Hasła w przeglądarce czy menedżer haseł? Różnice i bezpieczna migracja

Zapisywanie haseł w Chrome, Edge, Firefoxie lub Safari nie jest z definicji złym rozwiązaniem. Przeglądarka również może pełnić funkcję menedżera haseł: generować unikalne kombinacje, synchronizować je między urządzeniami, ostrzegać o wyciekach i automatycznie uzupełniać formularze logowania.

Osobny menedżer haseł nie zawsze jest więc konieczny. Zazwyczaj staje się wygodniejszy, gdy korzystasz z kilku przeglądarek i systemów, logujesz się również w aplikacjach, udostępniasz wybrane dane rodzinie albo chcesz uniezależnić swój sejf od jednego ekosystemu.

Najważniejsza różnica nie sprowadza się do stwierdzenia, że jedno rozwiązanie jest bezpieczne, a drugie nie. Liczy się przede wszystkim to, czy każde konto ma inne hasło, czy dostęp do sejfu został dodatkowo zabezpieczony oraz czy migracja nie pozostawiła na komputerze niezabezpieczonego pliku ze wszystkimi danymi logowania.

Menedżer przeglądarki także jest menedżerem haseł

Określenie „hasła zapisane w przeglądarce” może kojarzyć się z prostą listą danych przechowywaną na komputerze. Współczesne rozwiązania są bardziej rozbudowane. Google Password Manager, mechanizmy dostępne w Edge i Firefoxie oraz aplikacja Hasła w ekosystemie Apple mogą między innymi:

• zapisywać loginy i hasła,
• generować losowe hasła,
• synchronizować dane między urządzeniami,
• automatycznie uzupełniać formularze,
• informować o słabych lub ujawnionych hasłach,
• chronić dostęp za pomocą zabezpieczeń konta i urządzenia,
• obsługiwać przynajmniej część kluczy dostępu, czyli passkeys.

To pełnoprawne narzędzia do zarządzania danymi logowania. Ich głównym ograniczeniem jest silne powiązanie z konkretną przeglądarką, kontem lub systemem.

Jeśli chcesz najpierw poznać zasadę działania cyfrowego sejfu, hasła głównego i automatycznego uzupełniania, przeczytaj również poradnik Menedżer haseł – jak działa, czy jest bezpieczny i jak zacząć go używać?.

Hasła w przeglądarce a osobny menedżer – najważniejsze różnice

Nie wszystkie aplikacje oferują te same możliwości. Przed wyborem trzeba sprawdzić konkretną usługę, a nie kierować się wyłącznie kategorią produktu.

Czy przechowywanie haseł w przeglądarce jest bezpieczne?

Może być bezpieczne, jeżeli przeglądarka i urządzenie są właściwie zabezpieczone. Hasła nie powinny leżeć na dysku jako zwykły, czytelny dokument. Dostęp do nich jest powiązany z mechanizmami przeglądarki, konta użytkownika oraz systemu operacyjnego.

Nie oznacza to jednak, że zapisane dane są odporne na każde zagrożenie. Problem może pojawić się, gdy:

• ktoś uzyska dostęp do odblokowanego komputera,
• kilka osób korzysta z tego samego profilu systemowego lub przeglądarki,
• konto synchronizujące hasła zostanie przejęte,
• urządzenie jest zainfekowane,
• użytkownik zainstaluje fałszywe rozszerzenie,
• przeglądarka i system nie otrzymują aktualizacji,
• hasła zostaną wyeksportowane do niezabezpieczonego pliku,
• komputer nie ma blokady ekranu, kodu PIN ani szyfrowania dysku.

Na współdzielonym komputerze każda osoba powinna mieć osobne konto systemowe. Sam oddzielny profil Chrome lub Edge nie zawsze zapewnia taką izolację jak oddzielne konto użytkownika w Windowsie lub macOS.

Warto też włączyć dodatkowe zabezpieczenie konta, z którym synchronizują się hasła. Może to być uwierzytelnianie wieloskładnikowe, klucz bezpieczeństwa albo klucz dostępu. Zabezpieczenie samego konta jest równie ważne jak ochrona komputera.

Kiedy menedżer w przeglądarce wystarczy?

Wbudowane rozwiązanie zwykle będzie wystarczające, jeśli:

• korzystasz głównie z jednej przeglądarki,
• wszystkie urządzenia należą do jednego ekosystemu,
• nie musisz udostępniać haseł innym osobom,
• nie przechowujesz służbowych i prywatnych danych w oddzielnych sejfach,
• zależy ci na możliwie prostej obsłudze,
• konto synchronizujące dane ma włączone dodatkowe uwierzytelnienie,
• komputer i telefon nie są współdzielone z innymi osobami.

Dla użytkownika telefonu z Androidem i komputera z Chrome wygodny może być Google Password Manager. Osoba używająca przede wszystkim urządzeń Apple może pozostać przy aplikacji Hasła i pęku kluczy iCloud. Podobnie użytkownik Edge może korzystać z rozwiązania zintegrowanego z kontem Microsoft.

Najważniejsze, aby wygoda rzeczywiście prowadziła do tworzenia innego hasła dla każdego konta. Prosty, regularnie używany menedżer jest lepszy niż rozbudowana aplikacja, którą użytkownik omija.

Kiedy warto wybrać osobny menedżer haseł?

Niezależna aplikacja jest szczególnie przydatna, gdy:

• używasz jednocześnie Windowsa, macOS, Androida i iOS,
• pracujesz w kilku przeglądarkach,
• często zmieniasz urządzenia,
• potrzebujesz automatycznego uzupełniania również w innych programach,
• bezpiecznie udostępniasz wybrane dane rodzinie lub współpracownikom,
• chcesz oddzielić sejf prywatny od służbowego,
• potrzebujesz dostępu awaryjnego dla zaufanej osoby,
• przechowujesz notatki, klucze licencyjne lub inne poufne informacje,
• nie chcesz uzależniać danych logowania od jednego producenta.

Osobna aplikacja nie jest jednak automatycznie bezpieczniejsza. Słabe hasło główne, brak dodatkowego uwierzytelnienia i pozostawianie sejfu bez blokady mogą zniwelować korzyści płynące z zaawansowanego programu.

Pytania, które pomagają wybrać właściwe rozwiązanie

Przed przeniesieniem kilkudziesięciu lub kilkuset kont warto odpowiedzieć na konkretne pytania:

• Czy używam więcej niż jednej przeglądarki?
• Czy loguję się również w aplikacjach, a nie tylko na stronach internetowych?
• Czy moje urządzenia działają w jednym, czy w kilku ekosystemach?
• Czy muszę udostępniać hasła rodzinie albo współpracownikom?
• Co stanie się z sejfem po utracie głównego telefonu lub komputera?
• Czy odzyskam dostęp bez możliwości zalogowania się do poczty?
• Gdzie będą przechowywane kody odzyskiwania?
• Czy program obsługuje używane przeze mnie klucze dostępu?
• Czy można wyeksportować dane i zmienić dostawcę?
• Czy sejf automatycznie blokuje się po uśpieniu urządzenia?
• Czy z tego samego profilu komputera korzysta jeszcze ktoś?
• Czy rozwiązanie pozwala rozdzielić hasła prywatne i służbowe?

Odpowiedzi są ważniejsze niż liczba funkcji umieszczona w reklamie. Program powinien pasować do rzeczywistego sposobu korzystania z urządzeń.

Jak bezpiecznie przenieść hasła z przeglądarki?

Migracja najczęściej polega na eksporcie danych z dotychczasowego rozwiązania i zaimportowaniu ich do nowego sejfu. Najbardziej niebezpiecznym elementem tego procesu jest plik pośredni.

Wiele przeglądarek eksportuje dane do formatu CSV. Taki plik można otworzyć w zwykłym edytorze lub arkuszu, a zawarte w nim hasła mogą być widoczne bez podawania dodatkowego klucza. Nie jest to zaszyfrowana kopia zapasowa.

1. Zabezpiecz nowy sejf przed importem

Najpierw utwórz długie i unikalne hasło główne. Nie może to być kombinacja używana wcześniej w poczcie, sklepie, serwisie społecznościowym ani żadnym innym miejscu.

Następnie:

• włącz dodatkowe uwierzytelnianie,
• przygotuj kody odzyskiwania,
• zapisz je poza samym sejfem,
• skonfiguruj automatyczną blokadę,
• zainstaluj aplikację i rozszerzenie wyłącznie z oficjalnego źródła,
• sprawdź, jak działa odzyskiwanie dostępu po utracie telefonu.

Nie importuj wszystkich haseł do konta, którego zabezpieczenia nie zostały jeszcze skonfigurowane.

2. Najpierw poszukaj bezpośredniego importu

Niektóre programy potrafią odczytać dane bezpośrednio z obsługiwanej przeglądarki lub innego menedżera. Jeżeli oficjalna instrukcja wybranego narzędzia oferuje taki mechanizm, można uniknąć ręcznego tworzenia CSV.

Sprawdź jednak dokładnie nazwę programu i producenta. Nie korzystaj ze stron obiecujących „konwersję pliku z hasłami online”. Wysłanie takiego pliku do przypadkowego serwisu oznacza przekazanie mu danych do wszystkich zapisanych kont.

3. Jeśli potrzebny jest CSV, ogranicz czas jego istnienia

Eksport wykonaj na zaufanym, aktualnym i prywatnym komputerze. Przed rozpoczęciem zamknij programy do zdalnego dostępu, nagrywania oraz udostępniania ekranu.

Pliku nie zapisuj:

• na pulpicie synchronizowanym z chmurą,
• w OneDrive, Dysku Google lub Dropboxie,
• w folderze współdzielonym,
• na służbowym serwerze,
• na wspólnym pendrivie,
• w załączniku wiadomości e-mail,
• w komunikatorze.

Najlepiej zapisać go lokalnie, natychmiast przeprowadzić import i nie otwierać bez potrzeby w arkuszu kalkulacyjnym. Otwarcie może doprowadzić do powstania dodatkowych kopii tymczasowych albo zapisania pliku w historii ostatnich dokumentów.

4. Sprawdź, czy import się udał

Nie usuwaj danych źródłowych natychmiast po pojawieniu się komunikatu o zakończeniu importu. Najpierw sprawdź:

• czy liczba wpisów jest zbliżona do liczby w starym sejfie,
• czy zaimportowały się nazwy użytkowników i adresy stron,
• czy działają logowania do kilku różnych usług,
• czy nie powstały duplikaty,
• czy notatki przypisane do kont zostały zachowane,
• czy nie pominięto wpisów o nietypowej strukturze,
• czy nowe hasła zapisują się już w docelowym programie.

Przetestuj pocztę, konto głównego ekosystemu, sklep oraz mniej ważny serwis. Nie zaczynaj od wykonywania ryzykownych zmian w bankowości.

5. Osobno sprawdź passkeys i kody 2FA

Standardowy plik CSV zazwyczaj zawiera adres strony, nazwę użytkownika i hasło. Może nie obejmować:

• kluczy dostępu,
• kodów jednorazowych generowanych przez menedżer,
• plików i załączników,
• bezpiecznych notatek,
• historii wcześniejszych haseł,
• ustawień udostępniania,
• kodów odzyskiwania.

Część dostawców wprowadza własne mechanizmy przenoszenia passkeys, ale nie należy zakładać, że zwykły import CSV zrobi to automatycznie. Przed usunięciem starego sejfu sprawdź najważniejsze konta i w razie potrzeby zarejestruj w nich nowy klucz dostępu.

6. Usuń plik eksportu

Po sprawdzeniu importu:

1. usuń plik CSV z miejsca, w którym został zapisany,
2. opróżnij kosz,
3. sprawdź folder Pobrane,
4. sprawdź historię ostatnich dokumentów,
5. upewnij się, że plik nie został zsynchronizowany z chmurą,
6. jeżeli trafił do chmury, usuń go również z internetowego kosza,
7. odłącz i sprawdź nośnik zewnętrzny, jeśli został użyty.

Nie pozostawiaj pliku „na wszelki wypadek”. CSV nie jest właściwą kopią zapasową menedżera haseł, ponieważ każdy, kto go znajdzie, może uzyskać dostęp do całego zestawu danych.

Czy po migracji trzeba zmienić wszystkie hasła?

Sam import nie zmienia haseł. Jeżeli dotychczasowe kombinacje były długie, unikalne i nie pojawiły się w znanych wyciekach, nie trzeba zmieniać ich wyłącznie dlatego, że zostały przeniesione.

Zmiany wymagają natomiast hasła:

• używane w kilku serwisach,
• krótkie i łatwe do odgadnięcia,
• oparte na imieniu, dacie lub nazwie strony,
• ujawnione w znanym wycieku,
• zapisane wcześniej w niezabezpieczonym dokumencie,
• wysłane przez e-mail lub komunikator,
• znajdujące się w pliku CSV, który mógł trafić do innej osoby.

Najpierw zabezpiecz główną pocztę, konta Google, Apple lub Microsoft, bankowość, usługi płatnicze, chmurę, konta służbowe i profile społecznościowe. Dopiero później przechodź do mniej ważnych serwisów.

Kiedy wyłączyć zapisywanie haseł w starej przeglądarce?

Po potwierdzeniu, że nowy menedżer działa, wyłącz w przeglądarce automatyczne zapisywanie i uzupełnianie haseł. Dwa aktywne narzędzia mogą jednocześnie wyświetlać propozycje, tworzyć duplikaty i zapisywać nowe dane w różnych miejscach.

Starych wpisów nie musisz kasować w tej samej minucie. Możesz pozostawić je na krótki okres kontrolny, ale nie zapisuj tam już nowych haseł. Po przetestowaniu nowego sejfu na wszystkich urządzeniach usuń dane ze starego rozwiązania, jeśli celem było całkowite przeniesienie.

Na końcu sprawdź, czy nowy menedżer działa:

• po ponownym uruchomieniu komputera,
• w używanych przeglądarkach,
• na telefonie,
• w aplikacjach mobilnych,
• po automatycznym zablokowaniu sejfu,
• na nowym lub wcześniej niewykorzystywanym urządzeniu.

Co zrobić, jeśli plik CSV trafił w niepowołane miejsce?

Jeśli plik został wysłany pocztą, umieszczony w publicznym folderze, przesłany na przypadkową stronę albo udostępniony innej osobie, samo jego usunięcie nie daje pewności, że nie powstała kopia.

W takiej sytuacji należy potraktować zawarte w nim hasła jako potencjalnie ujawnione. Zacznij od zmiany danych do poczty, głównego konta Google, Apple lub Microsoft, usług finansowych i chmury. Następnie zakończ obce lub niepotrzebne sesje i sprawdź historię logowań.

Jeżeli plik został przekazany po otwarciu podejrzanego linku lub zainstalowaniu nieznanego programu, skorzystaj również z instrukcji Co zrobić po kliknięciu w podejrzany link? Instrukcja krok po kroku.

Bezpieczniejszy wybór to rozwiązanie używane konsekwentnie

Dla osoby korzystającej z jednego ekosystemu dobrze zabezpieczony menedżer przeglądarki może być w pełni wystarczający. Przy kilku systemach, wielu przeglądarkach, współdzieleniu danych i potrzebie dostępu awaryjnego wygodniejsza będzie niezależna aplikacja.

Największą poprawę bezpieczeństwa przynosi jednak nie sama zmiana programu, lecz przejście na unikalne hasło dla każdego konta, dodatkowe uwierzytelnienie i właściwe zabezpieczenie urządzeń. Pomocne może być również skonfigurowanie ochrony opisanej w poradniku Jak ustawić filtr antyphishingowy w przeglądarce?.

Niezależnie od wybranego rozwiązania migrację należy uznać za zakończoną dopiero wtedy, gdy nowe logowania zostały przetestowane, konkurujące mechanizmy autofill wyłączone, a niezabezpieczony plik eksportu usunięty ze wszystkich miejsc, do których mógł trafić.