跳轉到

密碼管理器

預計操作時間：首次設定（含主密碼、救援機制、匯入舊密碼、跑一次健檢）約 1–2 小時；之後每天輸入主密碼開鎖即可
所需預算：免費（以下推薦工具皆有免費版）；若有進階或團隊需求，服務訂閱費約月付 0–150 元或年付 0–1500 元視方案而定

密碼管理器是一個專門幫你「集中保管密碼」的數位工具：你只需記住一個主密碼，讓密碼管理器幫你記住其他所有的密碼。這樣就能每個帳號都設定不一樣的密碼，不怕忘掉。

可以增強的防護力

  • 每個帳號使用不同且夠強的密碼，避免一處洩漏全盤皆輸
  • 減少在假網站誤輸入密碼的風險（多數工具僅在對應網站自動填寫）
  • 透過內建健檢能找出過去設定不夠安全的舊帳號
  • 一次保管密碼與 Passkey，新舊登入方式都能集中管理

挑選密碼管理器的服務

  • 安全性：能加密保管你的密碼，且最好支援多重驗證（2FA/MFA）保護密碼管理器帳號本身。
  • 多平台與同步：若你會在手機、電腦多裝置使用，可選支援雲端同步的產品；若希望資料只留在自己裝置，可選本地儲存型。
  • 易用性：介面簡單、能自動填寫登入表單、能產生強密碼，門檻低較容易上手。
  • Bitwarden：
    免費且開源，個人版免費即可使用主要功能，跨裝置同步、自動填寫、強密碼產生器都有。適合多數個人與小團隊。免費版 0 元；進階版約月付 30–100 元（依方案與匯率）。（Bitwarden 官網 ）
  • Proton Pass：
    由 Proton 團隊開發的開源、端對端加密密碼管理工具，支援密碼與 Passkey。免費版 0 元；付費方案約月付 50–150 元視方案而定。（Proton Pass 官網）
  • Psono：
    免費開源，偏重團隊共享密碼、檔案與筆記，適合需要多人共用一組密碼的組織。免費版 0 元；團隊或進階方案請見官網。（Psono 官網 ）
  • KeePassXC：
    開源、免費，密碼資料庫存在本機，不經雲端。適合希望完全自己掌控資料、且可接受手動備份與多裝置同步的人。（KeePassXC 官網 ）
  • GNOME Secrets：
    開源、免費，GNOME 桌面環境的原生密碼管理工具，使用與 KeePass 相容的格式儲存於本機。Tails OS 已改採此工具取代 KeePassXC 作為預設密碼管理器。適合使用 GNOME 桌面環境（如 Ubuntu、Fedora）的使用者。（GNOME Secrets 官網 ）

萬一忘記主密碼，怎麼救回

密碼管理器採用「零知識（zero-knowledge）」設計：廠商沒有你的主密碼，也不能幫你重設。一旦忘記，裡面所有的密碼就拿不出來了。所以註冊完成後，第一件事就是把救援機制準備好，就像把寶箱多打一把備鑰一樣。

各家工具提供的救援方式略有不同：

  • Bitwarden：在帳號設定裡建議產生並保存 Recovery Code（救援碼），可在雙重驗證裝置遺失時用來登入。也可指定信任的人為「Emergency Contact（緊急聯絡人）」，在你長期無法登入時依設定的等待期協助接管。
  • Proton Pass：建立帳號時會給你一組 Recovery Phrase（救援短句），請另外抄寫保存；之後若忘記主密碼或遺失雙重驗證裝置，可以用它來重新設定。
  • KeePassXC、GNOME Secrets：本地型工具沒有「找回主密碼」的機制，請務必把密碼資料庫檔案多備份幾份（外接硬碟、雲端硬碟），萬一檔案毀損還能還原；但主密碼本身一定要靠自己記住。

主密碼建議用密碼短語，比較好記又夠長（例如：Yushan3Mango@Typhoon）。把它寫在一張紙上，鎖在家裡的固定位置（例如保險櫃、抽屜底層）；不要存在手機備忘錄或電腦純文字檔，否則那台裝置一旦被偷，主密碼就跟著外洩。

從瀏覽器或舊工具搬家

大部分人原本的密碼是儲存在瀏覽器裡（Chrome、Edge、Safari、Firefox），裝完密碼管理器之後可以一次匯入，不需要一個一個重打。

操作步驟：

  1. 在原本的瀏覽器或舊工具找到「匯出密碼」功能，匯出成 CSV 檔。Chrome、Edge、Safari、Firefox 與大部分密碼管理器都支援這個格式。
  2. 打開你新選的密碼管理器，找到「匯入（Import）」選項，選對應的來源格式（例如 Chrome、LastPass、Bitwarden 等）。
  3. 匯入完成後，請從原本的瀏覽器刪除已儲存的密碼，避免一份密碼存在兩個地方、之後改了一邊忘了同步另一邊。
  4. 把剛才匯出的 CSV 檔安全刪除：CSV 是純文字檔、沒有加密，留在電腦上等於把密碼明文擺著。可使用作業系統內建的「永久刪除」或檔案粉碎工具，並清空垃圾桶。

匯入後可能會看到一些重複或過期的條目，可以直接在密碼管理器裡整理刪除，不用回頭去處理瀏覽器。

用密碼健檢清出舊帳號的弱點

匯入完舊密碼之後，先別急著繼續加新帳號，建議跑一次「密碼健檢」，把過去設定不夠安全的帳號一次找出來。這是把舊帳號補強防護的最好機會。

各家工具的入口：

  • Bitwarden：左側選單「Reports」（報告），會列出弱密碼、重複使用、暴露在外洩資料庫中的帳號。
  • Proton Pass：「Pass Monitor」會列出已知外洩、弱密碼、未啟用雙重驗證的帳號。
  • KeePassXC：「Database → Database Reports」可看到密碼健康狀態與品質統計。

健檢通常會找出三類問題：

  • 弱密碼（太短、太簡單）→ 用密碼管理器內建的產生器重新產生一組強密碼。
  • 重複使用的密碼（同一組密碼用在多個帳號）→ 為每個帳號改成獨立的新密碼。
  • 已外洩的密碼（出現在公開的外洩資料庫中）→ 立刻換掉，並考慮為該帳號開啟雙重驗證。

修補時建議從最重要的帳號開始：電子郵件、銀行與金流、社群平台。一次做不完沒關係，分幾天慢慢處理，每天清理 5–10 個帳號就好。詳細的密碼設定原則請參考 設定不好破解的密碼。

雙重驗證碼放在哪裡比較安全

許多密碼管理器（如 Bitwarden 進階版、Proton Pass、KeePassXC）都能順便儲存雙重驗證碼（TOTP），登入時自動填入。功能很方便，但要不要這樣做有兩派意見：

  • 分開放比較保險（推薦給多數新手）：密碼放密碼管理器、TOTP 用獨立的 Authenticator app，例如：

    萬一密碼管理器帳號被盜，攻擊者沒有你的手機就無法登入。

  • 一起放比較方便：適合密碼管理器本身已經用硬體金鑰或夠強的雙重驗證保護的進階用戶。

不論選哪一種，請避免把密碼與 TOTP 都放在同一支沒有設定鎖屏的手機上、且共用同一個 app 解鎖。這樣等同於把所有雞蛋放在一個沒上鎖的籃子裡。

更多雙重驗證的設定方式請見 啟用雙重／多重驗證。

認識 Passkey（密碼金鑰）

Passkey（密碼金鑰） 是一種新的登入方式，用「裝置上的金鑰 + 生物辨識（指紋／Face ID）或 PIN」取代密碼。登入時手機按一下指紋就完成，不需要記憶任何字串。

跟傳統密碼比起來：

  • 不會被釣魚：金鑰只認得它原本對應的網站，假網站騙不到。
  • 廠商伺服器只存公鑰：就算服務商被駭，外洩的資料對攻擊者沒有用。
  • 不需記憶：不用再思考密碼夠不夠長、有沒有重複。

哪些地方可以用：

  • Google、Apple、Microsoft、GitHub、PayPal、部分線上銀行與大型網站已陸續支援。可在 passkeys.directory 查看最新支援清單。
  • Apple Keychain、Google Password Manager 內建支援；Bitwarden、Proton Pass、KeePassXC 也已支援儲存 Passkey。

建議做法：

  • 看到服務有提供 Passkey 就先設一個，作為主要登入方式。
  • 同一個帳號可以同時保留密碼與 Passkey：Passkey 當日常使用、密碼當備援。
  • 目前還在過渡期，不需要為了 Passkey 放棄已經設好的密碼。