KeePassXC: обзор для бизнеса

Что такое KeePassXC и чем не является

KeePassXC — бесплатный менеджер паролей с открытым исходным кодом: программы для Windows 10/11, macOS 12+ и Linux, расширение KeePassXC-Browser для Firefox и Chromium-браузеров. Все пароли лежат в локальном зашифрованном файле формата .kdbx (KDBX 3.1 или 4.0). Канонический лендинг — keepassxc.org. Это не KeePass 2.x (keepass.info) — оригинал для Windows на платформе .NET, хотя формат базы совместим. Это не KeePassX — заброшенный предшественник; KeePassXC — активный форк с 2016 года. Это не Bitwarden, 1Password или LastPass — облачные vault с центральным сервером и (частично) ролями администратора. Это не Passwork — коммерческий российский on-prem с сертификацией ФСТЭК. Это не встроенный сейф Google или Яндекс Браузера: те бесплатны, но не дают полноценного файла .kdbx и KeeShare.

Локальный файл .kdbx — где лежат данные

KeePassXC по задумке не отправляет пароли на сервер вендора: один файл базы на диске ноутбука, флешке, корпоративной сетевой папке или в синхронизируемой папке Dropbox, Nextcloud или Google Drive — синхронизацию настраиваете вы, не разработчики KeePassXC. Для 152-ФЗ плюс в том, что вы сами выбираете юрисдикцию хранения: файл на сервере в РФ, на рабочем ПК или в зашифрованном архиве. Минус — нет централизованного offboarding: уволенный сотрудник с копией .kdbx и мастер-паролем сохраняет доступ, пока вы не смените все пароли в сервисах. Резервные копии — ваша обязанность; потеря файла и мастер-пароля означает потерю всех записей.

KeeShare — общие пароли без облачного сервера

KeeShare позволяет делиться подмножеством записей через отдельные контейнеры на сетевой шару или в облачной папке: режимы Import, Export и Synchronize. Типичный сценарий для малой команды 3–5 человек — общий .kdbx на файловом сервере офиса. Важно: шаринг настраивается на уровне группы внутри базы; все, кто знает мастер-пароль к этой базе, видят всё содержимое shared-группы. Разработчики прямо отказались внедрять разграничение прав «как в LastPass» для команд с ролями — без центрального сервера это невозможно безопасно. Для отдела из десяти и более человек с финансовыми и админскими доступами KeePassXC — плохой выбор; смотрите Bitwarden Teams или Passwork.

Платформы и браузерная интеграция

Актуальная версия на дату проверки — 2.7.12 (март 2026): установщики для Windows и macOS, Flatpak, AppImage, пакеты дистрибутивов Linux, Microsoft Store и winget. Мобильного приложения KeePassXC нет — на телефоне используют совместимые клиенты KeePass для Android/iOS с тем же .kdbx. Расширение KeePassXC-Browser подставляет логины в сайты из разблокированной базы; для Яндекс Браузера и других Chromium-совместимых браузеров — через магазин расширений (в Wordstat запрос «keepassxc yandex plugin» — около 51 показа в месяц). Auto-Type вводит пароли в окна программ; на Linux работает в сессии X11, не Wayland. Поддерживаются TOTP, passkeys, SSH Agent и аппаратные ключи YubiKey.

Безопасность и сертификации

Шифрование AES-256 или Twofish; мастер-пароль можно дополнить key file или YubiKey. Исходники на GitHub под GPLv3. Независимый аудит Zaur Molotnikov завершён в январе 2023 года. Версия 2.7.9 получила сертификат ANSSI CSPN (первый уровень кибербезопасности Франции). Релиз 2.7.12 добавил защиту от атак через подмену конфигурации OpenSSL на Windows и улучшил импорт вложенных папок из Bitwarden. FAQ предупреждает: хранить TOTP в той же базе, что и пароль, — ослабляет двухфакторную аутентификацию; для максимальной защиты TOTP лучше вынести в отдельный .kdbx с другим мастер-паролем.

Импорт и миграция с облачных менеджеров

Главный сценарий для российских пользователей — уход с 1Password, LastPass или Bitwarden без продолжения облачной подписки. KeePassXC импортирует CSV и форматы KeePass; с версии 2.7.12 — вложенные папки из экспорта Bitwarden. Прямого «живого» импорта из 1Password нет — нужен промежуточный экспорт в файл. Перед массовым переносом сделайте тестовую базу: проверьте вложения, пользовательские поля и одноразовые коды. Ошибка руководителя — раздать всем один общий .kdbx без смены паролей после увольнения сотрудника, который знал мастер-пароль.

Доступ из России

Сайт keepassxc.org и страница загрузки на дату проверки (2026-08-04) открываются из РФ; целевой блокировки в реестре РКН на домен не зафиксировано. Продукт полностью бесплатен (GPL): нет подписки, биллинга и карт — ни российских, ни зарубежных. Донаты команде разработчиков опциональны. По Wordstat (август 2026) запрос «keepassxc» — около 2 041 показ в месяц при «менеджер паролей» — около 36 638: большинство пользователей живёт во встроенных сейфах браузеров; KeePassXC — осознанный выбор тех, кто хочет локальный контроль. Сравните альтернативы на вкладке «Альтернативы» и в каталоге аналогов.

Чеклист для руководителя перед внедрением

1. Оцените размер команды: до 5 человек с доверием друг к другу — KeeShare возможен; от 10 с ролями — нужен облачный PM или Passwork. 2. Пропишите политику бэкапов .kdbx (3-2-1: три копии, два носителя, одна off-site). 3. Зафиксируйте процедуру смены мастер-пароля и паролей сервисов при увольнении. 4. Сделайте тестовый импорт из Bitwarden или CSV из 1Password до отключения старого сервиса. 5. Если ИБ требует ФСТЭК или журнал действий — KeePassXC не закроет задачу; смотрите Passwork. 6. Для сравнения с Bitwarden, Passwork и встроенными сейфами — материал «Чем заменить 1Password и LastPass».