Ranking firmowych menedżerów haseł 2026

Jeśli wpiszesz w wyszukiwarkę pytanie, który menedżer haseł jest najlepszy, dostaniesz dziesiątki rankingów, które wyglądają podobnie i polecają podobne produkty. Większość z nich zarabia na prowizji od każdego kliknięcia w link do producenta, więc trudno traktować je jako bezstronne. Postanowiliśmy zrobić własny ranking i zrobić go inaczej: oceniliśmy dziesięć menedżerów haseł według stupunktowej rubryki, w której żaden punkt nie mógł zostać przyznany bez dowodu. Za każdym punktem stoi dokumentacja producenta, oficjalny rejestr podatności, publikacja badaczy, dokument instytucji publicznej albo artykuł w prasie branżowej podpisany imieniem i nazwiskiem autora. Opinie z forów internetowych, serwisy zarabiające na prowizjach i materiały reklamowe konkurentów nie liczyły się wcale.

Zanim przejdziemy do wyników, jedno wyjaśnienie dla czytelników, którzy z tematem spotykają się po raz pierwszy. Menedżer haseł to program, który przechowuje wszystkie loginy i hasła w jednym zaszyfrowanym miejscu, nazywanym sejfem. Sejf otwiera się jednym hasłem głównym, a program sam wpisuje odpowiednie hasło na stronie banku, w systemie księgowym czy w poczcie. W wersji dla firm pozwala dodatkowo udostępniać dostępy zespołom, odbierać je pracownikom, którzy odchodzą, i prowadzić ewidencję tego, kto do czego ma dostęp. Na tym polega jego wartość dla firmy: dostępy przestają być prywatną sprawą każdego pracownika i stają się częścią firmowego majątku, którym ktoś zarządza.

W skrócie: najlepszy menedżer haseł dla firm w 2026 roku

Ranking menedżerów haseł 2026: tabela wyników

Dla każdego produktu podajemy wynik, przynależność do grupy (tier) oraz najmocniejszą stronę i największe zastrzeżenie. Szczegółowe uzasadnienia znajdziesz w kartach produktów w dalszej części artykułu.

Tier A, czyli 80 punktów i więcej, oznacza produkty, które rekomendujemy dla firm bez zastrzeżeń strukturalnych. Tier B, od 70 do 79 punktów, to produkty rekomendowane z zastrzeżeniami, które opisujemy w karcie. Tier C, od 60 do 69 punktów, obejmuje produkty do rozważenia w konkretnych scenariuszach, a tier D, poniżej 60 punktów, produkty nierekomendowane.

Jak czytać wynik rankingu

Dokument rankingu formułuje to następująco:

Z dokumentu rankingu

Różnica do 3 punktów to remis. Rubryka ma 39 podkryteriów ocenianych w skali 0 do 8; pojedyncza interpretacja przesuwa wynik o 1 do 2 punktów. Keeper, Bitwarden i Proton Pass są na tym samym poziomie; wybór między nimi zależy od profilu firmy, nie od miejsca w tabeli.

Równie ważna jest druga zasada: wynik to stan na dziś, nie wyrok. Bitwarden stracił punkty za incydenty z 2026 roku, a jednocześnie ma najlepszą w całym zestawieniu przejrzystość i najszybszą reakcję na zgłoszenia badaczy. 1Password stracił punkty za niezałataną lukę w rozszerzeniu i brak odpowiedzi na badanie naukowców, a jeśli nadrobi obie te rzeczy, wróci do tieru A.

Jest też zasada, którą w dokumencie zapisaliśmy jako „brak dowodu to nie dowód braku”. Gdy w karcie produktu czytasz, że producent nie miał incydentów, oznacza to dokładnie tyle, że nie znaleźliśmy ich w komunikatach producenta, rejestrach podatności ani prasie branżowej na dzień 13 października 2026. Nie oznacza to, że ich nigdy nie będzie.

Jak powstał ranking menedżerów haseł? Metodologia

Zasada numer jeden, cytując dokument rankingu:

Z dokumentu rankingu

Żaden punkt nie został przyznany bez źródła: dokumentacji lub komunikatu producenta, rejestru CVE, publikacji badaczy, dokumentu instytucji albo prasy branżowej z autorem. Opinie z forów, serwisów afiliacyjnych i materiałów konkurencji nie punktują.

Rejestr CVE, o którym mowa w cytacie, to międzynarodowa baza znanych luk bezpieczeństwa w oprogramowaniu. Każda publicznie potwierdzona luka dostaje tam numer, opis i ocenę powagi, dzięki czemu można ją jednoznacznie wskazać i sprawdzić, czy została naprawiona.

Źródła podzieliliśmy na trzy klasy. Do klasy A zaliczyliśmy źródła pierwotne, czyli dokumentację producenta (zawsze oznaczaną jako „według producenta”, bo deklaracja to nie fakt), wpisy w rejestrach podatności, oryginalne publikacje badaczy, raporty z audytów oraz dokumenty instytucji takich jak Komisja Europejska, francuska agencja ANSSI czy amerykański instytut NIST. Klasa B to rzetelna prasa branżowa z autorem i datą publikacji; jeśli jakiś fakt potwierdzała tylko prasa, bez źródła pierwotnego, dawał on najwyżej połowę punktów. Klasa C, czyli serwisy zarabiające na prowizjach, blogi konkurentów, fora internetowe i materiały marketingowe pełne superlatywów, nie punktowała w ogóle. Takie informacje mogły trafić co najwyżej do ramki z ciekawostkami, bez wpływu na wynik.

Przyjęliśmy też kilka zasad porządkowych. Superlatywy producenta, takie jak „najbezpieczniejszy” albo „pionierski”, nie są faktem. Jeśli dwa źródła pierwotne były ze sobą sprzeczne, na przykład producent deklarował wyższy poziom certyfikacji niż oficjalny rejestr, zapisywaliśmy oba i punktowaliśmy według rejestru. Każdą wątpliwość rozstrzygaliśmy na niekorzyść punktów, nigdy przez domysł.

Dziesięć kryteriów, sto punktów

Oceniliśmy każdy produkt w dziesięciu obszarach. Przy każdym podajemy wagę i wyjaśniamy, co się za nim kryje.

Warto przytoczyć kilka progów z pełnych skal, bo one najwięcej mówią o poziomie wymagań. W kryterium ochrony hasła głównego pełne punkty dostawał produkt, który domyślnie stosuje nowoczesny algorytm Argon2 albo starszy algorytm PBKDF2 z co najmniej 600 000 powtórzeń i jednocześnie zadbał o to, by stare konta też zostały podciągnięte do tego poziomu. Liczba powtórzeń ma znaczenie, bo każde z nich wydłuża czas, jaki przestępca musi poświęcić na sprawdzenie jednego zgadywanego hasła; przy 5 000 powtórzeń łamanie słabego hasła jest realne, przy 600 000 staje się bardzo kosztowne. W kryterium czasu reakcji na zgłoszone luki maksimum dostawał producent, który naprawia je przeciętnie w czasie krótszym niż 30 dni, jeden punkt dostawał ten, komu zajmuje to od 90 do 180 dni, a zero ten, kto potrzebuje więcej lub nie naprawia wcale. W kryterium audytów liczył się publiczny raport nie starszy niż dwa lata, co najmniej jeden niezależny audyt rocznie przez ostatnie trzy lata oraz opublikowane potwierdzenie, że wykryte błędy zostały naprawione. Raport dostępny tylko na życzenie dla klientów dostawał połowę punktów. Produkt, którego nikt nie zbadał niezależnie pod kątem odporności na przejęty serwer, dostawał ocenę neutralną z adnotacją, a nie maksimum.

Wynik końcowy jest normalizowany, co oznacza, że punkty dzielimy przez maksimum, które ma zastosowanie do danego produktu. Kryteria, które nie mają sensu dla danego modelu, wyłączamy z mianownika. Dla programu działającego wyłącznie na komputerze użytkownika, jak KeePassXC, nie ma sensu oceniać certyfikatu organizacyjnego dostawcy ani regionu przechowywania danych, bo żadnego dostawcy usługi tam nie ma. Dlatego KeePassXC ma wynik liczony z 73 punktów, a nie z 98.

Przyjęliśmy też, że jeden produkt oznacza jeden model wdrożenia. Bitwarden działający w chmurze producenta i Bitwarden zainstalowany na własnym serwerze firmy mają różne profile ryzyka, więc ranking ocenia wariant chmurowy z danymi w Unii Europejskiej, a wariant na własnym serwerze opisuje w karcie produktu.

Czego ranking nie mierzy

Mówimy o tym otwarcie. Ranking nie mierzy wygody codziennego użycia, bo to wymaga własnych testów według ustalonego protokołu, które planujemy w kolejnej edycji. Nie podaje też cen w złotówkach, bo cenniki części dostawców zmieniają się w zależności od regionu i bez zapowiedzi; podajemy ceny w dolarach lub euro z datą odczytu tam, gdzie dały się odczytać.

Co się zmieniło względem rankingu z 2025 roku

Kryterium audytów mierzy teraz także regularność i udokumentowaną naprawę błędów, a nie tylko samo istnienie raportu. Usunęliśmy kryterium innowacyjności, bo nie dało się go ocenić na faktach. Rozdzieliliśmy incydenty według modelu wdrożenia, dodaliśmy rezydencję danych, funkcje administracyjne, ciągłość działania, obsługę passkeys i język polski. Do zestawienia weszły KeePassXC i Passbolt, wypadły RoboForm, Passwordstate i Norton. Uwzględniliśmy wydarzenia z 2026 roku: badanie naukowców z ETH Zurich, incydent w Dashlane, dwa incydenty w Bitwarden, audyt Proton Pass i certyfikat KeePassXC.

Menedżer haseł dla małej firmy, dla firmy z IT, dla podmiotu objętego KSC: dopasowanie do profilu

Menedżer haseł dla małej firmy bez informatyka

W tym segmencie liczy się przede wszystkim jedno: czy pracownicy będą tego używać. Dlatego wygrywa prostota wdrożenia, polski interfejs i rozsądna cena, przy zachowaniu danych w Unii Europejskiej. Bitwarden Teams, Proton Pass Essentials i Keeper Business Starter spełniają wszystkie te warunki. Prawdziwa pułapka małej firmy leży jednak gdzie indziej. Zwykle nie ma w niej żadnego menedżera haseł, są tylko hasła zapamiętane w przeglądarce Chrome na każdym laptopie, często te same do kilku systemów, bez nikogo, kto wie, ile ich jest i kto je ma. Temu problemowi poświęcimy osobny artykuł.

Menedżer haseł dla firmy obsługiwanej przez zewnętrzną firmę informatyczną

Jeśli Twoją infrastrukturą zajmuje się zewnętrzny informatyk albo firma informatyczna, zwróć uwagę na tak zwane portale partnerskie, które mają Bitwarden, Keeper, NordPass i 1Password. Pozwalają one jednej firmie informatycznej zarządzać sejfami wielu klientów z jednego miejsca, co jest wygodne dla obu stron. Jest to zarazem ryzyko, bo kto przejmie konto takiego partnera, ten sięga do wielu firm jednocześnie. W 2026 roku w chmurze Bitwardena wykryto lukę, która pozwalała kontu partnerskiemu przejąć dowolną organizację klienta; producent naprawił ją przed publicznym ujawnieniem i nie ma dowodów, że ktoś ją wykorzystał, ale sam fakt pokazuje, gdzie jest słaby punkt. Wymagaj od swojej firmy informatycznej, by logowała się fizycznym kluczem bezpieczeństwa, i wyznacz drugiego administratora po swojej stronie, żeby nie być zależnym od jednego dostawcy usług.

Karty produktów: co ranking mówi o każdym menedżerze haseł

Dla każdego produktu podajemy wariant, który oceniliśmy, dla kogo się nadaje, gdzie zebrał najwięcej punktów i gdzie najwięcej stracił. Pełne karty ze wszystkimi źródłami znajdują się w dokumencie rankingu.

Keeper: najwyższy wynik, zamknięty kod (84 na 100, tier A)

Ocenialiśmy Keepera w wersji chmurowej z danymi w Unii Europejskiej, na serwerach Amazona między innymi w Niemczech i Irlandii. Nadaje się dla firm i instytucji, które potrzebują najszerszego zestawu funkcji administracyjnych i formalnych certyfikatów, oraz dla firm obsługiwanych przez zewnętrzne firmy informatyczne.

Keeper wygrał ranking głównie dzięki czystej historii incydentów, za którą dostał pełne 15 punktów, oraz kompletowi funkcji firmowych, za który dostał pełne 10. Ma logowanie firmowe jednym kontem, automatyczne zakładanie kont z systemów Okta, Microsoft Entra, Google i innych, ustawienia wymuszane osobno dla każdej roli w firmie, dziennik ponad 200 typów zdarzeń z 15 gotowymi integracjami z systemami monitorowania bezpieczeństwa, konsolę dla firm informatycznych i polski interfejs. Hasło główne chroni algorytm PBKDF2 z milionem powtórzeń, a dane są szyfrowane osobnym kluczem dla każdego rekordu. Ciekawym elementem jest Forcefield, specjalny sterownik dla Windows 11, który według dokumentacji producenta blokuje odczyt pamięci aplikacji Keeper i przeglądarek przez niezaufane programy, czyli broni haseł przed złośliwym oprogramowaniem działającym na tym samym komputerze.

Słabym punktem są audyty, za które Keeper dostał tylko 3 punkty z 10. Producent deklaruje testy bezpieczeństwa co kwartał przez renomowane firmy, ale raporty udostępnia wyłącznie klientom na życzenie, więc nie da się publicznie sprawdzić, czy wykryte błędy naprawiono. Kod programu jest zamknięty, czyli nikt z zewnątrz nie może go przejrzeć. Keeper nie był też objęty badaniem naukowców z ETH Zurich z 2026 roku, które sprawdzało odporność menedżerów haseł na przejęty serwer, więc w tym kryterium dostał ocenę neutralną zamiast maksymalnej. Jest wreszcie historia z 2017 roku, kiedy błąd w rozszerzeniu przeglądarki pozwalał dowolnej stronie internetowej wykradać hasła użytkowników. Producent naprawił go w ciągu doby, a następnie pozwał dziennikarza serwisu Ars Technica, który o nim napisał; sąd pozew oddalił w 2018 roku, ale dla oceny kultury firmy ten epizod nadal ma znaczenie.

Cennik jest zmienny i trzeba go sprawdzić u producenta.

Czy Bitwarden jest bezpieczny? 82 na 100 i trudny rok 2026 (tier A)

Ocenialiśmy Bitwardena w wersji chmurowej z danymi w Unii Europejskiej, którą wybiera się przy rejestracji. Bitwarden można też zainstalować na własnym serwerze; wtedy aplikacje i rozszerzenie przeglądarki są te same, więc dotyczą ich te same ryzyka, ale luka w portalu partnerskim z 2026 roku tej wersji nie obejmowała, a odpowiedzialność za serwer, aktualizacje i kopie zapasowe spada na firmę. Produkt nadaje się dla firm każdej wielkości, dla firm obsługiwanych przez zewnętrzne firmy informatyczne, dla zespołów technicznych i dla każdego, kto chce zachować możliwość przeniesienia się w przyszłości na własny serwer.

Bitwarden ma najlepszą w całym zestawieniu przejrzystość. Kod zarówno aplikacji, jak i serwera jest otwarty, co oznacza, że każdy specjalista może go przejrzeć i sprawdzić, czy robi to, co deklaruje producent. Raporty z niezależnych audytów są publikowane co roku od 2018, a w samym 2025 roku było ich dziewięć, przeprowadzonych między innymi przez firmę Cure53, naukowców z ETH Zurich i zespół Unit 42. Program nagród dla badaczy za znalezione błędy działa od 2017 roku. Bitwarden ma komplet funkcji firmowych, w tym dziennik ponad 60 typów zdarzeń z gotowymi integracjami z systemami monitorowania, bezpłatny portal dla firm informatycznych, narzędzia do masowej instalacji przez Microsoft Intune, odzyskiwanie dostępu przez administratora bez ujawniania haseł producentowi oraz dostęp awaryjny dla zaufanej osoby. Ma polski interfejs. Za ciągłość działania i funkcje administracyjne dostał po 10 punktów na 10.

Rok 2026 był dla Bitwardena trudny i to widać w punktacji. 22 kwietnia w publicznym repozytorium npm, z którego programiści pobierają komponenty oprogramowania, przez około półtorej godziny była dostępna zainfekowana wersja narzędzia Bitwardena dla administratorów. Według producenta nie miało to wpływu na sejfy użytkowników, a komunikat pojawił się tego samego dnia. 11 maja ujawniono lukę w portalu dla firm informatycznych, która pozwalała kontu partnerskiemu przejąć dowolną organizację klienta w chmurze Bitwardena; naprawiono ją przed publikacją i nie ma dowodów, że ktoś ją wykorzystał. W badaniu naukowców z ETH Zurich z lutego 2026 roku, które sprawdzało, co dzieje się z danymi klientów, gdy serwer dostawcy zostanie przejęty, Bitwarden miał najwięcej słabych punktów z czterech badanych produktów, dwanaście, z czego siedem naprawił lub naprawia, a trzy świadomie zaakceptował jako decyzje projektowe. Lukę typu clickjacking w rozszerzeniu przeglądarki, czyli technikę, w której złośliwa strona wyłudza hasło jednym pozornie niewinnym kliknięciem użytkownika, łatał około 135 dni.

Mimo tego Bitwarden pozostał w tierze A, bo w naszej rubryce szybka i otwarta reakcja na incydent liczy się niemal tak samo, jak jego brak. Jeśli jedna rzecz ma być wnioskiem z tej karty, to właśnie ta.

Cena przy płatności rocznej: plan Teams 4 dolary, plan Enterprise 6 dolarów za użytkownika miesięcznie. Dla osób prywatnych istnieje wersja darmowa oraz plany Premium za 1,65 dolara i Families za 3,99 dolara miesięcznie.

Proton Pass: europejski menedżer haseł dla firm (81 na 100, tier A)

Ocenialiśmy Proton Pass w wersji chmurowej. Dane leżą w centrach danych firmy Proton w Szwajcarii, a od grudnia 2024 roku także w Niemczech i Norwegii. Produkt nadaje się dla mniejszych firm, które cenią prywatność, europejskiego dostawcę i prostotę, a szczególnie dla firm, które już korzystają z poczty Proton.

Proton Pass nie miał żadnych incydentów. Ma publiczne audyty z 2023 roku (firma Cure53) i z pierwszych czterech miesięcy 2026 roku (firma Recurity Labs), a do tego opublikowany powtórny test, który potwierdził, że wykryte błędy zostały naprawione; za to dostał pełne punkty w kryterium remediacji. Lukę w rozszerzeniu przeglądarki załatał, zanim została publicznie ujawniona. Oferuje umowę powierzenia danych z lutego 2026 roku, dziennik zdarzeń i integrację z systemami monitorowania w planie Professional, logowanie firmowe przez Okta, Microsoft Entra i Google oraz automatyczne zakładanie kont wraz z grupami. Passkeys, czyli nowy standard logowania bez hasła, są dostępne nawet w planie darmowym. Ma polski interfejs i polską dokumentację oraz najtańszy plan firmowy w zestawieniu.

Zastrzeżenia są konkretne. Proton nie ma certyfikatu SOC 2, który potwierdza uporządkowane procesy bezpieczeństwa w organizacji, choć deklaruje certyfikat ISO 27001 dla całego pakietu usług. Kod serwera jest zamknięty, otwarte są tylko aplikacje. Audyty nie są przeprowadzane co roku. Program dla firm informatycznych jest dopiero w fazie pilotażu. Praca bez dostępu do internetu działa tylko w aplikacji na komputer i tylko w planach płatnych. Wreszcie reset hasła pracownika przez administratora nie jest opisany w dokumentacji na tyle, by wiedzieć, co dzieje się wtedy z danymi tej osoby.

Cena przy płatności rocznej: plan Essentials 1,99 dolara, plan Professional 4,49 dolara za użytkownika miesięcznie, przy minimum trzech użytkownikach.

NordPass Business: nowoczesna kryptografia, stary audyt (78 na 100, tier B)

Ocenialiśmy NordPass Business w wersji chmurowej z możliwością wyboru centrum danych w Unii Europejskiej, dostępną od października 2023 roku. Produkt nadaje się dla firm szukających prostego panelu administracyjnego i nowoczesnej kryptografii oraz dla firm obsługiwanych przez zewnętrzne firmy informatyczne.

NordPass używa najnowocześniejszego zestawu technik szyfrowania w całym zestawieniu: algorytmu Argon2id do ochrony hasła głównego i szyfru XChaCha20-Poly1305 do ochrony danych. Jako jedyny z badanych produktów nie był podatny na głośną lukę w rozszerzeniach przeglądarek, bo odpowiednią poprawkę wprowadził już w lutym 2024 roku, ponad rok przed jej odkryciem u konkurentów. Nie miał incydentów. Ma logowanie firmowe, automatyczne zakładanie kont, wymuszanie podwójnej weryfikacji osobno dla każdej roli oraz panel dla firm informatycznych. Ma certyfikat ISO 27001 od 2021 roku i SOC 2 od grudnia 2023.

Za audyty dostał jednak tylko 2 punkty z 10, bo ostatni publiczny raport pochodzi z 2021 roku. Kod jest zamknięty. Listę podwykonawców przetwarzających dane udostępnia tylko na pisemne żądanie. Dostęp do dziennika zdarzeń przez interfejs programistyczny jest wyłącznie w najdroższym planie i bez gotowych integracji z systemami monitorowania. Nie ma polskiej wersji. Logowanie firmowe nie zwalnia z wpisywania hasła głównego. Odnotowaliśmy też, że serwis Cybernews, często cytowany w recenzjach menedżerów haseł, jest pośrednio powiązany kapitałowo z Nord Security, producentem NordPassa; to dobre przypomnienie, dlaczego źródła klasy C nie punktują w naszym rankingu.

Cennik jest zmienny.

Passbolt: menedżer haseł z otwartym kodem dla zespołów (77 na 100, tier B)

Ocenialiśmy Passbolt w wersji chmurowej, która działa na serwerach Google w Belgii i Niemczech, z opcją wariantu suwerennego w Luksemburgu. Wariant Pro na własnym serwerze ma te same funkcje, ale pełną odpowiedzialność za serwer ponosi firma. Produkt nadaje się dla zespołów i firm z własnym działem IT, które chcą otwartego kodu także po stronie serwera, europejskiego dostawcy i rozbudowanego modelu ról, oraz dla podmiotów wymagających pełnej kontroli nad miejscem przechowywania danych.

Cały kod Passbolta jest otwarty, również kod serwera, co jest rzadkością. Szyfrowanie opiera się na sprawdzonym standardzie OpenPGP. Audyty firm Cure53 (2021) i Quarkslab (listopad 2025) są publiczne, w lipcu 2026 roku przeszedł audyt zgodności z RODO, a certyfikacja ANSSI jest w toku. Umowa powierzenia danych z lipca 2026 roku zawiera listę podwykonawców. Odzyskiwanie dostępu działa przez klucz odzyskiwania organizacji z ustawieniami do wyboru. Eksport danych odbywa się do zaszyfrowanego formatu KDBX, a eksport do zwykłego pliku tekstowego jest domyślnie wyłączony od wersji 5.10. Aplikacje mobilne mają polski interfejs. Wersja Community na własnym serwerze jest darmowa.

Braki są konkretne. Passbolt nie obsługuje jeszcze passkeys, czyli logowania bez hasła, choć producent zapowiada je na drugą połowę 2026 roku. Nie ma udokumentowanego trybu pracy bez internetu. Podwójna weryfikacja działa przez kody jednorazowe, starszy standard kluczy YubiKey i usługę Duo, ale nie przez nowoczesny standard FIDO2. Automatyczne zakładanie kont obejmuje tylko użytkowników, bez grup. Nie ma narzędzi dla firm informatycznych. Certyfikat SOC 2 pochodzi z 2021 roku i jest dostępny na życzenie, certyfikatu ISO 27001 brak. W listopadzie 2025 roku usługa była niedostępna przez około trzy godziny z powodu awarii u dostawcy infrastruktury Cloudflare. Dla małej firmy bez informatyka Passbolt jest za trudny.

Ceny: wersja chmurowa Business 5,40 dolara za użytkownika miesięcznie przy minimum dziesięciu użytkownikach, wariant Sovereign 8 dolarów, wariant Pro na własnym serwerze 4,90 dolara przy minimum dziesięciu, wersja Community zero.

KeePassXC: czy darmowy menedżer haseł wystarczy firmie? (74 na 100, tier B, program lokalny)

KeePassXC różni się od wszystkich pozostałych produktów w rankingu tym, że nie jest usługą. To program instalowany na komputerze, który trzyma hasła w jednym zaszyfrowanym pliku. Plik można synchronizować między urządzeniami przez własną chmurę firmową albo wcale. Nadaje się do przechowywania dostępów administracyjnych i procedur awaryjnych, dla zespołów technicznych oraz dla osób odpowiedzialnych za klucze odzyskiwania. Nie nadaje się jako menedżer haseł dla całej firmy.

KeePassXC jest jedynym produktem w rankingu z państwowym certyfikatem bezpieczeństwa. Francuska agencja cyberbezpieczeństwa ANSSI wydała go 17 listopada 2025 roku dla wersji 2.7.9 na podstawie publicznego raportu firmy Synacktiv, z ważnością do 2028 roku. Ponieważ nie ma serwera, nie ma też centralnej bazy, której wyciek dotknąłby wszystkich użytkowników jednocześnie; za historię incydentów dostał pełne punkty. Hasło główne chroni nowoczesny algorytm Argon2, format pliku można otworzyć w wielu innych programach, obsługuje passkeys od wersji 2.7.7, kody jednorazowe i klucze sprzętowe YubiKey. Kod jest otwarty. Cena wynosi zero.

Za to wszystko firma płaci w inny sposób. Nie ma odzyskiwania konta, więc zapomniane hasło oznacza stratę danych. Nie ma dziennika zdarzeń, ustawień wymuszanych dla całej firmy ani centralnego zarządzania. Aplikacje na telefony tworzą projekty zewnętrzne, nie zespół KeePassXC. W kryterium dopasowania do użytku firmowego dostał 2 punkty z 5. Jako sejf dla najważniejszych dostępów, które trzyma kilka wybranych osób, sprawdza się bardzo dobrze. Jako narzędzie dla dwudziestu pracowników działu sprzedaży nie sprawdzi się wcale.

Z podatności: lukę pozwalającą programowi z niskimi uprawnieniami na komputerze podnieść sobie uprawnienia naprawiono w wersji 2.7.12 przed publicznym ujawnieniem, a rozszerzenie przeglądarki KeePassXC-Browser łatało lukę clickjackingu około siedmiu miesięcy.

Dashlane: dobra reakcja na incydent, brak publicznych audytów (72 na 100, tier B)

Ocenialiśmy Dashlane w wersji chmurowej, w której dane firm trafiają domyślnie do Unii Europejskiej. Produkt nadaje się dla firm, które cenią logowanie firmowe w specjalnie chronionym środowisku (tak zwane confidential computing, w którym nawet operator serwera nie ma dostępu do przetwarzanych danych) oraz bogate integracje z systemami monitorowania bezpieczeństwa.

Między 31 maja a 4 czerwca 2026 roku przestępca metodą zgadywania kodów potwierdzających rejestrację nowych urządzeń skopiował zaszyfrowane sejfy mniej niż dwudziestu klientów planów indywidualnych. Dashlane opublikował komunikat następnego dnia, aktualizował go do września i dodał dodatkowe warstwy weryfikacji. Jest to wzorcowa komunikacja po incydencie, a zarazem jedyny obok LastPass przypadek w całym zestawieniu, w którym sejfy klientów rzeczywiście zostały skopiowane z infrastruktury dostawcy. Sejfy pozostały zaszyfrowane, więc ich zawartość zależy od siły haseł głównych tych klientów.

Po badaniu naukowców z ETH Zurich Dashlane usunął przestarzałe mechanizmy szyfrowania (5 listopada 2025), naprawił możliwość obniżania parametrów zabezpieczeń przez serwer, podmianę kluczy ogranicza procedurami operacyjnymi, a jeden rodzaj ataku świadomie zaakceptował. Hasło główne chroni algorytm Argon2. Lukę w rozszerzeniu przeglądarki załatał przed ujawnieniem. Ma logowanie firmowe i automatyczne zakładanie kont, integracje z systemami Splunk, Sentinel, Datadog, CrowdStrike i Panther, narzędzia do masowej instalacji oraz odzyskiwanie dostępu przez administratora bez ujawniania haseł producentowi.

Za audyty Dashlane dostał zero punktów, bo publikuje jedynie tak zwaną białą księgę opisującą architekturę, a to opis, nie niezależne badanie. Kod jest zamknięty. Nie ma polskiej wersji. Prostszy wariant logowania firmowego został wycofany dla nowych klientów od października 2025. Cennik jest zmienny.

1Password: tajny klucz i dojrzałe funkcje firmowe, zamknięty kod (71 na 100, tier B)

Ocenialiśmy 1Password w wersji chmurowej z danymi w Unii Europejskiej, dostępnej pod osobną domeną europejską. Produkt nadaje się dla firm, które cenią dodatkowy tajny klucz, dojrzałe funkcje firmowe i szeroki zestaw certyfikatów, a jednocześnie akceptują zamknięty kod.

1Password ma mocne strony. Oprócz hasła głównego każde konto chroni tak zwany Secret Key, długi losowy ciąg znaków zapisany na urządzeniu użytkownika, który sprawia, że nawet wykradziony sejf nie da się złamać samym zgadywaniem hasła. Hasło główne chroni algorytm PBKDF2 z 650 000 powtórzeń. Produkt ma logowanie firmowe z ośmioma dostawcami tożsamości, automatyczne zakładanie kont, dziennik zdarzeń z 15 integracjami z systemami monitorowania, możliwość blokowania logowania z określonych krajów i adresów oraz edycję dla firm informatycznych. Ma certyfikaty SOC 2 i ISO 27001, 27017, 27018 i 27701. Nigdy nie stracił danych klientów; incydent u jego dostawcy tożsamości Okta w 2023 roku nie dał przestępcom dostępu do danych.

Problemem jest reakcja na badaczy. Luka clickjackingu w rozszerzeniu przeglądarki, zgłoszona w kwietniu 2025 roku, pozostaje bez poprawki według stanu na 14 stycznia 2026. Producent uważa, że to wariant znanej od lat techniki, że dane pozostają zaszyfrowane, że atak może wyciągnąć najwyżej jeden element na jedno kliknięcie ofiary, i dodał opcjonalne potwierdzenia przed wypełnieniem formularza. Sześć słabych punktów znalezionych przez naukowców z ETH Zurich nie doczekało się zapowiedzi zmian. Audyty odbywają się co roku, ale raporty są dostępne tylko dla klientów, a ostatni publiczny pochodzi z 2020 roku. Nie ma polskiej wersji, mimo zgłoszenia otwartego od lat na forum społeczności.

Cena przy płatności rocznej: plan Teams Starter 24,95 dolara miesięcznie za pakiet do 10 osób (w Europie 21,95 euro), plan Business 8,99 dolara za użytkownika miesięcznie.

Enpass Business: hasła we własnym Microsoft 365 lub Google Workspace (66 na 100, tier C)

Enpass działa w modelu, którego nie ma nikt inny w zestawieniu. Zaszyfrowane sejfy pracowników leżą na firmowym koncie OneDrive, SharePoint lub Google Workspace, czyli tam, gdzie i tak leżą firmowe dokumenty, a u producenta znajduje się wyłącznie konsola administracyjna, na serwerach Amazona w Irlandii. Produkt nadaje się dla firm, które chcą mieć pewność, że ich hasła nigdy nie opuszczą własnego środowiska Microsoft lub Google.

Ten model jest dla części firm bardzo atrakcyjny. Tożsamość pracowników idzie przez konto Microsoft 365 lub Google, konta zakładają się automatycznie z Microsoft Entra, dziennik zdarzeń z 90 dni ma integracje z systemami monitorowania, interfejs jest po polsku, a producent ma certyfikaty ISO 27001 i SOC 2. Nie miał incydentów. Dla osób prywatnych oferuje licencję wieczystą, bez abonamentu.

Powody, dla których Enpass trafił do tieru C, są następujące. Hasło główne chroni algorytm PBKDF2 z 320 000 powtórzeń, czyli poniżej progu 600 000, który przyjęliśmy w rubryce. Nie ma obsługi kluczy sprzętowych w standardzie FIDO2 i nie da się wymusić podwójnej weryfikacji na wszystkich pracownikach. Zgłoszenia o lukach przyjmuje przez zwykły formularz kontaktowy, bez programu nagród i bez gwarancji dla badaczy, że nie zostaną pozwani. Ostatni audyt odbył się w 2023 roku i nie ma publicznego raportu. Lukę w rozszerzeniu przeglądarki łatał około czterech miesięcy. Spółka należy do grupy z Indii, a podstawa prawna przekazywania danych poza Europę nie jest opisana.

Cena: plan Business 1,99 dolara za użytkownika miesięcznie przy płatności rocznej; dla osób prywatnych licencja wieczysta 99,99 dolara.

Czy warto używać LastPass w 2026 roku? (52 na 100, tier D)

Ocenialiśmy LastPass Business w wersji chmurowej z europejskim regionem danych. Dla kogo się nadaje? Dla obecnych klientów, którzy po 2022 roku zmienili wszystkie hasła i konsekwentnie wymuszają ustawienia bezpieczeństwa. Dla nowych wdrożeń go nie polecamy.

Pod względem funkcji LastPass Business jest bogaty: ponad 100 ustawień wymuszanych dla całej firmy, logowanie firmowe przez wszystkie popularne systemy, automatyczne zakładanie kont, raporty do systemów Splunk i Sentinel, konsola dla firm informatycznych, logowanie kluczem sprzętowym bez hasła, passkeys od sierpnia 2025. Gdyby ranking mierzył wyłącznie funkcje, LastPass byłby w czołówce.

Ranking mierzy jednak przede wszystkim to, co stało się z danymi klientów, i tu historia LastPass jest najgorsza w zestawieniu. Między sierpniem a grudniem 2022 roku przestępcy najpierw przejęli komputer programisty, a następnie, wykorzystując zdobyte w ten sposób dane, dostali się do kopii zapasowych firmy w chmurze. W kopiach znajdowały się zaszyfrowane sejfy wszystkich klientów, czyli ponad 33 milionów użytkowników, a wraz z nimi niezaszyfrowane adresy stron, do których klienci mieli hasła, oraz baza danych służących do podwójnej weryfikacji. Zaszyfrowane sejfy można próbować łamać, zgadując hasło główne, a stare konta LastPass miały zabezpieczenie w postaci tylko 5 000 powtórzeń algorytmu, co czyni łamanie słabszych haseł realnym. Firma potrzebowała czterech miesięcy, by ujawnić pełną skalę włamania. W marcu 2025 roku amerykańskie służby Secret Service i FBI powiązały z tym incydentem kradzież kryptowalut o wartości 150 milionów dolarów, czemu LastPass zaprzecza.

To nie koniec. W styczniu i lutym 2026 roku klientów LastPass atakowała kampania phishingowa, czyli fałszywe wiadomości z podszywających się domen, straszące koniecznością pobrania „kopii zapasowej sejfu w 24 godziny”. W czerwcu 2026 roku u partnera firmy, Klue, wyciekły dane klientów i treść zgłoszeń do działu wsparcia. Luka clickjackingu w rozszerzeniu przeglądarki pozostaje bez poprawki. Z siedmiu słabych punktów znalezionych przez naukowców z ETH Zurich firma wzmocniła tylko część. Za audyty dostała zero punktów, bo publicznych raportów nie ma. Do tego wycofała wsparcie dla siedmiu języków.

Jeśli Twoja firma używała LastPass w 2022 roku i nie zmieniła od tego czasu wszystkich haseł, zacznij od tego dzisiaj, niezależnie od tego, jaki menedżer wybierzesz na przyszłość.

Darmowy menedżer haseł dla firmy: co jest możliwe

Najlepszym darmowym menedżerem haseł w naszym rankingu jest KeePassXC, z całym opisanym wyżej zastrzeżeniem o braku centralnego zarządzania. Pozostałe darmowe opcje z zestawienia wyglądają następująco. Bitwarden w wersji darmowej dla osób prywatnych ma pełną funkcjonalność podstawową i bezpłatną obsługę kluczy sprzętowych w podwójnej weryfikacji, ale nie ma funkcji dla organizacji; plan Teams kosztuje 4 dolary za użytkownika miesięcznie. Proton Pass w wersji darmowej obsługuje passkeys, a funkcje firmowe zaczynają się od planu Essentials za 1,99 dolara. Passbolt Community jest w pełni darmowy, działa na własnym serwerze z otwartym kodem, ale wymaga własnego administratora. Vaultwarden to nieoficjalna, tworzona przez społeczność wersja serwera zgodna z aplikacjami Bitwardena, bez audytu i bez wsparcia producenta; jest tanim rozwiązaniem dla zespołów z własnym IT, w którym serwerem, któremu trzeba ufać, jest własny serwer.

Darmowy menedżer haseł dla całej firmy bez własnego administratora nie istnieje. Koszt licencji, od 2 do 6 dolarów za osobę miesięcznie, jest zwykle najmniejszą pozycją w całym przedsięwzięciu, bo większe są wdrożenie, szkolenie pracowników i utrzymanie dyscypliny.

Ile kosztuje menedżer haseł dla firmy? Ceny 2026

Cen w złotówkach nie podajemy celowo, bo cenniki części dostawców zależą od regionu i zmieniają się bez zapowiedzi.

Który menedżer haseł ma polski interfejs?

Polski interfejs mają Bitwarden, Keeper, Proton Pass (również dokumentacja po polsku), Enpass oraz Passbolt w aplikacjach mobilnych. Nie mają go 1Password, u którego zgłoszenie społeczności czeka od lat, NordPass, Dashlane i LastPass, który dodatkowo wycofał wsparcie dla siedmiu języków. W naszej rubryce język polski to tylko jeden punkt, ale we wdrożeniu w firmie, w której nie każdy pracownik swobodnie czyta po angielsku, bywa to różnica między narzędziem używanym a omijanym.

Żaden menedżer haseł nie zabezpieczy dostępów sam

To wniosek, dla którego ten ranking w ogóle powstał. Każdy z ocenianych produktów może być właściwym wyborem w jakiejś sytuacji i żaden z nich nie zabezpiecza dostępów w firmie samodzielnie. KeePassXC jest dobrym narzędziem rozproszonym, ale dyscyplinę procesową musi zapewnić firma. Bitwarden ma portal dla firm informatycznych, dane w Europie i możliwość przeniesienia na własny serwer, a jednocześnie jego rozszerzenie i chmura były w 2026 roku celem ataków. Proton Pass to spójny ekosystem hostowany w Europie, ale młodszy pod względem funkcji administracyjnych. Keeper i 1Password dają najszersze funkcje zgodności za cenę zamkniętego kodu, a u 1Password także niezałatanej luki w rozszerzeniu.

Dojrzała praktyka polega na tym, by nie trzymać wszystkiego w jednym sejfie, lecz rozdzielić role między narzędziami.

Zasada porządkująca brzmi: narzędzie A nie może odtworzyć dostępu do narzędzia B bez udziału człowieka i drugiego składnika weryfikacji. Menedżer haseł staje się najcenniejszym zasobem w firmie, więc jego samego trzeba chronić: mocnym hasłem głównym, fizycznym kluczem bezpieczeństwa, automatyczną blokadą, kopiami zapasowymi, procedurą na odejście administratora i sprawdzaniem pochodzenia instalowanych pakietów.

Najczęstsze pytania o menedżery haseł (FAQ)

Co dalej: aktualizacja rankingu i Analiza Dostępów

Przegląd incydentów u dostawców przeprowadzimy do 13 stycznia 2027 roku, a pełną rewizję ocen do 13 października 2027 roku. W kolejnej edycji planujemy własne testy wygody użycia według ustalonego protokołu, bo to jedyna rzecz, której ten ranking świadomie nie mierzy.

Jeśli po przeczytaniu masz poczucie, że w Twojej firmie pytanie „a kto ma do tego loginy?” nie ma jednej odpowiedzi, menedżer haseł jest Ci potrzebny, ale jego wybór jest dopiero drugim krokiem. Pierwszym jest ustalenie, jakie dostępy firma w ogóle ma i kto je trzyma. Tym zajmujemy się w Analizie Dostępów: przeglądamy, kto ma dostęp do czego, gdzie leżą hasła, co się dzieje przy odejściu pracownika, i dopiero na tej podstawie dobieramy narzędzie z tego rankingu.

Umów rozmowę o Analizie Dostępów

Źródła

Wszystkie źródła pobraliśmy i przeczytaliśmy 13 października 2026 roku. Pełny wykaz 240 pozycji znajduje się w dokumencie rankingu; niżej te, do których ten artykuł odwołuje się bezpośrednio.

Badania i podatności:

• Scarlata, Torrisi, Backendal, Paterson, „Zero Knowledge (About) Encryption”, IACR ePrint 2026/058: https://eprint.iacr.org/2026/058
• Marek Tóth, DOM-based Extension Clickjacking (aktualizacja 14.01.2026): https://marektoth.com/blog/dom-based-extension-clickjacking/
• BleepingComputer, 20.08.2025, o clickjackingu w menedżerach haseł: https://www.bleepingcomputer.com/news/security/major-password-managers-can-leak-logins-in-clickjacking-attacks/
• NVD CVE-2026-42994 (narzędzie Bitwarden dla administratorów): https://nvd.nist.gov/vuln/detail/CVE-2026-42994
• NVD CVE-2026-43639 (portal partnerski Bitwarden): https://nvd.nist.gov/vuln/detail/CVE-2026-43639
• NVD CVE-2024-42219 (1Password na macOS): https://nvd.nist.gov/vuln/detail/CVE-2024-42219
• NVD CVE-2023-32784 (KeePass): https://nvd.nist.gov/vuln/detail/CVE-2023-32784
• CVE-2026-4158 (KeePassXC): https://cvefeed.io/vuln/detail/CVE-2026-4158

Komunikaty producentów po incydentach:

• Bitwarden, oświadczenie o incydencie w repozytorium npm, 22.04.2026: https://community.bitwarden.com/t/bitwarden-statement-on-checkmarx-supply-chain-incident/96127
• Bitwarden, o audycie kryptografii przez ETH Zurich, 16.02.2026: https://bitwarden.com/blog/security-through-transparency-eth-zurich-audits-bitwarden-cryptography/
• Dashlane, komunikat bezpieczeństwa (1.06.2026, aktualizacje 4.06 i 3.09): https://support.dashlane.com/hc/en-us/articles/36038764990866-Security-advisory-Brute-force-attack-on-Dashlane-user-accounts
• Dashlane, o modelu złośliwego serwera, 16.02.2026: https://www.dashlane.com/blog/zero-knowledge-malicious-server
• LastPass, Security Incident Update, 1.03.2023: https://blog.lastpass.com/posts/security-incident-update-recommended-actions
• LastPass, o wzmocnieniach po badaniu ETH Zurich, 16.02.2026: https://blog.lastpass.com/posts/details-on-hardening-in-response-to-eth-zurich-reported-security-issues
• LastPass, o kampanii phishingowej 2026: https://blog.lastpass.com/posts/january-2026-phishing-campaign-targeting-lastpass-customers-feb-update
• 1Password, o incydencie Okta, 23.10.2023: https://1password.com/blog/okta-incident
• Keeper, komunikat o badaniu ETH Zurich, 16.02.2026: https://docs.keeper.io/en/release-notes/keeper-security/security-advisories/eth-zurich-password-manager-research
• Krebs on Security, 7.03.2025, o powiązaniu kradzieży 150 mln dolarów z LastPass: https://krebsonsecurity.com/2025/03/feds-link-150m-cyberheist-to-2022-lastpass-hacks/
• TechCrunch, 23.06.2026, o wycieku u partnera LastPass: https://techcrunch.com/2026/06/23/password-manager-maker-lastpass-says-hackers-stole-customer-support-case-data-during-klue-breach/
• TechCrunch, 4.08.2021, o Passwordstate: https://techcrunch.com/2021/08/04/passwordstate-supply-chain-attack/

Audyty, certyfikaty, dokumentacja:

• Bitwarden, Is Bitwarden audited?: https://bitwarden.com/help/is-bitwarden-audited/
• Proton, audyt Proton Pass 2026, 12.05.2026: https://proton.me/business/blog/proton-pass-audit-2026
• KeePassXC, Security audits (certyfikat ANSSI CSPN): https://keepassxc.org/audits/
• Passbolt, Security: https://www.passbolt.com/security
• Keeper, Security: https://www.keepersecurity.com/security.html
• Keeper, Keeper Forcefield: https://docs.keeper.io/en/enterprise-guide/keeper-forcefield
• NordPass, audyt Cure53: https://nordpass.com/blog/nordpass-business-independent-security-audit/
• 1Password, Security assessments: https://support.1password.com/security-assessments/
• Enpass, Security: https://www.enpass.io/security/
• Bitwarden, Server geographies: https://bitwarden.com/help/server-geographies/
• Bitwarden, Providers FAQs: https://bitwarden.com/help/providers-faqs/
• Bitwarden, KDF algorithms: https://bitwarden.com/help/kdf-algorithms/

Przeglądarki i narzędzia wbudowane:

• Google Security Blog, 30.07.2024, App-Bound Encryption: https://security.googleblog.com/2024/07/improving-security-of-chrome-cookies-on.html
• Microsoft Learn, PrimaryPasswordSetting: https://learn.microsoft.com/en-us/deployedge/microsoft-edge-policies/primarypasswordsetting
• Google, On-device encryption: https://support.google.com/accounts/answer/11350823

Prawo:

• Sadkowski i Wspólnicy, 7.04.2026, nowe ramy prawne cyberbezpieczeństwa (KSC/NIS2): https://sadkowskiiwspolnicy.pl/nowe-ramy-prawne-w-zakresie-cyberbezpieczenstwa/

Cenniki (stan 13.10.2026): Bitwarden https://bitwarden.com/pricing/ ; Proton Pass dla firm https://proton.me/business/pass/pricing ; 1Password https://1password.com/business-pricing ; Passbolt https://www.passbolt.com/pricing/cloud ; Enpass https://www.enpass.io/pricing/