TL;DR — szybki wybór
Dla większości: Bitwarden Premium (~40 PLN/rok, open-source, polski interface, nieskończone urządzenia) Dla rodzin / zespołów: 1Password Families (~22 PLN/mc, 5 osób, najlepszy UX) Dla użytkowników Proton: Proton Pass (gratis z Proton Mail/VPN/Pass Plus, integracja z aliasami SimpleLogin) Dla puristów: KeePassXC (offline, open-source, sync przez Syncthing/iCloud, zero vendor risk)
Statystyki wycieków danych w Polsce 2025 pokazują nieprzyjemną prawdę: średnia osoba w Polsce ma wyciekłe hasło u 4-7 providerów. To nie hipoteza — to publicznie weryfikowalne na haveibeenpwned.com. Dopóki używasz tego samego hasła w wielu serwisach, wystarczy jedno włamanie (np. Allegro w 2024) i wszystkie twoje konta są kompromitowane. Menedżer haseł rozwiązuje ten problem za maksymalnie 50 PLN rocznie.
1. Dlaczego naprawdę potrzebujesz menedżera haseł
Argument „pamiętam wszystkie hasła w głowie” działa, gdy masz 5 kont. Przeciętny dorosły Polak w 2026 ma 80-150 aktywnych kont (mail, banki, e-commerce, streaming, państwowe portale, social media, aplikacje firmowe). Jest fizycznie niemożliwe pamiętać 150 unikalnych, mocnych haseł.
Argument „używam wzorca: nazwasite + ulubionyrok” to przepis na katastrofę. Algorytmy łamiące hasła (hashcat) potrafią złamać tego typu wzorce w sekundach. Wyciek z OnePass2024 (gdzie Polacy używali wzorca „onepass2024!”) był złamany w 11 sekund.
Argument „przeglądarka zapisuje hasła” jest częściowo prawdziwy. Chrome Password Manager od 2023 jest faktycznie szyfrowany i ma synchronizację. Problem: brakuje zaawansowanych funkcji (organizations, secure notes, audyt zgubionych haseł), brakuje integracji poza ekosystem Google, i — co kluczowe — przeglądarka nie powie ci, że twoje hasło wyciekło 6 miesięcy temu w bazie danych jakiegoś serwisu.
Menedżer haseł to nie luksus. To podstawowa higiena cyfrowa, jak antywirus w 2010. Koszt: 0-50 PLN/rok. Zwrot: jedno uniknięte przejęcie konta = 1000-50 000 PLN ratowania, według badań CERT Polska.
2. Pięć kryteriów wyboru
Open-source vs Closed-source. Open-source pozwala niezależnym badaczom audytować kod. Bitwarden, KeePassXC są open-source z regularnymi audytami. 1Password jest closed-source, ale ma historię responsibility disclosure i 10+ letnią reputację. Proton Pass jest częściowo open-source (klient open, server zamknięty).
Self-hosted vs Cloud. Cloud (Bitwarden, 1Password, Proton Pass) — synchronizacja działa automatycznie, dostęp z dowolnego urządzenia, ale provider może zostać zaatakowany (case LastPass). Self-hosted (Bitwarden Vaultwarden, KeePassXC + Syncthing) — pełna kontrola, ale ty jesteś odpowiedzialny za backup, dostępność, security. Dla 95% użytkowników cloud jest lepszy.
Zero-knowledge encryption. To termin marketingowy oznaczający, że provider nie zna twojego master password (ani nie może go odzyskać). Wszystkie dobre menedżery to mają. Test: jeśli zapomnisz hasła i nie ma „account recovery” przez „mamy twój hash”, to zero-knowledge działa.
FIDO2 / passkeys. W 2026 menedżer hasel powinien wspierać passkeys jako kategorię equal do haseł. Bitwarden, 1Password, Proton Pass i Apple iCloud to potrafią. KeePassXC dopiero pracuje nad implementacją.
Migracja. Jeśli pierwszy raz wybierasz menedżera, pomyśl gdzie są twoje hasła teraz (Chrome? Safari? Notatki?) — czy menedżer ma import z tego źródła. Bitwarden importuje z 50+ formatów; 1Password z 30+; Proton Pass jest młodszy i ma mniej importerów.
3. Top 4 menedżery haseł — ranking 2026
3.1 Bitwarden — open-source z najlepszym ROI
Bitwarden jest domyślną rekomendacją redakcji od 2024 roku — i pozostaje w 2026. Open-source, audytowany przez Cure53, polski interface, nieskończone urządzenia w darmowym planie, premium za 10 USD rocznie (~40 PLN).
Mocne strony: kod aplikacji + serwera dostępny na GitHub, audyt bezpieczeństwa publikowany corocznie, polski interface bez literówek (rzadkość), darmowy plan obsługuje 95% domowych użytkowników, premium dodaje 2FA via TOTP, security report (haveibeenpwned integration), priority support, file attachments. Można też self-hostować Vaultwarden (lekki fork, działa na 1GB RAM) jeśli nie ufasz cloudowi.
Słabe strony: UI jest funkcjonalne, nie piękne — interfejs aplikacji czasem wygląda jak z 2018. Family plan (6 użytkowników) jest droższy proporcjonalnie niż 1Password Families. Watchtower (skanowanie wycieków, słabych haseł, ponownie używanych) jest mniej dopracowany niż w 1Password.
Cena: Free (nieskończone urządzenia), Premium 10 USD/rok, Families 40 USD/rok dla 6 osób.
3.2 1Password — premium UX
1Password to wybór, gdy zależy ci na najlepszym doświadczeniu i nie liczysz każdego zł. Aplikacje desktopowe i mobilne są świetnie zaprojektowane, Watchtower (skanowanie wycieków) jest na innym poziomie niż konkurencja, Travel Mode (czasowe ukrycie wybranych vaultów przy przechodzeniu granic) to unikalna funkcja przydatna dziennikarzom.
Mocne strony: najlepszy UX w klasie, Watchtower z automatycznym scoringiem haseł, Secret Key (dodatkowy 32-znakowy ciąg poza master password — bardzo trudny do brute-force), Travel Mode, dobra dokumentacja, polski interface, integracja z YubiKey jako 2FA.
Słabe strony: closed-source, droższy (~22 PLN/mc dla rodziny vs 40 PLN/rok Bitwarden Premium), wymaga utrzymania konta przez Apple/Google ID lub email — brak opcji „account number” jak Mullvad.
Cena: Individual 4 USD/mc, Families 6 USD/mc (5 osób).
3.3 Proton Pass — bezpłatny z Proton Plus
Proton Pass to nowy gracz (od 2023), ale w 2026 jest już dojrzałym produktem. Główna zaleta: jest w cenie planu Proton Mail/VPN/Drive Plus (~25 PLN/mc za wszystko). Jeśli już płacisz za Proton — Pass jest „za darmo”.
Mocne strony: integracja z SimpleLogin (aliasy email tworzysz bezpośrednio w aplikacji), Hide-my-email integracja z Proton Mail, Sentinel (zaawansowana ochrona konta), audyt SEC Consult, polski interface, jurysdykcja Szwajcaria.
Słabe strony: młodszy produkt — niektóre features konkurencji (jak Travel Mode) jeszcze nie ma. Mniej importerów niż Bitwarden. Standalone Pass plan jest mniej atrakcyjny cenowo niż Bitwarden — sens ma tylko jako część Proton Plus pakietu.
Cena: Free (unlimited loginów, notatek i kart kredytowych + do 10 aliasów hide-my-email; brak współdzielonych vault’ów), Pass Plus ~5 USD/mc, Proton Unlimited ~13 USD/mc (wszystko Proton).
3.4 KeePassXC — pełny self-hosting
KeePassXC to wybór dla power-users, którzy nie chcą żadnego cloudu. Database file (.kdbx) trzymasz lokalnie, sync robisz przez Syncthing (peer-to-peer, end-to-end encrypted), Nextcloud, lub po prostu przenosisz na pendrive.
Mocne strony: całkowicie offline (jeśli chcesz), open-source, audytowany przez BSI (niemiecki odpowiednik UODO ds. cybersecurity), brak vendor lock-in, brak rocznych opłat, ekstremalna kontrola.
Słabe strony: UX z 2010 roku, brak first-party aplikacji mobilnych (są forki KeePassDX dla Androida, Strongbox dla iOS — płatne). Sync nie jest „magiczny” — musisz go skonfigurować. Brak passkeys (jeszcze).
Cena: Darmowy. KeePassDX/Strongbox dla telefonu — opcjonalnie ~30 PLN one-time.
4. Tabela porównawcza
| Cecha | Bitwarden | 1Password | Proton Pass | KeePassXC |
|---|---|---|---|---|
| Open-source | Tak (klient + serwer) | Nie | Częściowo | Tak |
| Audyty | Cure53 (rocznie) | Bishop Fox | SEC Consult | BSI |
| Cena 1 osoba | 0-40 PLN/rok | 200 PLN/rok | W Proton Plus | 0 |
| Cena rodzina | 200 PLN/rok | 350 PLN/rok | W Proton Family | 0 |
| Polski interface | Tak | Tak | Tak | Tak |
| Passkeys | Tak | Tak | Tak | W trakcie |
| Watchtower / breach scan | Premium | Tak | Tak | Nie |
| Family sharing | Plan Families | Tak (5 osób) | Plan Family | Manual sharing |
| Self-host option | Tak (Vaultwarden) | Nie | Nie | Tak (lokalny) |
| 2FA na konto | TOTP, FIDO2 | TOTP, FIDO2, Secret Key | TOTP, FIDO2 | Plik-klucz |
5. Migracja — krok po kroku z Chrome do Bitwarden
- Eksport z Chrome: Settings → Autofill → Password Manager → trzy kropki → Export passwords → wpisz hasło systemu → zapisz CSV w bezpiecznym miejscu (np. zaszyfrowany dysk).
- Załóż konto Bitwarden: bitwarden.com → Create account → użyj silnego master password (minimum 14 znaków, lepiej passphrase typu „Czerwony.Cisek.Spada.Wczoraj.42”). NIE używaj tego samego hasła co gdziekolwiek indziej.
- Włącz 2FA na koncie Bitwarden: Settings → Two-step Login → włącz Authenticator (TOTP) lub FIDO2 (YubiKey). To krytyczne — master password + 2FA daje pełne bezpieczeństwo.
- Import: Tools → Import data → format „Chrome (csv)” → upload pliku. Bitwarden zaimportuje wszystko w 30 sekund.
- Weryfikacja: zrób próbkę 5-10 losowych wpisów — zaloguj się na każdą stronę, sprawdź czy autofill działa. Czasem URL pasują niedokładnie (np. accounts.google.com vs google.com).
- Wyłącz autozapis Chrome: Settings → Autofill → Password Manager → wyłącz „Offer to save passwords”. Inaczej Chrome i Bitwarden będą się dublować.
- Skasuj plik CSV: użyj
srm(macOS/Linux) lub Sysinternals SDelete (Windows) do bezpiecznego skasowania. CSV zawiera wszystkie twoje hasła w plain text! - Audyt haseł: Bitwarden Premium → Reports → Exposed Passwords + Reused Passwords + Weak Passwords. Idź przez listę, zmień najgorsze 20.
6. Passkeys — kiedy przejść z hasła
Passkeys to FIDO2 challenge-response: zamiast wysyłać hasło do serwera, urządzenie podpisuje kryptograficznie wyzwanie. Korzyści: nie da się phishingować (passkey nie wyjdzie poza urządzenie), nie da się wykraść z bazy danych serwera (serwer ma tylko klucz publiczny), nie wymaga zapamiętywania.
Włącz passkeys gdziekolwiek serwis je obsługuje:
- Google (od 2023): myaccount.google.com/security → Passkeys
- Apple ID (od 2022): natywne na iOS/macOS
- Microsoft (od 2024): account.microsoft.com → Security
- GitHub, GitLab (od 2023)
- PKO BP — wspiera klucze YubiKey do logowania w bankowości online (FIDO2)
- ING Bank Śląski — FIDO2/U2F (klucz sprzętowy U2F) w „Mój ING” (pierwsza rejestracja w oddziale, kolejne klucze samodzielnie w panelu)
- mBank — wyłącznie autoryzacja mobilna PSD2 SCA w aplikacji mBank (to nie jest passkey/FIDO2); klucze U2F mBank zapowiada jako niepriorytetowe na 2026
- WhatsApp, Signal, Telegram (od 2024)
Gdzie używać passkey jako głównej metody, a hasło jako backup. Menedżer haseł nadal potrzebny — bo passkeys są na razie w 50% serwisów, hasła w 100%.
7. Drzewo decyzyjne
- Pierwszy raz wybieram menedżera → Bitwarden Free → po miesiącu jeśli OK, Bitwarden Premium za 40 PLN
- Mam rodzinę 4-5 osób → 1Password Families (najlepszy sharing UX)
- Już płacę za Proton VPN/Mail → Proton Pass (w pakiecie)
- Nie ufam żadnemu cloudowi → KeePassXC + Syncthing
- Pracuję jako konsultant z wieloma klientami → 1Password Teams (vault per klient)
- Szukam najtańszej opcji → Bitwarden Free wystarczy 95% domowych przypadków
Polecane narzędzia
- NordPass — Bezpieczny menedżer haseł od twórców NordVPN. Szyfrowanie XChaCha20, auto-uzupełnianie i audyt wycieków.
Powyższe linki to linki afiliacyjne — kliknięcie nie zwiększa ceny, a redakcja otrzymuje niewielką prowizję, która finansuje niezależne testy. Polityka afiliacji.
// Komentarze ...
Dodaj komentarz