbus-сервиса ~/.local/share/dbus-1/services/org.freedesktop.secrets.service;
  • одна вкладка базы = одна коллекция (Collection), каждая запись выбранной группы — Item;
  • при запросе доступа появляется диалог подтверждения;
  • экспонированы: Title, Username, Password, URL, Notes, TOTP, а также незащищённые дополнительные атрибуты.

Интерфейс командной строки: keepassxc-cli

keepassxc-cli — мощнейший инструмент для автоматизации. При установке через Homebrew он доступен как /opt/homebrew/bin/keepassxc-cli. Возможности:

Команда Назначение
add добавить запись
analyze анализ паролей (HIBP, okon, слабые пароли)
attachment-export / attachment-import / attachment-rm работа с вложениями
clip скопировать пароль в буфер обмена (опция -t для TOTP)
close / open / quit интерактивная оболочка
db-create создать базу
db-edit изменить параметры базы (KDF, key file)
db-info информация о базе
diceware сгенерировать парольную фразу
edit изменить запись
estimate оценка стойкости пароля
export экспорт (xml по умолчанию, csv)
generate генерация пароля
import импорт
ls список записей (с -R рекурсивно)
merge слияние двух баз
mkdir / mv / rm / rmdir манипуляции с группами
search поиск записей
show показать запись (опция -t TOTP, --all, --show-attachments)

Примеры использования: 

# Создать базу
keepassxc-cli db-create -p /Users/me/Documents/passwords.kdbx

# Показать запись
keepassxc-cli show -a Password ~/passwords.kdbx "GitHub"

# Скопировать TOTP-код для записи
keepassxc-cli clip -t ~/passwords.kdbx "bank"

# Сгенерировать пароль из 24 символов
keepassxc-cli generate -L 24 -l -U -n -s

# Сгенерировать passphrase из 7 слов
keepassxc-cli diceware -W 7

# Оценить стойкость
keepassxc-cli estimate "my_password123"

# Импорт CSV
keepassxc-cli import -p /tmp/passwords.csv ~/new.kdbx

# Слияние с сухой проверкой
keepassxc-cli merge -d main.kdbx backup.kdbx

Глобальные опции:

  • -k/--key-file — указать key file;
  • -y/--yubikey — подключить YubiKey (slot[:serial]);
  • --no-password — исключить пароль;
  • --debug-info — подробная диагностика.

Преимущества CLI: скриптинговая автоматизация, миграции, контроль версий баз (git-хранение резервных копий), использование на серверах. Для TOTP-операций добавлены switch -t в show и clip.

Импорт и экспорт данных

Импорт

KeePassXC умеет переносить данные из следующих источников:

  • CSV — универсальный формат (база с колонками);
  • 1Password — 1PUX и OPVault;
  • Bitwarden — JSON-экспорт (со вложенными папками с 2.7.12);
  • Proton Pass — импортируемый CSV (импортёр добавлен в 2.7.10);
  • KeePass 1 (.kdb) — старый формат;
  • KeePass 2 (.kdbx) — прямое открытие.

Экспорт

  • CSV — для миграций;
  • XML — полный, с именами полей;
  • HTML — «бумажный бэкап»: читаемая таблица, которую можно распечатать и хранить в сейфе;
  • KeeShare — обмен базами.

Выходные XML/CSV — это ПЛЕЙНТЕКСТ без шифрования! Обязательно удаляйте экспортированные файлы после миграции, не храните их в облаке.

Резервное копирование

Пункт Tools → Database Settings → Security:

  • включите автоматическое резервное копирование (Backup);
  • укажите место;

а также утилиту backup используйте с базой в виде обычного файла: ctrl+C — копия, ctrl+V — новая копия, при необходимости привязки к версии — git.

Рекомендуемый бэкап-сценарий: основной файл базы — в облако (зашифрованный), копия — на флешке, третья копия — на внешнем диске в сдаче (или в защищённом контейнере). Никакая одна точка хранения не должна быть единственной.

Отчёты о безопасности: Password Health и HIBP

В KeePassXC есть встроенные отчёты (Tools → Database Reports):

  • Password Health — показывает слабые, повторяющиеся, короткие, истёкшие пароли, а также записи без пароля;
  • Statistics — общая сводка: количество записей, групп, вложений, типов;
  • HIBP — проверка паролей по базe Have I Been Pwned.

По поводу HIBP картина важная: KeePassXC не отправляет ваши пароли онлайн — проверка выполняется локально, по известным SHA-1 хешам. В CLI это реализовано так: 

# Скачайте полную базу HIBP с https://haveibeenpwned.com/Passwords
# (файл > 20 GB, содержит миллионы хешей)

keepassxc-cli analyze -H ~/Downloads/pwned-passwords-sha1.txt ~/passwords.kdbx

Или с использованием okon — специальной библиотеки для очень быстрого поиска по HIBP-базе: https://github.com/stryku/okon

Для работы с okon подготовьте файл один раз и ищите мгновенно: 

okon-cli --prepare ~/Downloads/pwned-passwords-sha1.txt --wd ./work --output ./pwned.onok
keepassxc-cli analyze --okon ./pwned.onok ~/passwords.kdbx

Это единственный способ работать с HIBP в KeePassXC, и он максимально конфиденциальный: ваши пароли не покидают Mac никогда.

Quick Unlock: Touch ID и Apple Watch

Отдельно вернёмся к Quick Unlock — она важна именно на Mac, где есть Touch ID.

Механика: при первом разблокировании базы полным паролем KeePassXC предлагает сохранить ключ базовых данных в системе Mac (Keychain/системный Secure Enclave). После этого:

  • при блокировке (⌘+L) и последующей разблокировке достаточно нажать Touch ID или подтвердить Apple Watch;
  • при запуске Auto-Type или браузерной интеграции Quick Unlock активируется автоматически (оптимизация из 2.7.6);
  • функцию можно отключить в Settings → Security.

Ключевое ограничение: биометрия помогает в сценарии «я сам на своём Mac», но не защищает от того, кто получил физический доступ уже после вашего сеанса. Поэтому для чувствительных баз (банковских ключей, работающих контрактов) — либо отключайте Quick Unlock, либо оставляйте только Touch ID при удалённой защите ключа.

Защита от скриншотов и записи экрана

KeePassXC защищает содержимое окна от захвата: на macOS и Windows по умолчанию включена защита от скриншотов и видеозаписи экрана (заявлено в документации как «Screenshot Security»). Это полезно при демонстрациях, вебинарах, когда на экран могут смотреть посторонние.

Если нужно разрешить снятие скриншотов (например, для скринкаста):

  • меню View → Allow Screen Capture;
  • или запустите приложение с флагом:
open -a KeePassXC --args --allow-screencapture

Обратите внимание: это защита приложения KeePassXC, а не всех приложений — чужие окна скриншотителям всё ещё доступны.

Автоблокировка и параметры безопасности

С версии 2.7.11 **автоблокировка по неактивности включена по умолчанию** (900 секунд). Это значит, что база заблокируется сама после 15 минут бездействия: важная настройка для пользователей, которые забывают блокировать базу вручную.

Прочие настройки Security в Tools → Settings:

  • блокировка после ухода в спящий режим;
  • при блокировке очищать буфер обмена (через 10 сек или строкой после N что);
  • скрытие паролей по умолчанию;
  • использовать системный буфер для копирования;
  • защита памяти приложением (process memory protection) — предотвращение читающего доступа других процессов (кроме администратора);
  • настройка сохранения: безопасные транзакции (safe saves), temp-file, direct-write.

Настройка «Save mode»:

Режим Что делает
Safe saves запись через временный файл + атомарный move — надёжно против повреждений (по умолчанию)
Temp file копия базы во временный файл с последующей перезаписью
Direct write запись прямо в файл — рискованно для облачных папок с локальным кэшем

Рекомендуется всегда оставлять Safe saves.

Облачное хранение и синхронизация

Прямой и главный вопрос: «Можно ли хранить базу в облаке?» Да — база в .kdbx всегда зашифрована, поэтому хранить её можно в iCloud Drive, Dropbox, Google Drive, Nextcloud, Syncthing, OneDrive. Ключевые условия:

  • только безопасные транзакции (Safe saves) — чтобы облачная синхронизация не рвала файл на части;
  • используйте облако с версионированием (iCloud, Dropbox, Nextcloud) — на случай случайного удаления или повреждения;
  • никогда не предоставляйте посторонним доступ к облаку, где лежит база;
  • не храните рядом с базой key file или экспорт CSV/XML.

Для пользователя Mac идеальная схема: база в iCloud Drive (синхронизация между Mac и iPhone через KeePassium / Strongbox), плюс копия на флешке или внешнем диске, плюс key file в отдельном контейнере.

KeeShare (устаревший метоод обмена базами, отмеченный как deprecated) — для совместного использования баз между несколькими людьми; сейчас команда ориентирует на облачные или приватные каналы.

Совместимость и мобильные компаньоны

KeePassXC не имеет официальных мобильных приложений — это осознанное решение команды: портирование полного десктопа на мобильные платформы нецелево. Однако есть семейство отлично совместимых приложений:

Платформа Приложение Ссылка
Android KeePassDX keepassdx.com
Android KeePass2Android KeePass2Android на GitHub
iOS/macOS KeePassium keepassium.com
iOS/macOS Strongbox strongboxsafe.com

Все эти приложения поддерживают KDBX 3/4 (а некоторые — Argon2, ChaCha20, Twofish) и могут открывать ту же базу, что и KeePassXC. Протокол синхронизации стандартный: просто скопируйте/синхронизируйте тот же файл.

Практический сценарий для Mac + iPhone:

1. База .kdbx — в iCloud Drive; 2. На Mac — KeePassXC (локально, с касанием Touch ID); 3. На iPhone — KeePassium (удобный импорт/экспорт, сканер QR-кодов для TOTP); 4. На iPad — Strongbox или KeePassium; 5. Храните отдельную маленькую базу с TOTP-кодами — и на устройствах.

Сравнение с другими менеджерами паролей

KeePassXC — один из представителей категории локальных менеджеров. Сравним с основными конкурентами на 2026 год:

Критерий KeePassXC 1Password Bitwarden Proton Pass AES Keychain (Apple)
Хранение !! локальный файл !! облако !! облако/self-host !! облако !! системный кейчейн
Открытый код !! да (GPL) !! нет !! да (GPL) !! да (AGPL) !! нет
Кроссплатформенность !! Win/macOS/Linux !! Win/macOS/iOS/Android !! все платформы !! все платформы !! только Apple
Цена !! бесплатно !! подписка !! бесплатно/подписка !! бесплатно/подписка !! бесплатно (в комплекте ОС)
Аудит !! ANSSI CSPN, Cure53 !! да (сторонние) !! да (сторонние) !! да (сторонние) !! официальная
Браузерная интеграция !! да (расширение) !! да !! да !! да !! ограниченная
TOTP !! да (в записях) !! да !! да !! да !! да (13.x+)
SSH Agent !! да !! нет !! частично !! нет !! нет
YubiKey !! да (challenge-response) !! да !! да !! да !! нет
Импорт из KeePass !! да !! нет-общий !! через CSV !! через CSV !! несистем

Вывод: KeePassXC выигрывает в свободе (бесплатно, локально, без подписки, без аккаунта), в совместимости с KeePass-форматом и в наличии SSH-агента. 1Password и Bitwarden удобны тем, кто хочет минимума настроек и автоматической синхронизации между устройствами независимо от того, где у вас файлы. Apple Keychain — интегрирован, но несовместим с Windows/Linux и хранит данные в системных структурах без переноса.

Недостатки и ограничения KeePassXC

Отметим честно слабые места:

  • Нет официальных мобильных приложений — только сторонние KeePassium/Strongbox/KeePassDX.
  • Нет платной поддержки — вся помощь со стороны сообщества.
  • Auto-Type на Linux только X11 — на Wayland ограничен;
  • Нет онлайн-синхронизации регистрации аккаунтов — база на ваш выбор полностью.
  • KeeShare deprecated — общие базы ищут новый механизм.

Но почти все минусы компенсируются главным: KeePassXC не знает о ваших паролях нигде, кроме вашего Mac, и это фактор доверия, основанный на том, что код открыт и многократно исправлен.

Проект сегодня: коммиты, качество и AI-политика

Проект живёт по принципу строгого качества:

  • код проходит ревью минимум одним основным мейнтейнером;
  • в 2025 добавлена важная политика про Generative AI: если часть PR написана с помощью ИИ-агентов/bootstrap-код — это указывается в описании PR; все PR так же проходят ручной ревью (см. README и блог-пост от 9 ноября 2025 «About KeePassXC's Code Quality Control»).
  • тесты — большaя часть изменений покрыта unit-тестами;
  • CI — TeamCity (веб-интерфейс: https://ci.keepassxc.org/?guest=1);
  • сонарь/статистика покрытия — codecov.

Безопасность и аудиты KeePassXC

Проект прошёл несколько независимых аудитов:

Объект Дата Аудитор Статус
ANSSI Security Visa (CSPN) 17 ноября 2025 Французское агентство ANSSI действует до 17.11.2028, для 2.7.9 (Windows 10), отчёт ANSSI-CSPN-2025/16
KeePassXC Application Security Review 19 января 2023 Zaur Molotnikov репорт PDF
OpenSSF Best Practices постоянно OpenSSF бейдж 100% (Passing)

Страница аудитов: https://keepassxc.org/audits/

Помимо этого, у проекта:

  • бейдж лучших практик Core Infrastructure Initiative (OpenSSF);
  • поддержка GitHub Sponsors;
  • открытый процесс раскрытия уязвимостей: адрес team@keepassxc.org, приватный Matrix (@droidmonkey_kpxc, @varjolintu, @phoerious), GitHub Security Advisory;
  • правило: если вы нашли уязвимость — НЕ публикуйте её публично; если ответа нет 30 дней — ограничивается разрешение.

Поддержка пользователей: Facebook, Matrix, IRC, GitHub Discussions.

Деталь про CVE-2023-35866: авторы CVE утверждали, что злоумышленник, получивший доступ к уже разблокированной базе, может экспортировать пароли. Команда оспорила эту трактовку — если злоумышленник имеет полный контроль над вашей системой, он и так может сделать всё; это не уязвимость менеджера.

Ключевые отзывы и признание сообщества

  • 28,7k звёзд GitHub (топовая вижбильность среди аналогов с открытым кодом);
  • статус «RECOMMENDED» в сообществах Privacy Guides и многих safety-каталогах;
  • оценки независимых обзоров — 98/100 по безопасности (Kubedo), SecureRank 9.4/10;
  • упоминания в MakeUseOf (2026) и др.

FAQ по KeеPassXC на Mac

Куда класть базу? — В любую защищённую папку или синхронизируемую папку; база шифруется, поэтому облако безопасно.

Можно ли хранить мастер-пароль в iCloud? — Нет; пароль должен существовать только в вашей голове или на бумаге сейфа.

Что делать, если я забыл мастер-пароль? — Восстановить нельзя; только иметь бэкапы.

KeePassXC — бесплатный? — Да, GPL-2/GPL-3, подписки нет. Donate — добровольно (https://keepassxc.org/donate/).

Как защитить базу на чужом Mac? — Используйте key file, не сохраняйте базу на чужом диске, уберите Quick Unlock.

Какой формат базы выбрать? — По умолчанию KDBX4 с Argon2id — и этого достаточно. Для совместимости с старым KeePass — KDBX3.1 (тогда AES-KDF).

Есть ли версия для iPhone? — Официальной нет; используйте KeePassium или Strongbox.

Как обновлять? — brew upgrade keepassxc или DMG-обновление со страницы загрузки.

Как развернуть для коллеги? — Создайте базу; поделитесь .kdbx и надёжным паролем через шифрованный канал (а лучше — через собственный сервер с ограниченным доступом).

Чем версия 2.7.12 важна? — Появился плейсхолдер {TIMEOTP}, tooltip с URL в диалоге браузера, вложенные папки в Bitwarden-импорте, флаги BE/BS passkeys и митигация DLL-инжекта через zлонамеренный OpenSSL config на Windows. На macOS стоит обновиться и для стабильности.

Способы получить поддержку

Важно: поддержку не надо путать с безопасностью — уязвимости отсылать приватно на team@keepassxc.org.

Почему именно KeePassXC в 2026 — резюме факторов

1. Безоблачный принцип: ваши пароли не уходят в интернет; 2. Открытый код: каждый может проверить; 3. Полная совместимость с форматом KeePass — самый поддерживаемый формат паролей в индустрии; 4. Современная криптография: Argon2id, ChaCha20, AES-256; 5. Биометрия на Mac: Touch ID и Apple Watch; 6. Мощный инструментарий, включая TOTP, Passkeys, SSH Agent; 7. Аудиты ANSSI и независимых специалистов; 8. Бесплатность без ловушек; 9. Активная команда и сообщество; 10. Великолепная документация на русском и на других языках (см. переводы).

Практический чек-лист миграции на KeePassXC

Если вы раньше использовали другой менеджер, вот проверенная последовательность:

1. Установите KeePassXC и расширение браузера. 2. Создайте новую базу (или переносите старую при помощи импорта). 3. Настройте Argon2id и время дешифровки ~1 сек. 4. Активируйте Quick Unlock (Touch ID). 5. Импортируйте данные: KeePass — прямо, 1Password/Bitwarden/Proton Pass — через меню Import. 6. Запустите Database Reports: проверьте health паролей (слабые — пересоздавайте). 7. Подключите HIBP-проверку (офлайн). 8. Настройте SSH Agent, если используете ключи. 9. Настройте Apple Watch и ссылку на iCloud для бэкапов. 10. Включите автоматический бэкап и расписание экспорта HTML в сейф. 11. Установите KeePassium на iPhone (тот же файл — в iCloud Drive). 12. Проверяйте автообновления.

Средние размеры базы данных

Базовые размеры файлов практичны: база из 100 записей занимает ~30-100 КБ; с вложениями — больше. Никаких лимитов на количество записей нет — KeePassXC отлично показывает себя и на 1000+ записях (особенно после оптимизаций 2.7.5).

Полезные советы по гигиене паролей

1. Используйте уникальный пароль на каждый сайт. 2. Генерируйте пароли исключительно в KeePassXC (не «от руки»). 3. Для критических сервисов — отдельные парольные фразы 6+ слов. 4. Не пользуйтесь паролями, встречающимися в бутлегах HIBP. 5. Обновляйте пароли при утечках (почти никогда не откладывайте). 6. Держите в базе заметки с URL-протоколами, например, где лежат резервные коды. 7. Очищайте буфер обмена (KeePassXC умеет автоматически). 8. Блокируйте базу при уходе с места. 9. Раз в месяц — Database Reports.

Резюме

KeePassXC — не просто «очередной менеджер паролей», а зрелая, инженерно выверенная система для хранения самых секретных данных. Она объединяет:

  • классическую надёжность формата KDBX и многолетнюю историю KeePass;
  • современную криптографию на основе Argon2id, ChaCha20, AES-256;
  • по-настоящему кроссплатформенную интеграцию (браузеры, SSH, DBus, системная биометрия);
  • полную автономию — данные хранятся у вас и не передаются никому;
  • подтверждённую аудитами репутацию (ANSSI CSPN, Cure53, OpenSSF).

Для macOS это идеальный выбор: нативная скорость, Touch ID, Apple Watch, полная интеграция с macOS-экосистемой и открытый исходный код. Если ваша цель — иметь надёжный, бесплатный, локальный и безопасный менеджер паролей, то KeePassXC — один из лучших вариантов на 2026 год.

Ссылки

×
Реклама
← В главную
Источник — https://wiki.iphoster.net/index.php?title=Mac_OS_X_-_KeePassXC_-_менеджер_паролей_-_2026&oldid=17291
Powered by MediaWiki
ИКС 88x31 - Visitor counter