Bitwarden

Bitwarden 是開源雲端密碼管理器，具有可驗證的自託管後備 — 一個跨平台加密密碼保險庫，免費層慷慨，付費層約 $10/年，整個客戶端 + 伺服器棧是開源的，Vaultwarden（Bitwarden 伺服器的 Rust 重新實現）為不想信任託管服務的使用者提供了輕量級自託管替代方案。評為 Grade A，因為 Bitwarden 在密碼管理器頻譜上佔據了便利性加可驗證性的位置 — 跨裝置同步無需使用者考慮，同時保留在停止信任運營商時遷移到自託管的選項。

Background. Bitwarden 由 Kyle Spearrin 于 2016 年建立，由 Bitwarden, Inc.（美國註冊公司，總部位於佛羅里達）運營。該產品已從一個免費開源副專案成長為擁有企業客戶的商業公司，同時維護著定義其早期聲譽的開原始碼庫和個人免費層模式。獨立安全審計已由 Cure53（柏林公司）釋出；審計報告連結自 bitwarden.com。Vaultwarden（前身為 bitwarden_rs）是一個社群維護的 Bitwarden 伺服器的 Rust 重新實現，與 Bitwarden 的官方客戶端 API 兼容。Bitwarden 客戶端本身在 AGPLv3 許可證下開源；伺服器程式碼在同一許可證下。

What you trust. 端到端加密 — 你的保險庫在客戶端用 PBKDF2 或 Argon2id 從主密碼派生的金鑰加密；伺服器僅儲存密文。開源的客戶端 + 伺服器 — 每個元件可審計。Cure53 審計的加密 — 審計報告公開，發現已修復。自託管選項 — 官方 Bitwarden 伺服器或 Vaultwarden。零知識架構 — Bitwarden, Inc. 即使有法院命令也無法讀取你的保險庫。強加密 — AES-256、RSA-2048、PBKDF2（預設 600,000+ 迭代次數）或 Argon2id。2FA 支持 — TOTP、FIDO2/WebAuthn、YubiKey、Duo。你不必信任的：主密碼丟失不可恢復 — Bitwarden 無法在不破壞零知識模型的情況下重置密碼。設定緊急訪問受信任聯絡人，或列印主密碼的紙質備份。註冊時的輕度 KYC — Bitwarden 需要電子郵件地址建立賬戶。

Operational specs. 平台：macOS、Windows、Linux 桌面應用；iOS、Android 移動端；vault.bitwarden.com 網頁保險庫；Firefox、Chrome、Safari、Edge、Brave 的瀏覽器擴充套件；CLI 客戶端。保險庫內容：密碼、安全筆記、信用卡、身份、檔案（付費層）。同步：加密保險庫透過 Bitwarden 伺服器（或你的自託管伺服器）同步；伺服器永遠看不到明文。免費層：無限密碼、無限裝置、可選 TOTP 儲存（基本）、基本 2FA。高階層（$10/年）：TOTP 程式碼生成、檔案附件（加密）、Bitwarden Authenticator、高階 2FA（FIDO2/WebAuthn、Duo、YubiKey OTP）、安全檢查報告、緊急訪問。家庭計劃：$40/年適用於 6 個使用者。組織：企業層支援共享集合、細粒度訪問控制、審計日誌。支付方式：信用卡、PayPal — 無直接的加密貨幣選項。加密：AES-CBC-256 + HMAC-SHA-256 + PBKDF2 或 Argon2id。自託管：官方伺服器（Docker）、Vaultwarden（輕量級替代方案）。

Philosophy. Bitwarden 的編輯差異化特點是便利性加退出選項的姿態。KeePassXC 是對於將密碼儲存視為他們完全控制的基礎設施的使用者來說的本地優先規範。Bitwarden 是對於想要跨裝置同步而不考慮檔案同步機制，但又不想被供應商鎖定的使用者的規範：如果 Bitwarden, Inc. 的優先順序發生變化，使用者可以部署 Vaultwarden 或官方自託管伺服器並遷移其資料而不失去功能。這個退出選項是將 Bitwarden 與閉源競爭對手（1Password、LastPass、Dashlane）區分開的編輯訊號。

Grade rationale. Grade A 基於：開源 AGPLv3 程式碼庫（客戶端和伺服器）；9+ 年的運營連續性（自 2016 年起）；具有公開發現的獨立 Cure53 審計；跨平台客戶端（桌面、移動端、網頁、瀏覽器擴充套件、CLI）；具有文件化加密的端到端加密；零知識架構；透過官方伺服器或 Vaultwarden 的自託管後備；慷慨的免費層（無限密碼 + 裝置）；強大的 2FA 支持（TOTP、FIDO2/WebAuthn、Duo）；被 Privacy Guides 同行目錄收錄為推薦的雲同步密碼管理器。最後驗證於 2026-05-12。

Useful when. 你想要跨裝置的密碼同步而不需要管理檔案同步機制。你想要一個開源 + 可審計的密碼管理器，並具有自託管後備選項。你是一個組織或家庭，需要具有細粒度訪問控制的共享密碼保險庫。你想要TOTP 在密碼管理器中的便利性（付費層）。你想要對保險庫本身的適當 2FA 保護 — FIDO2/WebAuthn 支援在付費層上很可靠。你正在考慮自託管但想從託管服務開始進行評估。你想要緊急訪問以便在你喪失能力時受信任聯絡人可以恢復你的保險庫（付費層功能）。你是一個開發者，想要一個 CLI 來為構建流水線腳本編寫憑據訪問。

Caveats. 無加密貨幣支付 — 目前僅支援信用卡 / PayPal。註冊時的輕度 KYC（需要電子郵件） — 如果註冊隱私重要，請使用尊重隱私的電子郵件。TOTP 在密碼管理器中是便利性與縱深防禦的權衡 — 將 TOTP 金鑰與密碼一起儲存意味著保險庫妥協同時暴露兩個因素。對於高風險賬戶，使用單獨的驗證器應用（Aegis、Ente Auth）或硬件令牌（YubiKey）。沒有備份就無法恢復主密碼 — 零知識加密意味著忘記密碼不可恢復。設定緊急訪問（付費層）或列印紙質備份。Bitwarden, Inc. 是美國註冊的 — 對於威脅模型涉及美國國家行為體顧慮的使用者，自託管 Vaultwarden 可以完全消除運營商擔憂。伺服器介導的同步在託管服務上不可避免 — 儘管伺服器只看到密文，但它看到連線後設資料。自託管消除這一點。Vaultwarden 是社群維護的 — 非 Bitwarden, Inc. 官方支持。某些高階功能僅限付費 — 文件附件、TOTP 生成、Bitwarden Authenticator、高階 2FA。瀏覽器擴充套件增加指紋識別風險 — 對於高威脅使用者，考慮使用桌面應用進行手動複製貼上以避免瀏覽器擴充套件的指紋識別攻擊面。無原生語音/音訊支援 — 僅密碼 + 筆記 + 身份 + 文件。