KeePass 2026: recenzja darmowego menedżera haseł offline

Czym jest KeePass

KeePass to darmowy, open-source'owy menedżer haseł działający w modelu całkowicie offline - w odróżnieniu od Bitwarden, 1Password czy NordPass, nie ma tu żadnej chmury producenta, do której trafiają zaszyfrowane dane. Cała baza haseł to pojedynczy plik w formacie .kdbx, który przechowujesz tam, gdzie sam zdecydujesz - na dysku, na pendrivie albo w dowolnej usłudze synchronizacji plików, którą wybierzesz samodzielnie.

Projekt istnieje w dwóch liniach rozwojowych. KeePass 1.x to starsza gałąź, działająca tylko na Windows, korzystająca z formatu .kdb i utrzymywana już wyłącznie w trybie maintenance. KeePass 2.x to aktywnie rozwijana wersja napisana w .NET, natywna na Windows i uruchamiana na Linuksie oraz macOS przez warstwę kompatybilności Mono, korzystająca z nowszego, otwarcie udokumentowanego formatu KDBX 4. To właśnie wersja 2.x jest tą, o której mówi się dziś w kontekście KeePass, i to na niej skupia się ta recenzja.

Architektura bezpieczeństwa

Dostęp do bazy KeePass chroni Hasło Główne, które opcjonalnie można wzmocnić dodatkowym plikiem klucza (key file) albo powiązaniem z kontem użytkownika Windows - w praktyce oznacza to, że nawet przy przechwyceniu samego pliku .kdbx atakujący wciąż potrzebuje dodatkowego elementu, jeśli został skonfigurowany. Do wyprowadzenia klucza szyfrującego z Hasła Głównego KeePass może użyć starszej funkcji AES-KDF albo, w nowszym formacie KDBX 4, algorytmu Argon2d - funkcji memory-hard, zaprojektowanej tak, by znacznie utrudnić łamanie haseł metodą brute force przy użyciu układów GPU czy ASIC.

Same dane w bazie szyfrowane są algorytmem AES-256, ChaCha20 (w KDBX 4) lub Twofish, w zależności od konfiguracji, a integralność zaszyfrowanych rekordów zabezpiecza HMAC-SHA-256 w modelu encrypt-then-MAC. KeePass stara się też chronić odszyfrowane dane w pamięci operacyjnej, choć - jak pokazują opisane niżej CVE - ta ochrona nie jest absolutna.

Audyty: EU-FOSSA, BSI CAOS 3.0, ANSSI CSPN

KeePass i KeePassXC przeszły łącznie co najmniej trzy niezależne audyty bezpieczeństwa finansowane przez instytucje publiczne, a nie przez samego producenta.

Audyt CAOS 3.0 dotyczył KeePass w wersji 2.57.1 i wykazał jedynie dwa drobne problemy oraz sugestie usprawnień w kodzie, bez żadnej podatności klasyfikowanej jako średnia, wysoka czy krytyczna. Raport ANSSI CSPN, opublikowany pod koniec października 2025 roku i przeprowadzony przez firmę Synacktiv, obejmował wersję 2.7.9 KeePassXC i również nie znalazł luk niezgodnych z założonym celem bezpieczeństwa - jedyna wzmianka dotyczyła podatności w zewnętrznej bibliotece minizip, ocenionej jako niskiego ryzyka.

Znane CVE - uczciwe zestawienie

KeePass vs KeePassXC vs apki mobilne

Nazwa "KeePass" w praktyce oznacza dziś cały ekosystem powiązanych, ale niezależnych aplikacji - i to rozróżnienie jest kluczowe, bo tylko część z nich jest oficjalna.

W praktyce oznacza to, że jeśli korzystasz z Linuksa, macOS albo telefonu, Twoim głównym narzędziem będzie aplikacja, której KeePass oficjalnie nie tworzy ani nie utrzymuje. KeePassXC stał się nieformalnym standardem poza Windows - ma natywną integrację przeglądarkową, agenta SSH i generator TOTP bez konieczności instalowania dodatkowych pluginów, i to właśnie on przeszedł audyt ANSSI CSPN. Na Androidzie najczęściej poleca się open-source'ową KeePassDX, a na iOS i macOS płatną, choć freemium, aplikację Strongbox. Żadna z tych aplikacji nie jest oficjalnie wspierana przez twórcę KeePass, co oznacza samodzielną ocenę zaufania do każdego z tych projektów z osobna.

Funkcje KeePass

Auto-Type

Auto-Type to rozbudowany mechanizm automatycznego wypełniania formularzy logowania - w odróżnieniu od prostego autofill w przeglądarkowych menedżerach haseł, pozwala definiować niestandardowe sekwencje klawiszy dla konkretnych okien i stron, co przydaje się przy nietypowych formularzach logowania, na przykład w starszych aplikacjach desktopowych.

Pluginy

KeePass 2.x ma rozbudowany framework pluginowy oparty na .NET, z oficjalną listą liczącą ponad 100 rozszerzeń. Wśród najważniejszych są KeeAnywhere, dodający dostęp do chmur takich jak Dropbox, Google Drive czy OneDrive, KeePassHTTP oraz KeePassXC-Browser, integrujące bazę z przeglądarką, KeeOtp2, dający graficzny interfejs dla kodów TOTP (wbudowanych natywnie od wersji 2.57), KeePassSync do synchronizacji przez FTP, SFTP lub S3, oraz KeePassPasskey, dodający obsługę passkeys jako natywnego dostawcy na Windows 11. Ta rozszerzalność to jedna z największych przewag KeePass nad zamkniętymi menedżerami haseł, ale wymaga też samodzielnego wyboru i zaufania do konkretnych pluginów.

Plik klucza i tryb portable

Poza samym Hasłem Głównym KeePass pozwala zabezpieczyć bazę dodatkowym plikiem klucza - bez niego nawet znajomość hasła nie wystarczy do otwarcia bazy. KeePass 2.x działa też w wersji portable, czyli bez instalacji, co pozwala uruchomić program bezpośrednio z pendrive'a na dowolnym komputerze z Windows.

Specyfikacja w skrócie

KeePass vs Bitwarden

Bitwarden i KeePass to dwa najbardziej rozpoznawalne darmowe menedżery haseł z otwartym kodem źródłowym, ale reprezentują zupełnie inną filozofię - chmura kontra pełna kontrola lokalna. Oto jak wypadają obok siebie.

Bitwarden wygrywa, gdy liczy się wygoda - automatyczna synchronizacja między urządzeniami, oficjalne aplikacje mobilne na każdą platformę, pełne wsparcie passkeys, dostęp awaryjny dla bliskich i monitoring wycieków bez dodatkowej konfiguracji. To naturalny wybór dla osób, które chcą, żeby menedżer haseł po prostu działał, bez konfigurowania pluginów czy ręcznej synchronizacji.

KeePass wygrywa, gdy priorytetem jest pełna kontrola nad danymi i zerowe zaufanie do jakiejkolwiek chmury firmy trzeciej - dane fizycznie nie opuszczają Twojego sprzętu, jeśli sam tego nie zrobisz. Sprawdzi się też tam, gdzie liczy się przenośność z pendrive'a, praca w środowiskach odciętych od sieci (air-gapped), niestandardowe skrypty Auto-Type albo po prostu chęć uniknięcia jakiejkolwiek subskrypcji - kosztem tego, że całą konfigurację, synchronizację i wybór aplikacji mobilnej trzeba wziąć na siebie.

Wady i ograniczenia

KeePass ma realne wady, o których laik powinien wiedzieć, zanim zdecyduje się na to rozwiązanie zamiast prostszego menedżera chmurowego.

• Interfejs w stylu wczesnych lat 2000 - okienkowy, mało intuicyjny wygląd, szczególnie widoczny w wersji uruchamianej przez Mono na Linuksie i macOS
• Brak oficjalnych aplikacji mobilnych - na Androidzie i iOS trzeba zaufać niezależnym projektom takim jak KeePassDX czy Strongbox, nietworzonym ani niewspieranym przez KeePass
• Ręczna synchronizacja - baza .kdbx nie synchronizuje się sama; trzeba ją samodzielnie umieścić w Dropboxie, OneDrive, Syncthing albo skonfigurować plugin
• Wysoki próg wejścia dla osoby nietechnicznej - konfiguracja bazy, ewentualnego pliku klucza, wyboru klienta na każdą platformę i pluginów wymaga czasu i pewnej wiedzy
• Brak wbudowanego monitoringu ciemnej sieci - sprawdzanie wycieków w Have I Been Pwned wymaga instalacji osobnego pluginu, nie działa od razu po instalacji
• Brak wbudowanego autofill w przeglądarce - wymaga zainstalowania KeePassXC-Browser lub KeePassHTTP jako osobnego kroku
• Brak dostępu awaryjnego (Emergency Access) - nie ma wbudowanego mechanizmu przekazania dostępu do bazy bliskiej osobie na wypadek niedyspozycji
• Ograniczone wsparcie passkeys - działa tylko przez dodatkowe pluginy, bez natywnej integracji na poziomie systemu operacyjnego na większości platform
• Brak formalnego wsparcia klienta - jedynym źródłem pomocy jest społeczność, fora i zgłoszenia na GitHubie, bez wsparcia mailowego czy czatu

Dla kogo jest KeePass

KeePass ma sens jeśli:

• Zależy Ci na pełnej kontroli nad danymi i nie chcesz ufać żadnej chmurze firmy trzeciej
• Pracujesz w środowisku z podwyższonymi wymaganiami co do przechowywania danych, na przykład instytucjonalnym lub odciętym od sieci
• Nie chcesz płacić za żadną subskrypcję, nawet symboliczną
• Potrzebujesz przenośnego rozwiązania działającego z pendrive'a bez instalacji
• Jesteś osobą techniczną, która nie boi się samodzielnie skonfigurować synchronizacji i pluginów
• Chcesz niestandardowych skryptów Auto-Type do nietypowych formularzy logowania

Rozważ inny produkt jeśli:

• Chcesz menedżera haseł, który po prostu działa od razu, bez konfiguracji synchronizacji i pluginów
• Potrzebujesz oficjalnej, wspieranej przez producenta aplikacji mobilnej
• Zależy Ci na automatycznej synchronizacji między wieloma urządzeniami bez dodatkowych ustawień
• Chcesz mieć wbudowany dostęp awaryjny i monitoring wycieków bez instalowania pluginów
• Nie masz czasu ani ochoty na samodzielną konfigurację techniczną

Werdykt

KeePass zasługuje na solidną ocenę 4.0 na 5 - to jeden z niewielu menedżerów haseł, które przeszły audyt finansowany przez instytucję publiczną nie raz, a trzykrotnie, i przez cały czas pozostają całkowicie darmowe. Cena za tę kontrolę to jednak realna niewygoda - brak oficjalnych aplikacji mobilnych, ręczna synchronizacja i interfejs, który nie zmienił się fundamentalnie od lat. Dla osoby technicznej, gotowej samodzielnie skonfigurować synchronizację i wybrać zaufane aplikacje na każdą platformę, KeePass pozostaje jednym z najbardziej wiarygodnych rozwiązań na rynku. Dla laika szukającego wygody, lepszym punktem startu będzie menedżer chmurowy taki jak Bitwarden.

Alternatywy do rozważenia

Najczęstsze pytania