Mac OS X - KeePassXC - менеджер паролів - 2026 - UA

Published: 2026-09-03

Про що ця стаття

Ця стаття — великий практичний гід українською про KeePassXC для користувачів Mac (macOS та Mac OS X). Ми розберемо, навіщо взагалі потрібен менеджер паролів, чому саме цей, як його встановити, як він улаштований зсередини, як користуватися кожною значущою функцією і як переїхати на нього з іншого менеджера без втрат і без головного болю.

Якщо коротко: KeePassXC — це безкоштовний, відкритий, офлайн-орієнтований менеджер паролів для Windows, macOS і Linux. Уся ваша інформація живе в одному зашифрованому файлі формату KDBX, який ви контролюєте самі. Жодного акаунта, жодної підписки, жодного «хмарового» сервера, жодної телеметрії.

Актуальна версія на момент написання — 2.7.12 (випущена 10 березня 2026 року). Розробка наступної, 2.8.0, триває.

1. Навіщо потрібен менеджер паролів

У середньостатистичної людини сьогодні від 50 до 200 акаунтів: електронна пошта, банки, соцмережі, магазини, робочі системи, VPN, SSH-сервери, форуми. Правила безпеки прості, але невблаганні:

кожен сайт — окремий пароль;
один і той самий пароль ніколи не використовуємо двічі;
паролі не тримаємо «у голові» і не записуємо в нотатку.

Проблема в тому, що людина не може запам’ятати 100 різних паролів. Тому компромісом стає менеджер паролів — програма, яка зберігає всі паролі в зашифрованому сховищі, а людина запам’ятовує лише один головний пароль.

Існує два роди менеджерів:

Хмарні (1Password, Bitwarden, Proton Pass, LastPass, Keeper). Сховище синхронізується через сервери постачальника. Зручно: усе автоматично, на всіх пристроях. Мінуси: підписка, залежність від сторонньої інфраструктури, і хоч шифрування зазвичай наскрізне (E2E), точка довіри все одно є.
Локальні (KeePass, KeePassXC, самохостинг Bitwarden). Сховище — це просто файл на вашому носії. Де він лежить і як його зберігати — вирішуєте ви. Ні аккаунтів, ні оплат, ні передачі даних третім особам.

KeePassXC належить до другого типу, і при цьому має рідкісну перевагу: він читає й пише той самий формат KDBX, що й класичний KeePass. Завдяки цьому база працює не лише на десктопі, а й у мобільних портах — KeePassium, Strongbox, KeePassDX, KeePass2Android.

Що це дає практично:

сховище можна тримати в iCloud, Dropbox, Google Drive, Nextcloud чи на звичайній флешці — провайдер бачить лише шифротекст;
файл можна перевірити, відкрити в іншому додатку, відновити з бэкапу — жодного вендор-замкнення;
якщо завтра проєкт змінить курс, дані не пропадуть: відкритий формат нікуди не зникне.

2. Історія і команда проєкту

KeePassXC народився в 2016 році як «перезапуск» проєкту KeePassX — кроссплатформенного Qt-порту KeePass для Linux/macOS. На той момент KeePassX практично зупинився: у репозиторії накопичилося близько 69 незакритих пул-реквестів, а відповідей від мейнтейнера не було. Функціями він відставав від сучасного KeePass 2.x.

Спільнота створила форк «KeePassX Reboot», який увібрав усі напрацювання, модернізував архітектуру і став зрештою тим, чим він є сьогодні. У 2021 році KeePassX офіційно завершив розвиток, підтвердивши, що KeePassXC — його спадкоємець.

Ключові факти про проєкт станом на зараз:

більше 28 700 зірочок на GitHub;
~1 900 форків;
507 контриб’юторів;
майже 5 000 коммітів у гілці develop;
близько 900 відкритих issue і PR;
команда з п’яти основних розробників: droidmonkey, phoerious, hifi, louib, varjolintu;
ліцензія GPL-2/GPL-3;
релізи підписані PGP-ключем із відбитком BF5A669F2272CF4324C1FDA8CFB4C2166397D0D2.

Хронологія головного:

2019 — офіційна браузерна інтеграція, підтримка Argon2;
2022 (2.7.0) — формат KDBX 4.1, бібліотека Botan, Quick Unlock (Windows Hello / Apple Watch), NFC, теги;
2023 (2.7.7) — підтримка Passkeys;
2024 (2.7.8/2.7.9) — доопрацювання passkeys та імпортерів;
2025 (2.7.10/2.7.11) — імпортер Proton Pass, вбудований переглядач вкладень, автоблокування за замовчуванням, сертифікація ANSSI;
березень 2026 (2.7.12) — плейсхолдер {TIMEOTP}, підказки URL у браузерному діалозі, вкладені папки в імпортері Bitwarden, прапорці BE/BS для passkeys, захист від DLL-ін’єкцій у Windows.

3. Встановлення на Mac

Офіційні збірки орієнтовані на macOS 12 і новіші. Для старіших машин доступні MacPorts і складання з вихідного коду. Архітектури: Apple Silicon (M1+) та Intel — окремі дистрибутиви.

3.1 DMG-файл (класичний спосіб)

Перейдіть на офіційну сторінку завантаження, оберіть «KeePassXC for Apple Silicon» або «KeePassXC for Intel Macs», завантажте .dmg, відкрийте його та перетягніть іконку в папку Applications. Поруч із кожною збіркою лежать два файли-супутники:

.sig — від’єднаний PGP-підпис релізу;
.DIGEST — SHA-256 хеш для перевірки цілісності.

Перевірка завантажених файлів (рекомендована досвідченим користувачам):

# 1. Імпортуйте відкритий ключ команди
gpg --keyserver keys.openpgp.org --recv-keys BF5A669F2272CF4324C1FDA8CFB4C2166397D0D2

# 2. Перевірте підпис
gpg --verify KeePassXC-*.sig

# 3. Необов’язково - перевірка суми
shasum -a 256 -c KeePassXC-*.DIGEST

Якщо ви побачили рядок «Good signature» — файл справжній і незмінений. Якщо ж підпис не збігся — не встановлюйте збірку: завантажте її повторно, а за потреби повідомте команду через issue. Офіційне правило проєкту також звучить чітко: завантажувати збірки варто лише з офіційного сайту або релізів на GitHub, сторонні дзеркала використовувати не рекомендується.

3.2 Homebrew

Для людей, які звикли до термінала, це найшвидший шлях:

<syntaxyntaxhighlight lang="bash"> brew install --cask keepassxc </syntaxyntaxhighlight>

Що ви отримуєте після встановлення:

/Applications/KeePassXC.app;
утиліту keepassxc-cli у PATH (наприклад, /opt/homebrew/bin/keepassxc-cli на Apple Silicon);
man-сторінки keepassxc.1 і keepassxc-cli.1.

Актуальний кейск 2.7.12 сумісний із macOS Monterey — Tahoe на обох архітектурах.

3.3 MacPorts

<syntaxyntaxhighlight lang="bash"> sudo port install KeePassXC

оновлення пізніше:

sudo port selfupdate && sudo port upgrade KeePassXC </syntaxyntaxhighlight>

Саме через MacPorts найзручніше ставити KeePassXC на старі версії macOS (11 і нижчі).

3.4 Збірка з вихідного коду

Для тих, хто хоче повний контроль і, наприклад, відключити всі мережеві компоненти. Вимоги: Qt 5.12+, Botan 2.12+, zlib, CMake 3.16+, компілятор із підтримкою C++17, asciidoctor (опціонально для документації).

<syntaxyntaxhighlight lang="bash"> git clone https://github.com/keepassxreboot/keepassxc.git cd keepassxc cmake -B ./build cmake --build ./build

бінарник: ./build/src/keepassxc

</syntaxyntaxhighlight>

Корисні прапорці:

-DWITH_XC_NETWORKING=OFF — повністю мінімальна збірка без мережевого коду;
-DWITH_XC_BROWSER=OFF / -DWITH_XC_SSHAGENT=OFF / -DWITH_XC_FDOSECRETS=OFF;
-DKEEPASSXC_BUILD_TYPE=Snapshot або Release;
-DOVERRIDE_VERSION=...

3.5 Нічні збірки

Снапшоти для тестування збираються щодня: https://snapshot.keepassxc.org/. Використовуйте їх на копії бази — це pre-release збірки, і в них можна натрапити на баги.

4. Перший запуск: створення бази

Після першого запуску програма запропонує створити нову базу або відкрити наявну. Майстер створення складається з трьох кроків:

1. Загальна інформація — назва бази і, за бажанням, опис. 2. Параметри шифрування — тут майже нічого не чіпаємо, окрім повзунка часу розшифрування. 3. Реквізити (Database Credentials) — задаємо головний пароль (і, за бажанням, інші фактори).

Час розшифрування: що це і як налаштувати

Повзунок «Decryption Time» — це не швидкість, а кількість ітерацій Argon2id. Швидше відкриття = слабший захист від перебору; повільніше = дорожче «відкрити» базу зловмиснику. Золота середина — близько однієї секунди. Документація прямо радить: не змінюйте нічого, окрім цього повзунка.

Фактори доступу

Словосполучення «Master Key» офіційно замінено на «Database Credentials» ще у версії 2.6.0, щоб підкреслити композитність:

Фактор	Що це	Навіщо
Пароль	Головний пароль	Основа захисту; довгий і випадковий
Key file	Файл-ключ із випадковими байтами	Другий фактор; зберігайте окремо від бази
YubiKey / OnlyKey	Апаратний токен challenge-response	Фізичний фактор; потребує натискання

Чим більше факторів — тим важче викрасти доступ: навіть якщо зловмисник отримає сам файл бази з хмари, без пароля і без ключа він побачить лише шифротекст.

5. Інтерфейс у деталях

Головне вікно має чотири панелі:

Групи — дерево папок із вкладеними рівнями та успадкуванням налаштувань;
Пошуки й теги — збережені запити, теги, спеціальні подання («прострочені», «слабкі»);
Записи — таблиця з налаштовуваними колонками, сортуванням, перетягуванням;
Прев’ю — права панель із деталями без відкриття редактора.

Додаткові зручності:

вкладки для кількох баз одночасно;
світла й темна теми (автовизначення), компактний режим для щільних дисплеїв;
захист від знімків екрана (§16);
повна система гарячих клавіш.

Найчастіші гарячі клавіші (macOS)

Дія	Клавіша
Відкрити базу	⌘+O
Зберегти	⌘+S
Нова база	⌘+Shift+N
Новий запис	⌘+N
Скопіювати пароль	⌘+C
Скопіювати логін	⌘+B
Скопіювати TOTP	⌘+T
Скопіювати пароль і TOTP	⌘+Y
Auto-Type	⌘+Shift+V
Блокування бази	⌘+L
Блокувати все	⌘+Shift+L
Додати ключ в SSH Agent	⌘+H
Видалити ключ з SSH Agent	⌘+Shift+H
Фокус на пошук	⌘+F або F3

Зверніть увагу: з версії 2.7.0 подвійне клацання по полю логіна/пароля в таблиці за замовчуванням не копіює значення. Це свідомий захист від ненавмисного потрапляння пароля в буфер обміну. Повернути стару поведінку: Tools → Settings → General → Entry Management → «Copy data on double clicking field in entry view».

Пошуковий синтаксис

Пошук — одна з найсильніших функцій KeePassXC. Базовий синтаксис:

Модифікатор	Значення
- термін	виключити термін
! термін	виключити термін
+ термін	точне збігання
* термін	термін є регулярним виразом

Префікси полів: t (назва), u (логін), p (пароль), url, n (нотатки), attr (атрибути), attach (вкладення), g (група), tag (тег), plus стан запису (is:expired, is:weak). Wildcards: * — будь-що, ? — один символ, | — логічне АБО.

Приклади:

user:johnsmith url:google.com — логін johnsmith на сайті google.com;
+tag:personal -tag:work — точний тег personal без тегу work;
is:expired is:weak — усі прострочені записи зі слабкими паролями.

6. Формат KDBX: що всередині файлу

Файл .kdbx — це бінарний контейнер із фіксованою магією:

0x9AA2D903 — сигнатура KeePass;
0xB54BFB67 — сигнатура KDBX 2.x;
32-бітна версія формату (для KDBX 4.1 — 0x00040001).

KDBX 3.1 (легасі)

Шифр: AES-256-CBC.
KDF: AES-KDF (кількість ітерацій у полі TransformRounds).
Стискання: GZIP.
Аутентифікація: MAC-then-Encrypt, SHA-256 по блоках.
Вкладення: Base64 в XML-частині.
Внутрішній потік: Salsa20 (захист пам’яті процесу).

Формат чесно захищений, але без сучасних KDF він уразливіший до GPU/ASIC-перебору.

KDBX 4 (актуальний)

Версія 4 з’явилася в KeePass 2.35 і принесла суттєві зміни — саме її за замовчуванням пише KeePassXC:

Argon2 замість AES-KDF — пам’ять-жорстка функція, переможець Password Hashing Competition. Параметри зберігаються у VariantDictionary у полі 11. KeePassXC рекомендує варіант Argon2id (стійкий до атак таймінгових каналів), Argon2d доступний для сумісності з портами.
Encrypt-then-MAC — HMAC-SHA-256 обчислюється над шифротекстом. Для кожного 1 МБ блоку ключ обчислюється як Ki := SHA-512(i ‖ K). Перевага: підробка або пошкодження блоку виявляється до розшифрування, без винятків padding.
Аутентифікація заголовка — одразу після заголовка лежить SHA-256 хеш (для виявлення пошкоджень без ключа) та HMAC-SHA-256 (для перевірки цілісності).
ChaCha20 — RFC 7539/8439, 256-бітний ключ, 96-бітний nonce, IV тієї довжини, яку вимагає шифр (12 байт). ChaCha20 також замінив Salsa20 для внутрішнього рандомізованого потоку.
Twofish — лишився як опційний блочний шифр.
Inner Header — зашифрована та стиснена бінарна секція для вкладень без Base64: бази з медіа менші та працюють швидше.
Розширюваний заголовок — поле 12 для даних плагінів (не шифрується!); конфіденційні дані плагінів варто тримати в CustomData.
CustomData — словники довільних даних для бази/груп/записів, шифруються.

Рекомендована комбінація на 2026 рік: KDBX4 + Argon2id + AES-256-CBC (або ChaCha20) + час розшифрування ~1 с. Нижча сумісність потрібна лише, якщо ви працюєте зі старими портами KeePass.

7. Криптографія: як це працює на практиці

Схема розшифрування:

1. Ви вводите пароль (іноді з key file та/або відповіддю YubiKey). 2. KDF Argon2id перетворює пароль і сіль на 512-бітний ключ. 3. Тіло бази розшифровується блочно-або-потоково (AES-256-CBC / ChaCha20). 4. Кожен блок валідується HMAC-SHA-256. 5. Це все — у пам’яті; на диск ніколи не потрапляє розшифрованих даних (режим Safe saves — тимчасовий файл + атомарне перейменування).

Що означає модель загроз:

украдений файл бази з флешки/хмари → зловмисник отримує лише шифротекст і «гравітаційний» бар’єр Argon2id;
компрометація самого комп’ютера → захист пам’яті процесу, але root/TCB все одно всемогутні; це визнає і сама документація;
підробка файлу → HMAC виявить фальшиві блоки до розшифрування;
підглядання з екрана → захист від запису екрана, очищення буфера обміну, приховані у формі паролі;
плагіни-додатки з виконуваним кодом → у KeePassXC немає системи плагінів, яка б завантажувала сторонній код; «плагіни» вбудовуються в бінарник при збірці.

8. Генератор паролів і парольні фрази

Паролі

Меню Tools → Password Generator:

довжина (повзунок, до 128 символів);
набори символів: великі, малі, цифри, спецсимволи;
виняток схожих (0/O, 1/l/I);
додаткові умови в Advanced;
лічильник символів і живий індикатор надійності (покращені в 2.7.10).

Практичні норми: 16 символів для звичайних сайтів; 20–24 для пошти, банків і ключових кабінетів; 30+ для головного пароля самої бази.

Парольні фрази

Метод «фрази зі слів» — компроміс між запам’ятовуваністю та надійністю. EFF радить мінімально 6 слів зі списку в 7 776 слів — це близько 77 бітів ентропії. Офіційний метод генерації: https://www.eff.org/dice

У KeePassXC:

вкладка Passphrase у генераторі;
кількість слів (рекомендовано 6–7);
розділювач: пробіл, дефіс, довільний символ;
регістр: малий, ВЕЛИКИЙ, Title, MIXED (новий пресет з 2.7.10);
власні словники (EFF, Diceware, корпоративний список).

Приклад: «соняшник паперовий мармелад обігрівач зозуля» — легко запам’ятати асоціативно, надзвичайно важко перебрати.

9. TOTP: коди двофакторної аутентифікації

KeePassXC вміє зберігати секрети TOTP (RFC 6238) і генерувати коди, як Google Authenticator чи Authy:

секрет лежить у полі otp запису;
налаштування: правий клік на записі → TOTP → Set up TOTP…;
стандартний вивід — 6 цифр із валидністю 30 секунд; крок можна збільшити аж до 24 годин (2.7.5+);
код показується в прев’ю, в окремому вікні, копіюється через ⌘+T;
використати можна: браузерна інтеграція, Auto-Type ({TOTP}, {TIMEOTP} з 2.7.12), CLI — show -t / clip -t;
щоб перенести секрет на телефон — покажіть QR-код (у контекстному меню записи).

Найважливіше попередження від розробників: тримати TOTP-коди в тій самій базі, що й паролі, — означає звести нанівець увесь сенс 2FA. Якщо базу відкриють, зловмисник отримає і пароль, і код. Захищені варіанти:

окрема, маленька база лише для TOTP, яку ви відкриваєте за потреби;
TOTP-коди тільки на телефоні (KeePassium, Strongbox, рідний автентифікатор);
гібрид: в основній базі нічого, крім паролів.

Обов’язкова умова — коректний час системи: TOTP залежить від годинника, тому на Mac увімкніть автоматичну синхронізацію часу.

10. Браузерна інтеграція KeePassXC-Browser

Це, мабуть, найбільша щоденна зручність: розширення самостійно підставляє логіни й паролі на сайтах. Офіційне розширення (GPL-3.0) доступне для Chrome/Chromium/Vivaldi/Brave, Firefox/Tor-Browser та Microsoft Edge.

Як це працює технічно

Браузер запускає локальний помічник keepassxc-proxy (native messaging).
Proxy спілкується з KeePassXC через Unix-сокет на macOS/Linux.
Повідомлення передаються як JSON у зашифрованих кадрах — TweetNaCl box (curve25519-xsalsa20-poly1305).
Використовуються три пари ключів: сесійні ключі хоста й клієнта (за кожен запуск) і постійний ідентифікаційний ключ, створений під час прив’язки.

Це суттєво безпечніше за старі протоколи на кшталт KeePassHttp, де трафік ішов відкритим текстом.

Швидке налаштування

1. KeePassXC: Tools → Settings → Browser Integration → «Enable browser integration», позначте браузери. 2. Розблокуйте базу. 3. У браузері: іконка розширення → Connect. 4. Введіть унікальне ім’я з’єднання (firefox-laptop тощо) і підтвердіть.

Стан іконки: сіра — KeePassXC не запущено; помаранчева — базу не розблоковано; зелена з цифрою — готово, знайдено N входів.

Використання

підстановка через іконку в полі логіна;
випадаючий список, якщо на сайт є кілька записів;
діалог Confirm Access (запам’ятовується для сайту), а з 2.7.12 у ньому з’явилися підказки з URL;
KPH: поля для додаткових форм;
wildcard-URL з 2.7.10 (https://*.example.com);
генерація пароля просто в браузері: правий клік по полю пароля → KeePassXC → Show Password Generator — з результатом, що зберігається в базу.

Passkeys з 2.7.7

KeePassXC вміє зберігати та використовувати passkeys (WebAuthn/FIDO2) через браузерну інтеграцію: приватний ключ живе у вашій зашифрованій базі, а не в хмарі постачальника.

Відмінності й обмеження:

працює у браузерах на базі Chrome/Firefox/Edge; Safari не підтримується для цього шляху;
у 2.7.12 прапорці BE/BS виставлені в true, і команда попереджає, що це може зламати наявні passkeys — після оновлення необхідно перевипустити їх, якщо щось перестало працювати;
у sandbox-браузерах Flatpak/Snap (Linux) інтеграція обмежена.

11. Auto-Type: введення даних у будь-яку програму

Auto-Type — механізм імітації клавіатурного введення: ціль — програми без браузерної інтеграції (VPN-клієнти, FTP-клієнти, термінали, любі десктоп-додатки).

Виклик: ⌘+Shift+V у глобальному використанні або з контекстного меню запису.
Послідовність: {USERNAME}, {TAB}, {PASSWORD}, {TAB}, {TOTP} (або {TIMEOTP} з 2.7.12), {ENTER}.
Додаткові команди: {DELAY=200}, {CLEARFIELD}, {PICKCHARS}, {S:ATTRIBUTE}, {REF:...}, {T-CONV:...}, {T-REPLACE-RX:...}.
Сопоставление вікна — за заголовком (регулярним виразом), пер-записи або пер-групи.

На macOS обов’язково надайте KeePassXC дозвіл на керування клавіатурою: System Settings → Privacy & Security → Accessibility. На Linux Auto-Type працює лише під X11, не під Wayland.

12. Захист від знімків і запису екрана

На macOS і Windows за замовчуванням увімкнено захист від запису екрана та знімків вікна KeePassXC — корисно під час конференцій і дзвінків. Тимчасово дозволити знімання:

меню View → Allow Screen Capture;
або запуск із прапором:

open -a KeePassXC --args --allow-screencapture

Пам’ятайте: захист стосується лише вікна KeePassXC, інші вікна залишаються видимими.

13. SSH Agent: ключі в базі

Дуже гарна фіча для розробників: приватні SSH-ключі лежать у базі, а не розкидані по диску. KeePassXC виступає клієнтом агента (а не самим агентом): він віддає ключі системному ssh-agent або Pageant.

Як це організувати:

1. Створіть ключ (Ed25519 — рекомендовано; RSA/DSA — можна, але слабші; .ppk, RFC4716, SSHv1 — не підтримуються). 2. Додайте приватний ключ як вкладення запису. 3. Парольну фразу ключа зберігайте у полі Password (тоді ключ розшифрується автоматично при розблокуванні бази). 4. Після відкриття бази ключ автоматично потрапляє в агент — ⌘+H додати вручну, ⌘+Shift+H видалити.

Безпечний бонус: приватний ключ ніколи не читається з диска в чистий вигляд — він дешифрується лише «на льоту» і живе в пам’яті агента. Якщо база вимкнена — агент не має ключів.

14. Командний рядок: keepassxc-cli

Утиліта доступна одразу після встановлення (через Homebrew — у PATH). Поверхня команд:

Команда	Призначення
db-create / db-edit / db-info	створення, зміна, опис бази
add / edit / rm / mv / ls / mkdir / rmdir / search	записи та групи
show / clip	показати або скопіювати дані (show -t — TOTP; --all — всі атрибути)
generate / diceware / estimate	генерація паролів, фраз, оцінка стійкості
import / export / analyze	імпорт, експорт (xml, csv), аналіз HIBP/okon
merge	злиття баз (з -d — сухий прогін)
attachment-import / export / rm	вкладення
open / close / quit	інтерактивна оболонка

Приклади:

Створення бази

keepassxc-cli db-create -p ~/secret vault.kdbx

Показати пароль запису

keepassxc-cli show -a Password vault.kdbx "GitHub"

TOTP у буфер обміну

keepassxc-cli clip -t vault.kdbx "bank"

Пароль 24 символи

keepassxc-cli generate -L 24 -l -U -n -s

Фраза з 7 слів

keepassxc-cli diceware -W 7

Офлайн-аудит за базою HIBP

keepassxc-cli analyze -H ~/Downloads/pwned-passwords-sha1.txt vault.kdbx </syntaxyntaxhighlight>

Типові сценарії застосування: регулярні перевірки здоров’я баз, скриптова міграція, резервні копії у git-репозиторії, ротація паролів у CI, «аварійний доступ» з іншого комп’ютера без GUI.

15. Резервні копії: стратегія, яка рятує паролі

Зашифрована база — це добре, але вона одна-єдина. Втратили файл — втратили все. Правильний стек резервування:

Копія	Де	Навіщо
Основна	iCloud Drive / Dropbox / Nextcloud із версіонуванням	щоденна синхронізація
Друга	зовнішній диск чи флешка	локальний офлайн-носій
Третя	фізично інше місце (сейф, близькі)	пожежа/крадіжка
Авто-бэкап	убудована функція KeePassXC (Tools → Database Settings → Backup)	*.bak.kdbx поруч із базою за розкладом

Додатково раз на кілька місяців можна робити «паперовий бэкап» — експорт HTML із таблицею паролів, роздруківку в сейф. Важливо: експорти CSV/XML — це відкритий текст! Після імпорту/миграції обов’язково видаліть їх.

16. HIBP-аудит без передачі паролів

Have I Been Pwned — база паролів із відомих зливів. KeePassXC не питається про звіт через мережу: перевірка відбувається виключно офлайн, по локальному файлу хешів. Спосіб 1 — просто через швидкий grep:

Скачайте повну базу тут: https://haveibeenpwned.com/Passwords

keepassxc-cli analyze -H ~/Downloads/pwned-passwords-sha1.txt vault.kdbx </syntaxyntaxhighlight>

Спосіб 2 — швидше: один раз підготуйте індекс через okon і використовуйте його роками:

<syntaxyntaxhighlight lang="bash"> okon-cli --prepare pwned-passwords-sha1.txt --wd ./work --output pwned.okon keepassxc-cli analyze --okon pwned.okon vault.kdbx </syntaxyntaxhighlight>

Жоден символ вашого пароля, жоден хеш не залишає машини — це принципово, а не випадковість дизайну.

17. Quick Unlock: Touch ID та Apple Watch

Якщо головний пароль — 30+ символів, вводити його щодня втомливо. У KeePassXC є Quick Unlock: після першого повного відкриття бази ключ зберігається в системному сховищі macOS, і наступні блокування розблоковуються через Touch ID або підтвердження на Apple Watch.

увімкнено за замовчуванням;
автоматично активується, коли розблокування викликане Auto-Type або браузерним доступом (покращення 2.7.6);
вимикається в Settings → Security.

Компроміс: биометрія — дуже зручно, але знижує бар’єр для атакувальника з фізичним доступом до розблокованої сесії. Для особливо чутливих баз (корпоративні секрети, банківські ключі) варто вимкнути Quick Unlock і лишити бар’єр «пароль + YubiKey».

18. Порівняння з конкурентами

Критерій	KeePassXC	1Password	Bitwarden	Proton Pass
Архітектура	локальний файл	хмара	хмара/self-host	хмара
Ціна	безкоштовно	підписка	free/підписка	free/підписка
Відкритий код	так (GPL)	ні	так	так
Серверна довіра	відсутня	вендор	вендор/сам	вендор
Браузерне автозаповнення	так	так	так	так
Passkeys	так (2.7.7+)	так	так	так
TOTP у сховищі	так	так	так	так
SSH Agent	так	ні	частково	ні
YubiKey	так (challenge-response)	так	так	так
Аудити	ANSSI CSPN 2025, Cui + інші	зовнішні	зовнішні	зовнішні

Де виграє KeePassXC: володіння даними, незалежність від провайдерів, відсутність аккаунтів і підписок, сумісність із форматом KeePass, SSH-агент. Де виграють хмарні: зручна синхронізація між усіма пристроями, сімейний обмін, emergency access, enterprise-функції для команд.

19. Аудити та сертифікація: чому цьому проєкту довіряють

Аудит	Дата	Аудитор	Обсяг
ANSSI Security Visa (CSPN)	17.11.2025, діє до 17.11.2028	Національне агентство кібербезпеки Франції	версія 2.7.9 для Windows 10, сертифікат ANSSI-CSPN-2025/16
Application Security Review	19.01.2023	Zaur Molotnikov	ревізія джерел 2.7.4
OpenSSF Best Practices	постійно	OpenSSF	бейдж Passed (100%)

Додатково у проєкту:

процедура приватного розкриття вразливостей: GitHub Security Advisory, приватний Matrix, PGP-пошта на team@keepassxc.org, строки-ембарго;
явна позиція проти шаблонних CVE: інцидент CVE-2023-35866 (начебто «експорт бази без пароля») команда оскаржила — мовляв, якщо у вас є root-доступ до розблокованої сесії, таке «вразливо» все що завгодно;
політика щодо AI-коду: якщо значну частину PR згенерував ШІ/агент — це вказується в описі пул-реквесту; усі PR проходять людське рев’ю.

Повний перелік: сторінка аудитів на офіційному сайті.

20. Типові помилки новачків (і як їх уникнути)

1. Однаковий майстер-пароль для бази та сайтів. Не можна: базу має захищати щось інше, ніж усе інше. Найкраще — парольна фраза 6+ слів. 2. Зберігання TOTP у тій самій базі, що й паролі. Сенс 2FA зникає. Тримайте окрему TOTP-базу. 3. Забути файл-ключ. Key file без копії = втрачена база. Зробіть другий екземпляр на флешку. 4. Експорт CSV/XML в iCloud. Це відкритий текст. Тільки тимчасово, тільки локально. 5. Скачали збірку зі стороннього сайту. Завжди зберігайте та перевіряйте підписи. 6. Використання Direct write для хмарних папок. Вмикається легко, ломає файл синхронізацією. Дайте перевагу Safe saves. 7. Auto-Type без дозволів Accessibility. На macOS розширення не працюватиме без них. 8. Дяді змінивання KDF на «швидкіше». Час розшифрування < 0.3 с — це запрошення до перебору.

21. Міграція з іншого менеджера: покроково

1. Встановіть KeePassXC (DMG або Homebrew). 2. Створіть базу: KDBX4, Argon2id, ~1 с розшифрування. 3. Задайте головний пароль-фразу (diceware -W 7). 4. Додайте key file і, за бажання, YubiKey. 5. Імпортуйте дані: KeePass — напряму; Bitwarden, 1Password, Proton Pass, CSV — через меню Import. 6. Пройдіться Database Reports: замініть слабкі паролі (починаючи з пошти й банків). 7. Запустіть офлайн-перевірку HIBP. 8. Під’єднайте розширення браузера. 9. Налаштуйте Auto-Type для десктоп-програм. 10. Додайте SSH-ключі в агент. 11. Налаштуйте версіоновану синхронізацію + дві резервні копії. 12. Для телефону — KeePassium або Strongbox, той самий файл через iCloud Drive. 13. Видаліть усі старі експорти (CSV/XML) — це плейнтекст! 14. Опціонально: відокремте TOTP у другу базу.

22. Мобільна екосистема

Офіційних мобільних застосунків у KeePassXC немає — команда чесно визнає це і спрямовує на перевірені порти, сумісні з тим самим форматом:

Платформа	Застосунок	Посилання
iOS / macOS	KeePassium	GPL, аудити, Face ID/Touch ID
iOS / macOS	Strongbox	нативний, YubiKey, SSH-агенти
Android	KeePassDX	Material Design
Android	KeePass2Android	перевірений довгожитель

Синхронізація між Mac і телефоном — це просто один файл: покладіть базу в iCloud Drive, і всі платформи отримають однакові дані.

23. FAQ українською

Скільки коштує KeePassXC? — Нічого. GPL-2/GPL-3, без підписок. Donate — за бажанням.

Чи можна тримати базу в iCloud? — Так. Файл зашифрований; головне — увімкнути Safe saves і версіонування, а ключовий файл тримати окремо.

Що як забув головний пароль? — Базу відновити неможливо. Це усвідомлений вибір розробників. Тому так важливі резервні копії та записана фраза в безпечному місці.

Чи надсилає програма що-небудь до інтернету? — Ні, окрім опціональної перевірки оновлень, яку можна вимкнути (або викреслити під час збірки).

Немає застосунку на iPhone? — Офіційного немає; використовуйте KeePassium або Strongbox.

Шифрування слабше, ніж у платних аналогів? — Ні: Argon2id + AES-256-CBC/ChaCha20 + HMAC повністю відповідають сучасним стандартам; до того ж проєкт має державну сертифікацію ANSSI.

Чи сумісний KeePassXC з KeePass? — Так, обидва напрями: KeePass відкриває файли KeePassXC, і навпаки. Формат — спільний КДБХ.

Passkeys працюють? — Так, з браузерами на базі Chrome/Firefox/Edge. Після оновлення до 2.7.12 можливо перевипустити старі passkeys — див. попередження релізу.

Чи можна використовувати на роботі, з колегами? — Так: загальні бази через спільний носій, KeeShare (застаріле) або файлове сховище зі спільною папкою; для великих команд краще Bitwarden/1Password.

24. Де шукати допомогу

Повний гід: User Guide
Швидкий старт: Getting Started
FAQ: Документація
GitHub Issues: issue tracker
Matrix: #keepassxc:mozilla.org (користувачі), #keepassxc-dev:mozilla.org (розробка) — у браузері Element
IRC: #keepassxc, #keepassxc-dev на Libera.Chat
Mastodon: @keepassxc@fosstodon.org

Повідомляти про вразливості — лише приватно: team@keepassxc.org, приватний Matrix чи GitHub Security Advisory. Публичні канали для цього не призначені.

25. Резюме

KeePassXC — це рідкісний випадок, коли «безкоштовне» та «професійне» збігаються повністю:

файл-сховище із сучасною криптографією (Argon2id, AES-256, ChaCha20, Twofish, HMAC);
формальна сертифікація ANSSI (CSPN) та незалежні аудити;
широка функціональність: браузерна інтеграція, passkeys, TOTP, Auto-Type, SSH Agent, CLI;
жодного акаунта, жодних підписок, жодного зв’язку з вендором;
відкритий код і відкритий формат — ваші паролі належать вам у прямому сенсі.

Для macOS та Mac OS X це один із найкращих варіантів 2026 року: нативна швидкість, Touch ID, Apple Watch, Homebrew, а при потребі — та сама база з телефоном через KeePassium чи Strongbox. Головне — пам’ятати про головний пароль і мати резервну копію. Усе інше KeePassXC зробить за вас.

Посилання

Офіційний сайт: keepassxc.org
Завантаження: keepassxc.org/download
Керівництво користувача: KeePassXC_UserGuide.html
Швидкий старт: KeePassXC_GettingStarted.html
Сторінка аудитів: keepassxc.org/audits
Перевірка підписів: keepassxc.org/verifying-signatures
Команда: keepassxc.org/team
Блог: keepassxc.org/blog
GitHub: github.com/keepassxreboot/keepassxc
Релізи: Releases
CHANGELOG: CHANGELOG.md
Збірка з джерел: INSTALL.md
Політика безпеки: SECURITY.md
Вікі проєкту: Wiki
KeePassXC-Browser у Chrome: Chrome Web Store
KeePassXC-Browser у Firefox: Firefox Add-ons
KeePassXC-Browser у Edge: Edge Add-ons
Homebrew: formulae.brew.sh/cask/keepassxc
MacPorts: ports.macports.org/port/keepassxc
Снапшоти розробки: snapshot.keepassxc.org
KeePass: keepass.info
Специфікація KDBX4: keepass.info/help/kb/kdbx_4.html
Have I Been Pwned: haveibeenpwned.com/Passwords
okon — швидкий HIBP-індекс: github.com/stryku/okon
OpenSSF Best Practices: bestpractices.coreinfrastructure.org
Flathub: flathub.org/apps/org.keepassxc.KeePassXC
1Password: 1password.com
Bitwarden: bitwarden.com
Proton Pass: proton.me/pass
KeePassium: keepassium.com
Strongbox: strongboxsafe.com
KeePassDX: keepassdx.com
KeePass2Android: github.com/PhilippC/keepass2android
EFF: eff.org/dice
Matrix: Element.io
IRC: web.libera.chat
Mastodon: fosstodon.org/@keepassxc

×

← В главную