KeePassXC — честно свободная программа, божественная находка

Категория: Безопасность · Лицензия: GPL · Платформа: Windows / macOS / Linux (зависит от программы)

KeePassXC — то, что должен был стать KeePass на не-Windows

Это форк KeePassX, который сам форк KeePass. Запутанная генеалогия, простой результат: нативный Qt-клиент, который читает и пишет тот же .kdbx, работает одинаково хорошо на Windows, macOS и Linux, и не тащит за собой Mono.

Чем отличается от родителя

• Нативный UI на Qt вместо WinForms+Mono. Просто красивее, шрифты ровные, темы тёмные нормальные.
• Auto-Type работает на всех платформах (в оригинале — только Windows надёжно).
• Browser integration через расширение KeePassXC-Browser (Chrome/Firefox/Edge/Brave) — соединение по нативному messaging-протоколу, без сетевого RPC.
• SSH agent встроен — не нужен плагин KeeAgent.
• TOTP встроен — генератор одноразовых кодов прямо в карточке записи.
• YubiKey/OnlyKey/Nitrokey как challenge-response второй фактор для базы.
• Pwned Passwords offline — проверка по локальной выгрузке HIBP.
• CLI (keepassxc-cli) — скриптовый доступ к базе для автоматизации.

Что не унаследовано

Плагины оригинального KeePass 2 — НЕ работают. KeePassXC принципиально решил не делать систему плагинов, чтобы исключить класс уязвимостей через сторонний код в адресном пространстве менеджера паролей. Всё нужное — встроено.

Формат базы

KDBX4 по умолчанию (Argon2id KDF, ChaCha20). Может читать и писать KDBX3 для совместимости с легаси-клиентами. Базы открываются параллельно — несколько окон, несколько баз.

Безопасность

• Очистка clipboard через настраиваемый таймаут (по умолчанию 10 секунд).
• Лок базы по бездействию.
• Лок при минимизации, при смене сессии (suspend, lock-screen).
• Screen-capture protection на Windows (DWM excludes окно из скриншотов).
• Защита поля пароля от копирования в clipboard история Windows.

Установка

• Windows: MSI или portable zip с keepassxc.org. Проверяй SHA-256 и подпись.
• macOS: DMG, нативная сборка для Apple Silicon и Intel.
• Linux: в репозиториях большинства дистров, AppImage с сайта, Flatpak. У Flatpak есть нюанс — для browser integration нужно дополнительно поставить host wrapper.
• Android: KeePassXC сама не делает мобильник, бери KeePassDX из F-Droid или Google Play. Тот же .kdbx, тот же база — синкается через любое облако.
• iOS: Strongbox или KeePassium.

Синхронизация

KeePassXC не делает синк. Это намеренно. Ты сам выбираешь, как синкать .kdbx-файл:

• Syncthing — peer-to-peer, без облака вообще.
• Nextcloud / ownCloud — селф-хост.
• Dropbox / Google Drive / OneDrive — облако, но файл уже зашифрован клиентом.
• USB-флешка вручную — для параноиков.

Если ты выбираешь между Bitwarden и KeePassXC

Bitwarden — облачный (с возможностью селф-хоста через Vaultwarden), удобный, мобильные клиенты приятные, есть бесплатный шеринг. KeePassXC — полностью офлайн, файл-ориентированный, ты сам контролируешь всё.

Возьми KeePassXC с keepassxc.org/download и заведи нормальный мастер-пароль из 5-6 случайных слов через diceware. И ключ-файл сверху, если параноишь.