Menedżer haseł od zera: Bitwarden krok po kroku

Większość ludzi ma trzy hasła i wersje z jedynką na końcu. To działa do pierwszego wycieku z jakiegoś forum, na którym zakładało się konto dziesięć lat temu. Potem ktoś bierze tę parę adres plus hasło i próbuje jej wszędzie. Menedżer haseł rozwiązuje dokładnie ten problem: każde konto dostaje inne, długie hasło, a ty pamiętasz jedno.

Bierzemy Bitwardena, bo ma sensowny darmowy plan bez limitu haseł i urządzeń, kod źródłowy leży na github.com/bitwarden, na licencji AGPL v3.0 albo na własnej Bitwarden License v1.0, a firma co roku zamawia zewnętrzne audyty i publikuje ich listę: Cure53, Applied Cryptography Group z ETH w Zurychu, Unit 42 z Palo Alto Networks, Mandiant (Compliance, Audits, and Certifications). To nie jest gwarancja, że nic się nigdy nie wydarzy, ale to więcej niż deklaracja na stronie głównej.

Uprzedzam od razu o dwóch rzeczach, bo od nich zależy, czy w ogóle chcesz to robić. Po pierwsze, hasła głównego nie da się zresetować. Bitwarden go nie zna i nie odzyska. Po drugie, funkcja awaryjnego dostępu dla bliskiej osoby, którą polskie poradniki chętnie wymieniają jako argument za Bitwardenem, jest płatna. Obie sprawy rozbieram niżej, razem z tym, co da się zrobić zamiast.

Zanim zaczniesz: może wystarczy to, co masz

Wbudowany menedżer w Chrome, Edge czy aplikacja Hasła od Apple to nie są zabawki. Jeśli używasz wyłącznie iPhone'a i Maca, aplikacja Hasła (od iOS 18, iPadOS 18 i macOS Sequoia) synchronizuje wszystko przez pęk kluczy iCloud, generuje mocne hasła, ostrzega przed powtórzonymi i wyciekłymi, obsługuje passkeye i kody weryfikacyjne (Apple o aplikacji Hasła). W takim układzie osobny menedżer niewiele dołoży.

Bitwarden zaczyna mieć przewagę wtedy, gdy mieszasz systemy: Windows w pracy, Android w kieszeni. Drugi powód to własna kopia sejfu poza chmurą jednego producenta, w otwartym formacie, którą wyjmiesz w każdej chwili i bez proszenia się o zgodę. Jeśli żadna z tych rzeczy cię nie dotyczy, spokojnie zostań przy tym, co masz, i zajmij się zamiast tego passkeyami: Passkeys w praktyce.

Czego potrzebujesz

Adresu e-mail, do którego masz pewny dostęp. Komputera z przeglądarką i telefonu. Kartki papieru i długopisu, serio. Licz na godzinę z zapasem - najwięcej czasu zajmuje import i porządki w starych hasłach, a to zależy od tego, ile pozycji masz w przeglądarce. Nic nie kosztuje, karta nie jest potrzebna.

Przyda się też miejsce, w którym trzymasz dokumenty. Będziesz miał dwie rzeczy do wydrukowania albo zapisania ręcznie: hasło główne (albo mocną podpowiedź do niego) i kod odzyskiwania dwuetapowego logowania.

Co dostajesz za darmo, a za co się płaci

Sprawdziłem to w tabeli porównania planów, bo w sieci krąży sporo nieaktualnych wersji (Password Manager Plans).

W planie darmowym masz nielimitowaną liczbę haseł, notatek, kart i tożsamości, dostęp z dowolnej liczby urządzeń, synchronizację, generator haseł, szyfrowany eksport oraz dwuetapowe logowanie kluczem sprzętowym, aplikacją authenticator albo mailem. Wystarcza to na wszystko, co opisuję w tym poradniku, poza jedną rzeczą.

Płatne (Premium, w cenniku 1,65 USD miesięcznie rozliczane rocznie jako 19,80 USD; Families dla sześciu osób 3,99 USD miesięcznie, rocznie 47,88 USD; ceny w dolarach, odczytane z anglojęzycznego cennika we wrześniu 2026 - cennik) są: awaryjny dostęp dla zaufanej osoby, raporty stanu sejfu, wbudowany generator kodów TOTP, załączniki plików i dodatkowe metody 2FA jak Yubico OTP i Duo.

Raport Data Breach jest przy tym darmowy dla wszystkich, mimo że reszta raportów stanu sejfu nie jest. Wykrywanie słabych i powtórzonych haseł w twoim sejfie wymaga już premium (Vault Health Reports).

Jest jeszcze darmowa organizacja: pozwala dzielić hasła z jedną inną osobą, w maksymalnie dwóch kolekcjach. Do wspólnego Wi-Fi i konta Netflixa w zupełności wystarczy.

Krok 1: konto i wybór regionu serwera

Wejdź na bitwarden.com, kliknij przycisk rejestracji (na stronie głównej opisany jako Get Started Free, w dokumentacji jako Sign Up albo Continue), podaj adres e-mail i wybierz lokalizację serwera: bitwarden.com dla Stanów albo bitwarden.eu dla Unii Europejskiej (Create a Bitwarden Account).

Wygląda to niewinnie, a potrafi zaskoczyć pół roku później. Regiony są od siebie odseparowane i konto istnieje wyłącznie w tym, w którym powstało. Nie ma przełącznika, którym przeniesiesz je później, a Bitwarden wymienia zły wybrany serwer jako pierwszą przyczynę na liście "nie mogę się zalogować" (Forgot My Master Password). Nie znaczy to jednak, że pomyłka jest nie do naprawienia: gdy zechcesz zmienić region, robisz zaszyfrowany eksport w wariancie Password protected (Krok 10), zakładasz konto w drugim regionie i importujesz do niego plik. Wariant Account restricted tak nie zadziała. Jeśli jesteś w Polsce i zależy ci na tym, żeby dane leżały w Unii, wybierz bitwarden.eu i zapisz to sobie razem z hasłem.

Po kliknięciu dalej dostaniesz maila z linkiem weryfikacyjnym. Kliknij Verify email, a potem ustaw hasło główne.

Krok 2: hasło główne, czyli jedyna rzecz, którą musisz pamiętać

Hasła tworzone po wydaniu 2023.3.0 muszą mieć co najmniej 12 znaków (My Master Password). Minimum to jednak minimum, a nie cel.

Najlepiej sprawdza się fraza z czterech albo pięciu przypadkowych słów, oddzielonych czymkolwiek: wiatrak-sledz-parkiet-jodla. Cztery losowe słowa łatwo powtórzysz z pamięci po tygodniu, a nie odgadnie ich nikt, kto zna twojego psa i rok urodzenia. Nie bierz cytatu z piosenki i nie układaj słów w zdanie, które ma sens - sens to właśnie to, co zawęża pole zgadywania.

Przy tworzeniu hasła zobaczysz opcję "Check known data breaches for the password". Zaznacz ją. Bitwarden wysyła wtedy do serwisu Have I Been Pwned pięć pierwszych znaków skrótu twojego hasła i porównuje resztę lokalnie, więc samo hasło nigdy nie opuszcza twojego urządzenia.

Możesz też ustawić podpowiedź do hasła głównego (master password hint). Ona nie odblokowuje sejfu - Bitwarden wysyła ją mailem na adres konta, gdy o nią poprosisz. Napisz coś, co pomoże tobie i nikomu innemu. "Cztery słowa z kartki w segregatorze" jest dobre. "Imię kota plus rok" jest fatalne.

Kliknij Create account. Sejf jest pusty i gotowy.

Zapisz hasło na papierze. Naprawdę

To jedyny moment, w którym da się to zrobić bezpiecznie i spokojnie. Wypisz hasło główne na kartce, włóż do koperty, zaklej, podpisz i schowaj tam, gdzie trzymasz umowy albo akt urodzenia. Nie w portfelu i nie w notatniku w telefonie.

Brzmi anachronicznie, ale kartki w domu nikt nie zaszyfruje ransomwarem ani nie skopiuje przez internet. A frazę, której nie wpisujesz od czasu włączenia biometrii, zapomina się zaskakująco łatwo.

Co się dzieje, gdy zgubisz hasło główne

Nic dobrego, i lepiej wiedzieć o tym przed importem niż po nim.

Bitwarden działa w modelu zero-knowledge: hasła głównego nie zna, nie potrafi go odzyskać ani zresetować. To nie jest polityka, którą da się obejść zgłoszeniem do wsparcia, tylko konsekwencja tego, że klucz szyfrujący twój sejf powstaje z tego hasła na twoim urządzeniu.

Dokumentacja podaje listę rzeczy, które można spróbować, i każda z nich to ratowanie danych, a nie odzyskanie hasła (Forgot My Master Password):

Sprawdź, czy logujesz się do właściwego regionu serwera.
Spróbuj na innym urządzeniu i w innej aplikacji Bitwardena.
Jeśli gdziekolwiek jesteś jeszcze zalogowany i masz ustawiony PIN albo biometrię, odblokuj tam sejf i przepisz dane do pliku .csv, a potem zaimportuj je do nowego konta. Upierdliwe przy dwustu pozycjach, ale wykonalne.
Poproś o podpowiedź na vault.bitwarden.com/#/hint albo vault.bitwarden.eu/#/hint. Jeśli podpowiedzi nie ustawiałeś, dostaniesz maila z informacją, że jej nie ma.
Jeśli przeglądarka, z której korzystasz, została wcześniej zarejestrowana jako znane urządzenie, wybierz w aplikacji webowej Log in with device i zatwierdź prośbę w innej aplikacji Bitwardena. Wchodzisz wtedy bez hasła głównego.
Jeśli masz zarejestrowany passkey do logowania z włączonym szyfrowaniem (PRF), zaloguj się nim.
Jeśli masz skonfigurowany awaryjny dostęp (płatne), poproś zaufaną osobę o przejęcie konta.

Punkty 5, 6 i - jeśli masz premium - 7 przywracają dostęp do samego konta; reszta w najlepszym razie ratuje dane. Dlatego drugie zalogowane urządzenie albo passkey przygotowany zawczasu to najtańsza polisa awaryjna, jaką masz. Ustaw to od razu po Kroku 3, zanim zapomnisz.

Gdy nic z tego nie zadziała, zostaje usunięcie konta i założenie nowego. Dane przepadają. Dlatego dwa akapity wyżej jest ta kartka, a niżej jest sekcja o eksporcie kopii.

Krok 3: dwuetapowe logowanie i kod odzyskiwania, którego wszyscy mylą

Włącz to od razu, zanim wrzucisz do sejfu cokolwiek wartościowego. Ścieżka: Settings > Security > Two-step login w aplikacji webowej (Two-Step Login Methods).

W darmowym planie masz do wyboru aplikację authenticator (Aegis, Ente Auth, Google Authenticator, cokolwiek zgodnego z TOTP), klucz sprzętowy FIDO2 albo kod wysyłany mailem. Metodę mailową traktuj jako awaryjną, nie podstawową: jeśli ktoś przejmie twoją skrzynkę, przejmuje też drugi składnik. Klucz sprzętowy jest najmocniejszy, aplikacja authenticator to rozsądny standard.

Możesz włączyć kilka metod naraz. Przy logowaniu Bitwarden zaproponuje tę o najwyższym priorytecie (kolejność: Duo dla organizacji, FIDO2 WebAuthn, YubiKey, Duo indywidualne, aplikacja authenticator, e-mail), a przyciskiem Use another two-step login method przełączysz się na inną.

Kod odzyskiwania bywa mylony z resetem hasła głównego, a to dwie zupełnie różne rzeczy. Po włączeniu dowolnej metody dwuetapowej Bitwarden generuje kod odzyskiwania (recovery code). Znajdziesz go w Settings > Security > Two-step login > View recovery code, po podaniu hasła głównego (Recovery Code for Two-Step Login).

Ten kod wyłącza wszystkie metody dwuetapowego logowania i nic poza tym. Nie resetuje hasła głównego, nie odblokowuje sejfu, nie ratuje cię, gdy zapomnisz frazy. Ratuje cię wtedy, gdy zgubisz telefon z authenticatorem. Używa się go na vault.bitwarden.com/#/recover-2fa/ lub vault.bitwarden.eu/#/recover-2fa/, podając adres, hasło główne i sam kod. Po użyciu Bitwarden generuje nowy, więc zapisz go ponownie.

Wypisz kod na tej samej kartce co hasło główne. Nie trzymaj go w sejfie Bitwardena - to zamek, do którego klucz leżałby w środku.

Krok 4: import haseł z przeglądarki

Zanim zaczniesz: plik, który zaraz powstanie, będzie zawierał wszystkie twoje hasła otwartym tekstem. Nie zapisuj go na pulpicie współdzielonego komputera, nie wysyłaj mailem "do siebie" i skasuj natychmiast po imporcie. To pięć minut, w których twoje hasła leżą na dysku bez żadnej ochrony.

Eksport z Chrome lub Edge

Otwórz chrome://password-manager/settings (w Edge: edge://wallet/passwords).
Znajdź Export passwords i kliknij Download file. W Edge bywa to schowane pod menu z trzema kropkami w sekcji zapisanych haseł.
System poprosi o hasło do twojego konta w komputerze. To zabezpieczenie systemowe, nie błąd.
Zapisz plik. Format ma być CSV.

Kroki i adresy pochodzą z Import from Chrome, Edge & Chromium Browsers.

Eksport z Firefoksa

Wpisz w pasku adresu about:logins.
Kliknij menu w prawym górnym rogu i wybierz Export Passwords....
Wskaż miejsce zapisu. Firefox zapisze plik .csv.

Jeśli używasz starszej wersji albo przeglądarki opartej na Firefoksie i tej pozycji nie ma, sprawdź about:preferences#privacy i przycisk Saved Logins (Import from Firefox).

Wgranie pliku do Bitwardena

Zaloguj się do aplikacji webowej i wybierz Tools.
Kliknij Import.
W polu "Vault" zostaw My vault.
W polu "File format" wybierz format zgodny z twoim plikiem, na przykład Chrome (csv) albo Firefox (csv). To nie jest to samo co "generic csv", więc czytaj nazwy z listy.
Kliknij Choose File i wskaż plik.
Kliknij Import.

Import nie sprawdza duplikatów. Wgrasz ten sam plik dwa razy, dostaniesz każde hasło dwa razy, a Bitwarden nie zapyta (Import to your Vault or Collections).

Sprawdź import, zanim cokolwiek skasujesz

To jest ten moment, w którym najłatwiej stracić wszystkie hasła naraz, więc kolejność jest sztywna: najpierw sprawdzasz, potem kasujesz.

Otwórz sejf i policz pozycje. Bitwarden pokazuje liczbę pozycji w widoku "All items"; porównaj ją z liczbą wierszy w pliku CSV (otwórz go w arkuszu, pierwszy wiersz to nagłówek). Nie muszą się zgadzać co do jednego, bo import potrafi połączyć albo pominąć puste wpisy, ale różnica o kilkadziesiąt pozycji znaczy, że coś się nie przeniosło.

Potem test praktyczny. Otwórz okno prywatne, wejdź na dwa albo trzy serwisy, których naprawdę używasz, i zaloguj się do nich hasłem z Bitwardena. Twoja zwykła sesja zostaje nietknięta, więc nawet nieudany test niczego nie kosztuje. Do testu nie wybieraj banku ani głównej skrzynki - te zostaw na koniec, gdy hasła siedzą już pewnie w sejfie.

Zanim skasujesz CSV i wyczyścisz menedżer przeglądarki, zrób zaszyfrowany eksport z Kroku 10 i odłóż go na pendrive. Dopiero wtedy zostajesz z dwiema kopiami zamiast z jedną. Potem skasuj plik CSV z dysku, opróżnij kosz i wyczyść hasła zapisane w przeglądarce. Zostawienie ich tam na stałe oznacza dwa źródła prawdy, które zaczną się rozjeżdżać przy pierwszej zmianie hasła.

Gdy import się nie uda

Bitwarden wyświetli "Import error" i nie doda przy tym do sejfu ani jednej pozycji. Najczęstsza przyczyna przy przenosinach z przeglądarki to za długie pole. Szyfrowanie rozszerza tekst o 30-50 procent, więc notatka mająca 8 000 znaków po zaszyfrowaniu przekracza limit 10 000. Komunikat wskazuje numer wiersza, typ pozycji, jej nazwę i konkretne pole. Otwórz CSV w arkuszu, skróć albo usuń tę pozycję, zapisz i spróbuj ponownie.

Limity samego pliku są wysokie: 40 000 pozycji i 2 000 folderów. Przy przenosinach z przeglądarki nie masz szans ich dobić.

Krok 5: rozszerzenie w przeglądarce

Pobierz rozszerzenie ze sklepu swojej przeglądarki albo ze strony bitwarden.com/download. Wersja dla Safari jest dołączona do aplikacji desktopowej z Mac App Store.

Po zalogowaniu zacznij od przypięcia ikony: w Chrome klikasz ikonę puzzla obok paska adresu i przypinasz Bitwardena. Rozszerzenie schowane pod puzzlem po prostu wypada z nawyku i po tygodniu przestajesz z niego korzystać.

Następnie wyłącz menedżer haseł przeglądarki. W ustawieniach rozszerzenia otwórz zakładkę Settings, potem Autofill, i włącz Make Bitwarden your default password manager. Pojawi się okienko z prośbą o zgodę na zmianę ustawień przeglądarki - kliknij "allow" (Password Manager Browser Extensions). Bez tego dwa menedżery będą się przekrzykiwać nad każdym formularzem logowania.

Na koniec ustaw odblokowanie PIN-em albo biometrią. W Settings > Account security zaznacz Unlock with PIN i podaj PIN (mogą w nim być litery i znaki specjalne, nie same cyfry). Domyślnie zaznaczona opcja Require master password on browser restart wymusza hasło główne po restarcie przeglądarki. Zostaw ją włączoną, jeśli nie chcesz, żeby dostęp do sejfu wisiał wyłącznie na czterech cyfrach (Unlock with PIN).

Dokumentacja Bitwardena stawia sprawę wprost: PIN osłabia szyfrowanie lokalnej bazy sejfu na urządzeniu. Jeśli boisz się scenariusza, w którym ktoś ma fizyczny dostęp do twojego laptopa, zrezygnuj z PIN-u na rzecz biometrii albo wpisywania hasła głównego. Po pięciu błędnych próbach PIN-u aplikacja wyloguje cię automatycznie.

Jak wygląda codzienna praca

Wchodzisz na stronę logowania, klikasz ikonę Bitwardena, w sekcji "Autofill suggestions" widzisz pasujące pozycje i klikasz w tę właściwą. Pola wypełniają się same. Nad ikoną rozszerzenia zobaczysz dymek z liczbą zapisanych loginów dla tej strony.

Gdy zalogujesz się gdzieś hasłem, którego Bitwarden jeszcze nie ma, wyświetli banner z propozycją zapisania pozycji; klikasz Save i pozycja ląduje w sejfie.

Sprawdź też ustawienie vault timeout w Settings > Account security: określa, po jakim czasie bezczynności sejf się zablokuje albo wyloguje. Bezczynność liczona jest od ostatniej interakcji z Bitwardenem, nie od bezczynności systemu. Zamknięcie okna przeglądarki wywołuje timeout rozszerzenia; zamknięcie pojedynczej karty nie (Automatic Logout or Lock).

Krok 6: telefon

Na telefonie Bitwarden opłaca się najbardziej, bo przepisywanie z pamięci dwudziestoznakowego hasła na klawiaturze ekranowej to droga donikąd.

Android

Zainstaluj aplikację Bitwarden i zaloguj się.
Wejdź w Settings > Autofill.
Dotknij Autofill services. System zapyta o preferowaną usługę haseł, passkeyów i autouzupełniania - wybierz Bitwardena.
Wróć na ekran Autofill i wybierz tryb podpowiedzi: Inline pokazuje propozycje na pasku klawiatury (wymaga Androida 11 lub nowszego i klawiatury, która to obsługuje), Popup wyświetla je w okienku nad polem (wymaga Androida 8 lub nowszego).
Jeśli używasz Chrome, Brave albo Vivaldi, włącz osobny przełącznik integracji z tą przeglądarką. Bez tego autouzupełnianie w niej nie zadziała.

Piąty punkt zaskakuje najczęściej. Chrome ma własny chroniony system autouzupełniania i wymaga jawnego przełącznika, żeby wpuścić do niego zewnętrzny menedżer; dokumentacja podaje, że potrzebna jest wersja Chrome co najmniej 135 oraz włączone Autofill services w Bitwardenie. Po dotknięciu przełącznika Android przeniesie cię do ustawień samej przeglądarki, gdzie trzeba jeszcze zezwolić na usługę innej firmy (Autofill from Android App).

Autouzupełnianie na telefonie ma dwa ograniczenia, na które prędzej czy później wpadniesz: nie obsługuje pól niestandardowych ani formularzy rozbitych na dwa ekrany (login na jednym, hasło na drugim - tak działa sporo bankowości). Tam skopiujesz hasło ręcznie z aplikacji.

iPhone i iPad

Zainstaluj aplikację i zaloguj się.
Otwórz systemowe Ustawienia > Ogólne > Autouzupełnianie i hasła.
Włącz Autouzupełnianie haseł i kluczy dostępu i zaznacz Bitwarden na liście.

Przetestuj to od razu: otwórz aplikację, do której nie jesteś zalogowany, dotknij pola loginu i sprawdź, czy nad klawiaturą pojawia się pasująca pozycja albo przycisk Passwords. Jeśli widzisz przycisk zamiast konkretnego loginu, zwykle znaczy to, że w sejfie nie ma pozycji z pasującym adresem URI - dopisz adres do pozycji i spróbuj ponownie.

Passkeye w Bitwardenie na iOS wymagają iOS 17 lub nowszego (Autofill from iOS App).

Krok 7: generator haseł i wymiana starych

Menedżer haseł ma sens dopiero wtedy, gdy zaczniesz zmieniać stare hasła na nowe. Nie rób tego naraz dla stu kont. Zrób tak: przez najbliższe tygodnie, przy każdym logowaniu gdziekolwiek, zmień hasło na wygenerowane. Po dwóch miesiącach będziesz miał przerobione wszystko, co realnie używasz, i nie stracisz na to weekendu.

Generator: Tools > Generator w aplikacji webowej albo przycisk Generate przy edycji pozycji (Username & Password Generator).

Masz dwa tryby. Password to losowy ciąg znaków - dobry wszędzie tam, gdzie hasła i tak nigdy nie wpisujesz ręcznie. Passphrase generuje kilka losowych słów rozdzielonych myślnikiem, na przykład panda-lunchroom-uplifting-resisting - lepszy tam, gdzie musisz hasło przeczytać komuś przez telefon albo wklepać na pilocie telewizora.

Rada z dokumentacji, którą prawie wszyscy ignorują: nie podkręcaj bez potrzeby wartości "Minimum numbers" i "Minimum special". Wymuszanie na przykład czterech cyfr i czterech znaków specjalnych zawęża zbiór możliwych haseł i osłabia wynik. Trzymaj te wartości na 0 albo 1, chyba że dana strona wymaga inaczej.

Jest jeszcze generator nazw użytkownika, a w nim tryb adresów z plusem. Domyślnie dokleja losowy dopisek, czyli tworzy coś w rodzaju jan+rnok6xsh@example.com, i po tym fragmencie filtrujesz potem pocztę. Jeśli wolisz od razu widzieć, kto sprzedał twój adres, wpisz etykietę ręcznie: jan+netflix@example.com. W obu przypadkach poczta trafia do twojej zwykłej skrzynki. Sprawdź tylko wcześniej, czy dana strona przyjmuje plusa w adresie, bo niektóre nadal go odrzucają.

Krok 8: sprawdzanie wycieków

W lewym menu aplikacji webowej masz Reports. Wchodząc tam z darmowym kontem zobaczysz katalog raportów, z których uruchomisz jeden: Data Breach.

Raport Data Breach korzysta z serwisu Have I Been Pwned i sprawdza, czy twoje dane (adres e-mail, hasła, karty, data urodzenia i inne) pojawiły się w znanych wyciekach. Przy sprawdzaniu hasła głównego Bitwarden wysyła do HIBP tylko pięć pierwszych znaków jego skrótu i porównuje resztę lokalnie (Vault Health Reports).

Pozostałe raporty - Exposed Passwords, Reused Passwords, Weak Passwords, Unsecured Websites, Inactive 2FA - są dla kont premium. Notatka na stronie pomocy mówi to wprost i tylko dla Data Breach robi wyjątek.

Trafienie w tym raporcie nie oznacza, że ktoś siedzi na twoim koncie. Oznacza, że dana wartość pojawiła się w jakimś ujawnionym zbiorze. HIBP definiuje wyciek jako incydent, w którym dane zostały nieumyślnie ujawnione w podatnym systemie, i zaznacza, że baza zawiera tylko część wszystkich wycieków, jakie się wydarzyły (HIBP FAQ). Brak trafienia nie jest więc dowodem, że nic się nie stało. Traktuj to jak listę zadań posortowaną po pilności, nie jak wyrok.

Jeśli twoje hasło główne wypadnie w tym raporcie, zmień je natychmiast: Settings > Security > Master password. Zmiana wylogowuje sesję webową od razu, a pozostałe aplikacje w ciągu mniej więcej godziny.

Jeśli wypadnie adres e-mail, sprawdź, czy to konto ma włączone dwuetapowe logowanie, i przejrzyj aktywne sesje. Gdy podejrzewasz, że ktoś rzeczywiście się dostał, mamy na to osobny tekst: Kliknąłem w podejrzany link.

Krok 9: awaryjny dostęp dla bliskiej osoby (i co zrobić, gdy nie chcesz płacić)

Bitwarden ma funkcję Emergency Access: wskazujesz zaufaną osobę, która w razie czego może poprosić o dostęp do twojego sejfu. Poziom View daje jej podgląd wszystkich pozycji razem z hasłami i załącznikami. Poziom Takeover każe jej ustawić nowe hasło główne, które zastępuje twoje dotychczasowe i usuwa wszystkie skonfigurowane metody dwuetapowego logowania (About Emergency Access).

Sam mechanizm jest przemyślany. Zaproszenie jest ważne pięć dni. Po akceptacji ty potwierdzasz kontakt, a wtedy twój klucz symetryczny zostaje zaszyfrowany publicznym kluczem RSA tej osoby. Gdy złoży wniosek o dostęp, dostajesz maila i masz czas oczekiwania, który sam ustawiłeś, żeby wniosek odrzucić. Bitwarden nigdy nie widzi twoich danych odszyfrowanych.

Dodanie zaufanego kontaktu wymaga konta premium; strona pomocy pisze to wprost. Odwrotny kierunek działa - zaufanym kontaktem może być każdy, kto ma konto Bitwardena, także darmowe. Czyli premium musi mieć ten, kto chce zabezpieczyć swój sejf, a nie ten, kto ma go odziedziczyć.

Jeżeli nie chcesz płacić, zrób wersję analogową. Wygeneruj zaszyfrowany hasłem eksport sejfu (opis w następnym kroku), zapisz go na pendrive'ie, włóż pendrive'a i kartkę z hasłem do tego eksportu do koperty, zaklej i przekaż osobie, której ufasz. Albo zostaw w sejfie bankowym czy u notariusza, jeśli rozmawiamy o planie na wypadek śmierci. Jedna różnica na niekorzyść: przy Emergency Access dostajesz maila i możesz wniosek odrzucić w czasie oczekiwania, który sam ustawiłeś, a koperta działa od razu i bez twojej wiedzy, więc dobierz osobę odpowiednio. Minus: taka kopia się starzeje i trzeba ją odświeżać, powiedzmy raz na kwartał. Plus: nie kosztuje i nie zależy od tego, czy usługa nadal istnieje.

Krok 10: własna kopia sejfu

Własną kopię sejfu można zrobić w każdym menedżerze haseł i prawie nikt tego nie robi. Zrób ją raz, teraz, a potem wpisz sobie w kalendarz powtórkę co kwartał.

W aplikacji webowej wybierz Tools, potem Export.
W polu "Export from" zostaw My vault.
W polu "File format" wybierz .json (Encrypted).
W polu "Export type" wybierz Password protected.
Podaj hasło do eksportu. Nie to samo, co hasło główne.
Kliknij Export i potwierdź hasłem głównym albo kodem z maila.

Dlaczego akurat tak (Export Vault Data, Encrypted Exports):

Formaty .csv i zwykły .json zapisują wszystko otwartym tekstem. Plik z dwustoma hasłami leżący na dysku bez ochrony to gorszy pomysł niż brak kopii. Tylko format .json zawiera karty płatnicze i tożsamości; .csv je pomija.

Wybór Password protected zamiast Account restricted też ma znaczenie. Eksport typu account restricted da się zaimportować wyłącznie do tego samego konta, na którym powstał - nie do konta z tym samym adresem w innym regionie, nie do nowego konta po skasowaniu starego, a rotacja klucza szyfrującego konta unieważnia go całkowicie. Skoro kopia ma ratować w scenariuszu "straciłem dostęp do konta", to akurat ten wariant robi dokładnie odwrotnie, niż potrzeba.

Czego eksport nie zawiera: pozycji z kosza i Sendów. Załączniki plików tylko w wariancie .zip.

Gdzie to trzymać: pendrive w szufladzie albo dysk zewnętrzny, który i tak masz. Nie mailem do siebie i nie w otwartym folderze w chmurze. Hasło do eksportu zapisz osobno, na tej samej kartce co hasło główne. Jeśli szukasz szerszej metody na kopie, opisaliśmy ją tutaj: Kopia zapasowa zdjęć.

Gdy coś nie działa

Autouzupełnianie nie proponuje pozycji na stronie, która na pewno jest w sejfie. Prawie zawsze chodzi o adres URI. Otwórz pozycję, sprawdź pole "Website (URI)" i wpisz adres strony logowania. Niektóre serwisy logują z zupełnie innej domeny niż główna - dopisz obie.

Na Androidzie nic się nie pokazuje w Chrome. Sprawdź osobny przełącznik integracji z Chrome w Settings > Autofill i to, czy w samej przeglądarce zezwoliłeś na usługę innej firmy. Sam włączony Autofill services nie wystarczy.

Na iPhonie nad klawiaturą jest przycisk Passwords zamiast konkretnego loginu. To znaczy, że nie ma pozycji z pasującym URI. Dotknij przycisku, wybierz pozycję ręcznie, a potem dopisz do niej adres.

Import zwraca "Import error" i nic nie dodaje. Przeczytaj komunikat, wskaże numer wiersza i pole. Najczęściej za długa notatka.

Zaimportowałem wszystko dwa razy. Import nie deduplikuje, więc przy dużym bałaganie prościej usunąć wszystko i zaimportować raz jeszcze niż odsiewać ręcznie. Zanim jednak cokolwiek usuniesz z sejfu, zrób zaszyfrowany eksport (Krok 10) albo upewnij się, że wciąż masz plik CSV - bez jednego z tych dwóch nie będzie z czego importować ponownie i skasujesz swoje jedyne hasła.

Nie mogę się zalogować, a hasło jest na pewno dobre. Sprawdź region serwera. Konto z bitwarden.eu nie zaloguje się na bitwarden.com.

Zgubiłem telefon z authenticatorem. Użyj kodu odzyskiwania na /#/recover-2fa/ w swoim regionie. To wyłączy wszystkie metody 2FA, więc zaraz potem skonfiguruj je od nowa i zapisz nowy kod odzyskiwania.

Jak się bezpiecznie wycofać

Jeżeli po dwóch tygodniach uznasz, że to nie dla ciebie, wyjście jest czyste. Zrób eksport sejfu (Tools > Export) w formacie, który przyjmie narzędzie docelowe: menedżery przeglądarek importują wyłącznie .csv, a nie zaszyfrowany .json z Kroku 10. Ten plik migracyjny jest otwartym tekstem, więc traktuj go jak plik z Kroku 4 - trzymaj krótko i skasuj po imporcie. Pamiętaj też, że .csv pomija karty i tożsamości; jeśli je masz, przepisz je ręcznie albo zachowaj obok zaszyfrowany eksport .json. Zaimportuj plik do menedżera przeglądarki albo innego narzędzia, sprawdź na kilku kontach, czy wszystko się przeniosło, i dopiero wtedy usuń konto Bitwardena. Kolejność ma znaczenie: najpierw sprawdź, potem kasuj.

Lista kontrolna

Konto założone, region serwera wybrany świadomie i zapisany.
Hasło główne to fraza z czterech lub pięciu przypadkowych słów, co najmniej 12 znaków.
Hasło główne wypisane na kartce, w kopercie, tam gdzie dokumenty.
Podpowiedź do hasła ustawiona i nie zdradza samego hasła.
Dwuetapowe logowanie włączone (aplikacja authenticator albo klucz sprzętowy).
Kod odzyskiwania 2FA wypisany na tej samej kartce, poza sejfem Bitwardena.
Import sprawdzony: liczba pozycji porównana z plikiem CSV, logowanie przez Bitwardena przetestowane w oknie prywatnym na dwóch-trzech kontach.
Zaszyfrowany eksport (json password protected) zrobiony i schowany poza komputerem.
Dopiero potem: plik CSV skasowany, kosz opróżniony, menedżer przeglądarki wyczyszczony.
Awaryjne wejście bez hasła głównego przygotowane: drugie zalogowane urządzenie (Log in with device) albo passkey z szyfrowaniem.
Rozszerzenie przypięte, wbudowany menedżer przeglądarki wyłączony.
Aplikacja na telefonie zainstalowana, autouzupełnianie przetestowane na jednej realnej stronie.
Raport Data Breach uruchomiony, trafienia rozpisane na listę zadań.
Plan awaryjny dla bliskiej osoby ustalony: Emergency Access na premium albo koperta z pendrive'em.
W kalendarzu przypomnienie o odświeżeniu kopii co kwartał.

Źródła

Wszystkie strony pomocy czytaliśmy w wersji anglojęzycznej. Polskie tłumaczenie interfejsu Bitwardena może używać innych nazw przycisków - kieruj się sensem i ścieżką w menu.