KeePassXC

KeePassXC — это канонический локальный менеджер паролей — десктопное приложение, которое хранит ваши пароли в одном зашифрованном файле базы данных `.kdbx` под вашим контролем, без серверов, без учётных записей, без облачной синхронизации и без телеметрии. Оценён как Grade A · выбор редактора, потому что занимает точку с наименьшей поверхностью доверия в пространстве менеджеров паролей: нечему утекать, когда нет инфраструктуры оператора, нет SaaS-компании и нет стороннего хранения. Выбор по умолчанию для пользователей, которые относятся к хранению паролей как к инфраструктурной задаче, а не как к размещённому сервису.

Background. KeePassXC — это поддерживаемый сообществом кроссплатформенный форк оригинального KeePassX (который сам был форком KeePass только для Windows на основе Qt). Активная разработка распределённой командой участников с 2016 года, выпущен под лицензией GPLv3. Кроссплатформенный десктоп (macOS, Windows, Linux) с полным паритетом функций между платформами; мобильные платформы имеют отдельные, но совместимые приложения (KeePassDX на Android, Strongbox или KeePassium на iOS — все читают/записывают один и тот же формат `.kdbx`). Формат файла `.kdbx` — это открытая спецификация с устоявшимися криптографическими примитивами (AES-256, ChaCha20, Argon2 для выведения ключей); один и тот же файл работает в KeePassXC, KeePass, KeePassDX, Strongbox, KeePassium и многих других клиентах. Полностью финансируется за счёт пожертвований + случайных спонсорств; за проектом нет коммерческой организации.

What you trust. Локальное файловое хранение — ваша база данных `.kdbx` — это просто файл на вашем диске; вы контролируете, где он находится (локальный диск, USB-накопитель, ваш собственный Nextcloud, ваша собственная настройка Syncthing и т.д.). Открытый исходный код + воспроизводимые сборки — исходный код доступен для аудита; подписанные релизы воспроизводимы из исходного кода. Сильная криптография — шифрование AES-256 или ChaCha20, функция выведения ключей Argon2 (устойчивая к атакам GPU/ASIC), проверка целостности HMAC-SHA256. Нет оператора — нет компании KeePassXC, которую можно было бы вызвать повесткой, нет SaaS-бэкенда, нет сервиса для компрометации. Поддержка YubiKey + аппаратных токенов — разблокировка вторым фактором через аппаратные токены для пользователей, которым нужна глубокоэшелонированная защита. Пройден аудит — кодовая база прошла независимые аудиты безопасности; полные отчёты об аудите доступны по ссылкам с keepassxc.org. Поддержка PGP — для пользователей, использующих ключи PGP, KeePassXC интегрируется с системным PGP для дополнительных рабочих процессов шифрования.

Operational specs. Платформы: десктопные приложения для macOS / Windows / Linux (на основе Qt, нативные для каждой платформы). Формат базы данных: `.kdbx` (формат базы данных KeePass) — тот же формат, читаемый клиентами семейства KeePass на мобильных и десктопных устройствах. Шифрование: симметричное шифрование AES-256 или ChaCha20; выведение ключей Argon2 (настраиваемые итерации + затраты памяти). Методы разблокировки: мастер-парольная фраза, ключевой файл, YubiKey/аппаратный токен или комбинация. Автоввод: настраивается для каждой записи; вводит имя пользователя + Tab + пароль + Enter в активное окно. Интеграция с браузером: официальные браузерные расширения (KeePassXC-Browser) для Firefox / производных Chromium — опционально, общается через локальный IPC, без участия сети. Поддержка TOTP: встроенная генерация TOTP (RFC 6238); база данных хранит секрет TOTP вместе с паролем. Совместное использование: группы только для чтения или чтения-записи могут быть доступны нескольким пользователям через общие файлы `.kdbx` (у каждого пользователя своя мастер-парольная фраза). Мобильное дополнение: KeePassDX (Android), Strongbox / KeePassium (iOS) — все с открытым исходным кодом, все читают/записывают один и тот же формат `.kdbx`.

Philosophy. Редакционный отличительный признак KeePassXC — локальная, бессерверная модель. SaaS-менеджеры паролей (Bitwarden, 1Password, Dashlane) предлагают удобство — межплатформенную синхронизацию без участия пользователя, веб-восстановление, доступ на основе учётной записи. Компромисс: размещённый оператор становится поверхностью доверия. Самостоятельно размещаемый Bitwarden (и Vaultwarden) закрывает часть этого разрыва, позволяя вам управлять сервером, но вносит операционную сложность самостоятельного хостинга. KeePassXC обходит весь вопрос размещённого vs самостоятельно размещённого: база данных — это файл, приложение — локальное, синхронизация — это то, что вы уже используете для файлов (Nextcloud, Syncthing, USB-накопитель, сервис шифрованного резервного копирования). Компромисс: межплатформенная синхронизация — ваша ответственность — у KeePassXC нет пути «войти на новом телефоне»; вы должны перенести файл `.kdbx` на новое устройство с помощью предпочитаемого вами механизма синхронизации файлов.

Grade rationale. Оценка Grade A и выбор редактора отражают: открытый исходный код под лицензией GPLv3; кроссплатформенный десктоп (macOS, Windows, Linux) с паритетом функций; совместимые мобильные клиенты (KeePassDX, Strongbox, KeePassium); отсутствие инфраструктуры оператора, отсутствие SaaS-бэкенда, отсутствие телеметрии; сильная криптография (AES-256/ChaCha20 + Argon2 KDF); поддержка YubiKey + аппаратных токенов как второго фактора; независимые аудиты безопасности с публичными отчётами; встроенная поддержка TOTP; браузерное расширение с локальным IPC (без сети); воспроизводимые сборки + подписанные релизы; полностью финансируется за счёт пожертвований (без конфликтов коммерческого давления); включён в справочник Privacy Guides. Более 8 лет операционной непрерывности (с форка 2016 года). Последняя проверка: 2026-05-13.

Useful when. Вы хотите самую консервативную модель менеджера паролей — без оператора, без SaaS, без стороннего хранения. Вы пользователь уровня Privacy Guides, которому комфортно управлять собственными файловыми резервными копиями. Вы хотите кроссплатформенный десктоп (macOS/Windows/Linux) без компромисса по принципу локальности. Вы используете YubiKey или аппаратные токены как второй фактор (интеграция аппаратных токенов KeePassXC зрелая). Вы хотите совместимое с мобильными устройствами хранилище — десктопный KeePassXC чисто сочетается с KeePassDX (Android) или Strongbox / KeePassium (iOS) через общие файлы `.kdbx`. Вы организация или семья, желающая общие хранилища паролей с индивидуальными мастер-парольными фразами. Вы мигрируете с SaaS-менеджера паролей и хотите локальное решение.

Caveats. Межплатформенная синхронизация — ваша ответственность — KeePassXC не имеет встроенной синхронизации; вы используете Nextcloud, Syncthing, Resilio, USB-накопитель или любой механизм синхронизации файлов, которому доверяете. Это особенность (нет оператора), но это неудобство. Нет веб-доступа — нет пути «войти с компьютера друга»; если у вас нет с собой файла `.kdbx`, у вас нет ваших паролей. Мобильный паритет зависит от используемого мобильного клиента — официальный KeePassXC только для десктопа; рекомендуемые мобильные клиенты (KeePassDX на Android, Strongbox / KeePassium на iOS) поддерживаются отдельно и имеют собственный UX. Особенности автоввода — автоввод опирается на симулированный ввод с клавиатуры, который может быть ненадёжным с некоторыми приложениями; современная интеграция с браузерным расширением более надёжна, чем автоввод для веб-логинов. Браузерное расширение опционально — если вы хотите автозаполнение паролей, установите KeePassXC-Browser; если предпочитаете ручное копирование-вставку, расширение не нужно. Нет аварийного восстановления — если вы забудете мастер-парольную фразу и у вас нет резервной копии ключевого файла, база данных невосстановима; это цена локального дизайна с нулевым доверием. Планируйте соответственно: распечатайте ключевой файл на бумаге, используйте аппаратный токен, передайте запечатанный конверт с мастер-парольной фразой доверенному лицу. Повреждение базы данных восстановимо, но не автоматически — KeePassXC пишет атомарно, но если ваш механизм синхронизации файлов создаёт конфликты (два устройства пишут одновременно), вы можете получить конфликтную копию; разрешайте конфликты, открывая обе копии и объединяя их вручную. Компромисс удобства TOTP — хранение секретов TOTP в вашей базе паролей удобно, но означает, что единичная компрометация базы данных раскрывает оба фактора; некоторые пользователи предпочитают отдельный аутентификатор (Aegis на Android, Ente Auth кроссплатформенный) для аккаунтов с повышенными требованиями.