Чи безпечні менеджери паролів у браузері? Реальні ризики (2026)

Менеджери паролів у браузері достатньо безпечні для більшості акаунтів і набагато безпечніші, ніж один пароль на всі сайти. Chrome, Safari, Firefox і Edge шифрують збережене і підставляють пароль лише на точному домені, а це заодно зупиняє більшість фішингових сторінок. Справжня слабкість у них локальна: сховище відкривається вашим входом в операційну систему, тож шкідливе ПЗ, запущене від вашого імені, зазвичай може його прочитати. Саме цей ризик варто враховувати для основної пошти, банку й адмінських акаунтів.

Я сам користуюся обома варіантами: вбудованим менеджером браузера і Psono, окремим менеджером паролів, який можна розгорнути на власному сервері. Нижче — як я вирішую, що де зберігати.

У кого ключ

«Зашифровано» мало що означає, доки ви не знаєте, хто може розшифрувати. Три великі браузери тут відрізняються сильніше, ніж обіцяє маркетинг.

Довідка Google пише прямо: за стандартного шифрування ключ зберігає Google і розшифровує ваші паролі, коли ви їх переглядаєте або запускаєте Перевірку паролів. Шифрування на пристрої, яке вмикається окремо в Google Password Manager, переносить ключ на ваші пристрої. Після ввімкнення його не можна вимкнути, а якщо ви втратите і пароль Google, і блокування екрана на всіх пристроях, де виконано вхід, паролі зникнуть. Такий самий компроміс має будь-яка система з наскрізним шифруванням.

iCloud Keychain від Apple уже роками за замовчуванням шифрується наскрізно, а отже, Apple не зможе відновити його за вас.

Якщо ви зберігали паролі в Microsoft Authenticator, цієї можливості більше немає. У червні 2025 року Microsoft перестала зберігати в ньому нові паролі, у липні вимкнула автозаповнення, а в серпні прибрала доступ до збережених паролів. Паролі, синхронізовані з обліковим записом Microsoft, тепер у менеджері паролів Edge, тобто в тій самій категорії «відкривається входом в ОС», що й браузери вище. Passkey залишилися в Authenticator.

Firefox я б виправляв першим, якщо ви ним користуєтеся. Без основного пароля, як сказано в документації Mozilla, будь-хто з доступом до вашого комп'ютера може переглянути збережені паролі, а скопіювати два файли профілю (logins.json і key4.db) достатньо, щоб прочитати їх деінде. Основний пароль шифрує цей ключ і дає Firefox окремий запит пароля, як в окремому менеджері.

Справжня загроза — інфостілери

Сховища браузерів спустошує не криптографічна атака. Це масове шкідливе ПЗ, яке продають за підпискою: воно один раз запускається на вашій машині й вивантажує всі збережені паролі, cookies і дані автозаповнення, які знайде. Найвідоміші назви — RedLine, Lumma, Vidar і StealC.

І це стосується не лише неуважних домашніх користувачів. У звіті Microsoft за 2022 рік про угруповання Lapsus$ серед способів проникнення у великі компанії названо стілер RedLine і купівлю паролів та сесійних токенів на кримінальних форумах.

Google відповів на Windows механізмом App-Bound Encryption у Chrome 127 (2024): ключ розшифрування прив'язано до служби Chrome із системними правами, тож програма, запущена від вашого імені, не може просто попросити Windows розшифрувати його. У жовтні 2024 року BleepingComputer повідомив, що Lumma, Vidar, StealC, Meduza і Whitesnake вже мають обхід, який працює без прав адміністратора. Тож захист підняв ціну атаки на кілька тижнів, а не назавжди.

Облави теж цього не зупиняють. У травні 2025 року підрозділ Microsoft Digital Crimes Unit разом із Міністерством юстиції США, Європолом і японським JC3 вилучив або заблокував близько 2 300 доменів, на яких працював Lumma. Перед тим Microsoft за два місяці нарахувала понад 394 000 заражених комп'ютерів на Windows. А вже в липні 2025 року Trend Micro повідомила, що активність Lumma за кілька тижнів повернулася до звичного рівня. Тож виходьте з того, що стілер завжди можна буде купити.

Два застереження, щоб усе було чесно:

• Окремий менеджер не робить вас невразливими. Поки сховище відкрите, шкідливе ПЗ з вашими правами може читати його пам'ять або записати майстер-пароль, коли ви його вводите. Окремий менеджер додає інше: заблокований стан, тобто сховище в спокої, яке не прочитати без майстер-пароля, і таймер автоблокування.
• Стілери забирають і сесійні cookies, а дійсна сесійна cookie обходить і пароль, і 2FA. Жоден менеджер паролів цього не виправить. Виправить лише відсутність шкідливого ПЗ на машині.

Ваш акаунт Google або Apple тепер і є сховищем

Синхронізовані паролі браузера захищені рівно настільки, наскільки захищений акаунт, з яким вони синхронізуються. Якщо хтось захопить ваш акаунт Google, він може увійти в Chrome на своїй машині й за стандартного шифрування побачити все. Так акаунт стає єдиною точкою відмови для всіх збережених паролів.

Тому спершу захистіть цей акаунт: passkey (ключ доступу) або апаратний ключ замість SMS і актуальні способи відновлення. Перевірка Passkey покаже, чи підтримують ваш браузер і пристрій passkey, ще до того, як ви на них покладетеся. SMS-коди тут найслабший варіант через SIM-swap (перевипуск SIM-картки шахраями) і фішингові набори, які пересилають коди в реальному часі.

Менеджер у браузері чи окремий менеджер паролів

Окремі менеджери мають свій ризик: ви довіряєте компанії своє зашифроване сховище. Під час витоку LastPass у 2022 році зловмисники скопіювали резервні копії сховищ клієнтів. Паролі в них були зашифровані, а адреси сайтів ні, і сховища зі слабкими майстер-паролями або старими низькими кількостями ітерацій стали мішенню для офлайн-злому. Від злому вкраденого сховища захищає довгий випадковий майстер-пароль, найкраще парольна фраза з 6–7 слів.

Згенеровані паролі не проблема

Кожен браузер тепер пропонує згенерувати пароль, і з ними все гаразд. Генератор Chrome за замовчуванням, судячи з його вихідного коду, створює 15 символів з 56 літер і цифр (він прибирає схожі символи на кшталт l, I і O, а цифри бере з 2–9). Це приблизно 15 × log₂(56) ≈ 87 біт, і жодна офлайн-атака до цього навіть не наближається. Спецсимволи додали б біти, які нікому не потрібні.

Якщо хочете самі керувати довжиною і наборами символів, мій Генератор паролів працює повністю у вашому браузері, кожен символ бере з crypto.getRandomValues() і нікуди не надсилає згенероване. Математика того, яка довжина достатня, у статті ентропія пароля і мінімальна довжина.

Де я тримав би що

За таблицею стоїть одне правило: масштаб наслідків. Втратити акаунт на форумі неприємно. Втратити основну пошту означає втратити кожен акаунт, який надсилає туди посилання для скидання пароля.

Якщо переносите паролі з браузера, експорт — це CSV у відкритому вигляді. У Chrome він у налаштуваннях Google Password Manager, пункт «Експортувати паролі». Імпортуйте файл у новий менеджер, потім видаліть його і очистіть кошик. Після цього перевірте важливі паролі в Перевірці стійкості пароля і перегенеруйте всі короткі або повторювані. Якщо якийсь із них потрапив у витік, дійте в порядку зі статті що робити після витоку даних.

FAQ

Чи безпечні менеджери паролів у браузері у 2026 році?

Для більшості акаунтів так. Вони шифрують збережені паролі, підставляють їх лише на відповідному домені й роблять унікальні паролі справою без зусиль, а це прибирає повторне використання паролів, головну причину захоплення акаунтів. Ціна в тому, що сховище відкривається вашим входом в ОС, тож шкідливе ПЗ на комп'ютері зазвичай може його прочитати. Важливі акаунти захищайте passkey або апаратним ключем чи тримайте в окремому менеджері.

Чи можна зламати менеджер паролів Chrome?

Його шифрування не зламано, але інфостілери роками витягають паролі Chrome із заражених комп'ютерів. На Windows App-Bound Encryption у Chrome 127 ускладнив це, а стілери Lumma, Vidar і StealC отримали обхід за кілька тижнів. Інший шлях — захоплений акаунт Google, бо синхронізація робить паролі доступними на будь-якій машині, де в нього виконано вхід.

Чи бачить Google мої збережені паролі?

За стандартного шифрування ключ у Google, і компанія може розшифрувати ваші паролі, наприклад щоб показати їх вам або запустити Перевірку паролів. З увімкненим шифруванням на пристрої ключ лишається на ваших пристроях, і Google їх не прочитає. Це налаштування не можна скасувати, а втрата пароля Google разом із блокуванням екрана всіх пристроїв означає втрату збережених паролів.

Чи можна довіряти паролям, які генерує браузер?

Так. Chrome за замовчуванням генерує 15 випадкових символів із набору з 56 символів, це близько 87 біт, і інші браузери в тому ж діапазоні. Якщо сайт не приймає згенерований пароль без спецсимволу, додайте його або перегенеруйте з власними налаштуваннями: стійкість уже забезпечує довжина.