Darmowy menedżer haseł - Który wybrać i jak używać?

Dobry, darmowy menedżer haseł rozwiązuje dwa problemy naraz: przestajesz używać tych samych haseł, a logowanie nie zamienia się w codzienną walkę z pamięcią. W praktyce chodzi o narzędzie, które generuje mocne hasła, zapisuje je w bezpiecznym sejfie i wygodnie wypełnia formularze tam, gdzie trzeba. W 2026 sensowny wybór to już nie tylko wygoda, ale też wsparcie dla 2FA i passkeys.

Kiedy darmowa wersja naprawdę wystarczy

Najczęściej wystarczy wtedy, gdy chcesz po prostu uporządkować własne konta i nie potrzebujesz rozbudowanego zarządzania rodziną, firmą ani zespołem. Ja patrzę na to bardzo pragmatycznie: jeśli masz kilka dziesiątek kont, używasz dwóch albo trzech urządzeń i chcesz przede wszystkim przestać powtarzać hasła, bezpłatny plan jest rozsądnym startem. W wielu przypadkach to już ogromny skok bezpieczeństwa.

Problem zaczyna się wtedy, gdy chcesz w jednym miejscu trzymać nie tylko hasła, ale też kody 2FA, aliasy mailowe, notatki, dane kart i hasła do kont współdzielonych. Wtedy darmowa wersja może być za ciasna. W dokumentacji Proton Pass widać to bardzo dobrze: plan free ma limitowane elementy 2FA, więc przy większej liczbie kont trzeba myśleć o kompromisach. To nie wada sama w sobie, tylko sygnał, że narzędzie ma określony zakres zastosowań.

W praktyce lubię prostą regułę: jeśli potrzebujesz tylko porządku, autouzupełniania i silnych haseł, darmowy plan zwykle wystarczy. Jeśli zaczynasz projektować cały system bezpieczeństwa wokół jednego sejfu, warto sprawdzić, czy nie zbliżasz się do granicy wygody. I właśnie dlatego przed wyborem patrzę na kilka konkretnych cech, a nie tylko na słowo „free”.

Na co patrzę przed wyborem

• Zakres urządzeń - sprawdzam, czy narzędzie działa na komputerze, w przeglądarce i w telefonie bez kombinowania. Samo „działa u mnie w domu” to za mało.
• Eksport i import - dobrze, jeśli mogę łatwo przenieść dane do CSV albo bezpośrednio z innego sejfu. Zamknięta migracja to zawsze ryzyko utknięcia na lata.
• Wsparcie dla passkeys - jeśli menedżer już je ogarnia, mam jedną przewagę więcej. Passkey to nie hasło, tylko klucz logowania oparty na kryptografii, więc dobrze, gdy sejf nadąża za tym standardem.
• 2FA dla samego menedżera - sejf haseł musi mieć własne zabezpieczenie. Master password, czyli główne hasło do całego magazynu, nie powinno być używane nigdzie indziej.
• Polityka prywatności i model szyfrowania - szukam rozwiązania typu zero-knowledge, czyli takiego, w którym dostawca nie ma technicznego dostępu do zawartości sejfu.
• Łatwość użycia - jeśli interfejs mnie męczy, po prostu przestanę go używać. A wtedy nawet najlepsza technologia nie pomaga.

Warto też pamiętać o jednej praktycznej rzeczy: jak podaje NCSC, menedżery wbudowane w przeglądarkę są sensowne na własnych urządzeniach, ale na sprzęcie współdzielonym lepiej z nich nie korzystać. To ważny detal, bo bezpieczeństwo nie zależy wyłącznie od aplikacji, ale też od kontekstu, w którym jej używasz. I właśnie ten kontekst dobrze widać, gdy porówna się konkretne rozwiązania.

Które bezpłatne rozwiązania mają dziś najwięcej sensu

Jeśli miałbym zawęzić wybór do jednego zdania, powiedziałbym tak: Bitwarden to najlepszy start dla większości osób, Proton Pass jest świetny dla tych, którzy mocniej myślą o prywatności, KeePass wygrywa kontrolą lokalną, a Google Password Manager zostaje opcją najprostszą, ale najmniej niezależną. To nie jest ranking „na zawsze”, tylko mapa decyzji. A gdy w grę wchodzi 2FA, ta mapa robi się jeszcze ciekawsza.

Jak 2FA i passkeys zmieniają wybór

Hasło samo w sobie jest już za słabe jako jedyna blokada. Dlatego w 2026 sensowny układ to: mocne, unikalne hasło do każdej usługi, 2FA dla najważniejszych kont i passkeys tam, gdzie serwis je obsługuje. 2FA, czyli uwierzytelnianie dwuskładnikowe, dodaje drugi krok logowania, zwykle w postaci kodu z aplikacji, klucza sprzętowego albo potwierdzenia na innym urządzeniu.

Ja rozróżniam dwie rzeczy, które użytkownicy często wrzucają do jednego worka. Pierwsza to 2FA do samego menedżera haseł, czyli ochrona sejfu. Druga to przechowywanie kodów 2FA do konkretnych kont, np. poczty, banku czy social mediów. To wygodne, ale nie zawsze optymalne. Jeśli hasło i kod jednorazowy leżą w tym samym miejscu, kradzież sejfu daje napastnikowi zbyt dużo naraz. Dlatego do najważniejszych kont wolę osobny authenticator albo klucz sprzętowy.

W praktyce z darmowych opcji najlepiej wypadają te, które już wspierają passkeys i nie komplikują codziennej pracy. NCSC w 2026 wyraźnie przesuwa rekomendacje w stronę passkeys tam, gdzie są dostępne, a 2SV pozostawia jako zapas dla starszych usług. To dobry kierunek: jeśli serwis pozwala logować się bez klasycznego hasła, korzystam z tego bez sentymentu. Gdy nie pozwala, dopiero wtedy uruchamiam mocne hasło i 2FA.

1. Do menedżera ustawiam długie, losowe hasło główne, którego nie używam nigdzie indziej.
2. Włączam 2FA dla samego sejfu, najlepiej w oparciu o aplikację uwierzytelniającą albo klucz sprzętowy.
3. Najważniejsze konta, zwłaszcza e-mail i bankowość, zabezpieczam osobno, a kody odzyskiwania trzymam poza codziennym sejfem.
4. Jeśli serwis wspiera passkeys, używam ich zamiast klasycznego hasła.

To prowadzi do kolejnego praktycznego tematu: jak wszystko przenieść do nowego narzędzia bez bałaganu i bez utraty dostępu do kont.

Jak przenieść hasła bez chaosu

1. Zacznij od eksportu z obecnej przeglądarki albo starego sejfu. Na początek wystarczy zwykle plik CSV, ale trzymaj go jak dokument wrażliwy, nie jak zwykły notatnik.
2. Zaimportuj dane do nowego menedżera na jednym, zaufanym urządzeniu. Cały start da się zrobić w 20-30 minut, jeśli nie masz bardzo rozbudowanego zestawu kont.
3. Ustaw od razu hasło główne, które ma co najmniej 14-16 znaków i nie przypomina niczego, co już gdzieś używałeś.
4. Włącz generator haseł i zacznij zmieniać najpierw konta krytyczne: poczta, bank, chmura, media społecznościowe. Na pełne uporządkowanie zwykle warto zarezerwować 1-2 godziny rozłożone na kilka dni.
5. Sprawdź autouzupełnianie na 5-10 najczęściej używanych serwisach. Jeśli coś nie działa, popraw to od razu, zamiast odkładać problem na później.
6. Dopiero na końcu wyczyść stare zapisane hasła z przeglądarki lub poprzedniego narzędzia. Najgorszy układ to dwa sejfy, z których korzystasz połowicznie.

Tu pojawia się jeszcze jedna rzecz: wiele osób myśli, że sama migracja kończy temat. W praktyce dopiero po migracji zaczyna się prawdziwa porządna higiena bezpieczeństwa. I właśnie wtedy najłatwiej popełnić kilka banalnych błędów.

Najczęstsze błędy, które psują bezpieczeństwo

• Trzymanie wszystkiego w jednym miejscu bez planu - jeśli hasło główne, kody odzyskiwania i 2FA do najważniejszych kont lądują razem, tworzysz pojedynczy punkt awarii.
• Zapisywanie haseł na współdzielonym urządzeniu - na komputerze domowym to jedno, a na laptopie pożyczonym albo publicznym to już realne ryzyko.
• Używanie słabego hasła głównego - jeśli ktoś przełamie sejf, nie ma znaczenia, że reszta haseł była losowa.
• Ignorowanie kopii zapasowej - w lokalnych rozwiązaniach, takich jak KeePass, backup bazy to nie opcja, tylko konieczność.
• Odkładanie 2FA na później - najpierw zabezpiecza się sejf, potem najważniejsze konta, a nie odwrotnie.
• Przyzwyczajenie do starego bałaganu - jeśli nadal zapisujesz część haseł w przeglądarce, część w notatkach, a część w pamięci, to znowu wracasz do punktu wyjścia.

Największa poprawa bezpieczeństwa nie bierze się z samej nazwy aplikacji. Bierze się z tego, że robisz porządek, ustawiasz sensowne 2FA i konsekwentnie przechodzisz na unikalne hasła. Gdy to już działa, zostaje ostatnie pytanie: co wybrać, jeśli chcesz po prostu zacząć bez przeciążania się dodatkowymi decyzjami?

Jedna konfiguracja, która działa bez nadmiaru komplikacji

Gdybym dziś miał polecić prosty start większości osób, wybrałbym Bitwarden Free jako domyślną opcję. Daje dużo swobody, działa na wielu urządzeniach i nie zamyka cię w jednym ekosystemie. Jeśli jednak priorytetem jest prywatność i lubisz dodatki typu aliasy mailowe, Proton Pass będzie bardzo mocnym kandydatem. Gdy z kolei chcesz pełnej kontroli nad plikiem i nie przeszkadza ci więcej ręcznej pracy, KeePass zostaje rozwiązaniem bardzo uczciwym technicznie.

Taki darmowy menedżer haseł ma sens tylko wtedy, gdy faktycznie używasz go na wszystkich swoich urządzeniach i nie obchodzisz ograniczeń bokiem. W praktyce najlepiej sprawdza się układ: jedno mocne hasło główne, 2FA do sejfu, passkeys tam, gdzie są dostępne, oraz osobne zabezpieczenie dla najważniejszych kont. To niewiele, ale robi ogromną różnicę.

Jeśli chcesz podejść do tematu rozsądnie, nie zaczynaj od szukania „idealnej” aplikacji. Zacznij od jednego sejfu, jednego hasła głównego i jednego porządnego nawyku: każde konto dostaje własne hasło, a krytyczne logowania mają dodatkową blokadę.