Где хранить пароли от админки, FTP и домена

Пароли от домена, хостинга, админки и почты держат в менеджере паролей, а не в файле на диске и не в переписке. Бесплатный Bitwarden закрывает примерно 95 процентов задач малого бизнеса. Помнить нужно один мастер-пароль, и он должен быть длинным.

Стандартная картинка после того, как новый клиент передаёт мне доступы. Excel-файл passwords.xlsx на Яндекс Диске, в нём 23 строки: домен, хостинг, админка, FTP, почта, CRM, рекламные кабинеты, Wi-Fi в офисе. Файл лежит без шифрования, ссылка на него однажды засветилась в письме маркетологу, и теперь любой, кто этот email найдёт, заходит куда хочет.

Хранить пароли так в 2026 году нельзя. И не надо. Менеджеры паролей бесплатные, удобные и работают без сложной настройки. Разберу варианты для одного человека и для маленькой команды, в чём разница, и как переехать с Excel за один вечер.

Зачем вообще менеджер паролей

Если вы продолжаете считать, что Excel-файл с паролями нормальный вариант, прочитайте внимательно.

Хороший менеджер паролей делает три вещи, которые ни один Excel не делает:

1. Шифрует базу мастер-паролем. Без него файл с базой это бессмысленный набор байт.
2. Подставляет пароли автоматически в формы и в SSH. Не нужно копировать руками.
3. Генерирует длинные уникальные пароли. У вас не один пароль на всё, а 30 разных, и при утечке одного остальные в безопасности.

Бонусы:

• Синхронизация между устройствами без передачи в открытом виде.
• Совместный доступ для команды через шифрованные коллекции.
• 2FA-коды (TOTP) могут жить рядом с паролем.
• Безопасные заметки для произвольных секретов (API-ключи, лицензии).

Это всё бесплатно или копейки в сравнении с тем, во что обходится одна утечка из Excel.

Bitwarden: бесплатный, кроссплатформенный, рабочий

Мой основной выбор для большинства случаев. Open-source, есть бесплатный тариф со всем основным функционалом, есть платный за 10 долларов в год.

Что в бесплатном: — Безлимитное хранение паролей. — Синхронизация на всех устройствах. — Веб-расширение для всех браузеров. — Мобильные приложения iOS и Android. — Десктопные приложения Windows, macOS, Linux. — Делёжка с одним пользователем (например, с супругом).

Что в платном: — TOTP-коды прямо в записях (бесплатно есть, но мобильное приложение Authenticator работает рядом). — Безопасные заметки и файлы. — Аварийный доступ.

Что в Family-тарифе (40 долларов в год за 6 пользователей): — Команда до 6 человек с раздельными хранилищами. — Совместные коллекции для общих паролей.

Что в Business-тарифе (3-4 доллара в месяц на пользователя): — Полноценное управление командой, права, аудит. — Группы, политики паролей.

Российская оплата: с 2022 не везде проходит. Решается через посредников (CardPay), либо переходом на самостоятельный хостинг Vaultwarden (бесплатный совместимый сервер на своём VPS).

Я держу Bitwarden как хостинг основной базы, и для критичных проектов разворачиваю Vaultwarden на своём VPS.

Как начать с нуля

1. Регистрация на bitwarden.com. Email, мастер-пароль (длинная фраза, которую вы запомните, минимум 14 символов).
2. Установка расширения для вашего браузера. Логин.
3. Установка приложения на телефон. Логин.
4. Заходите в Безопасность > 2FA, включаете двухфакторку. Записываете резервные коды.
5. Импорт. Если у вас был CSV-файл с паролями, в Tools > Import data > CSV загружаете. Если из другого менеджера, в списке поддерживаемых форматов почти все.

После этого мастер-пароль это единственное, что вам нужно помнить. Всё остальное живёт в Bitwarden.

Как делиться с командой

В Family/Business тарифе создаёте организацию (не путать с личным аккаунтом), в ней коллекции типа Сайты клиента А, Хостинг, Доступы фрилансеров. Записи внутри коллекций видны участникам с правом на эту коллекцию.

Когда сотрудник уходит, удаляете его из организации. Все пароли, к которым у него был доступ, становятся подозрительными, и хорошая практика их менять. Bitwarden показывает список того, что было в его доступе, чтобы не пропустить.

KeePassXC: офлайн-первый, для параноиков

Open-source менеджер, который хранит базу как файл .kdbx на вашем диске. Никаких облаков, никаких аккаунтов, ничего за пределами вашего компьютера.

Плюсы: — Полностью бесплатный, открытый код. — Файл базы шифруется AES-256 и Argon2. — Не зависит от облачных сервисов и блокировок. — Поддерживает аппаратные ключи YubiKey для дополнительной защиты.

Минусы: — Синхронизация между устройствами своими руками: через Google Drive, Yandex.Disk, Dropbox, Syncthing, Nextcloud. Не моментально, файл может конфликтовать. — Совместный доступ команды организовывать сложнее. Файл общий, но без блокировок. — Мобильные приложения сторонние (KeePassDX на Android, Strongbox на iOS), интерфейс не одинаковый везде.

Я использую KeePassXC для очень критичных секретов, которые НЕ хочу хранить в облаке. Например, мастер-ключи для шифрования бэкапов, корневые пароли VPS. Файл .kdbx лежит на офлайн-флешке плюс копия в зашифрованной облачной папке.

Для команды не рекомендую: совместная работа с KeePassXC требует дисциплины, и регулярно ловит конфликты при одновременной правке.

1Password: красиво и платно

Коммерческий менеджер с одной из лучших UX-историй на рынке. Полноценный платный сервис, бесплатной версии нет (есть пробный месяц).

Цены: 3-5 долларов в месяц за пользователя.

Плюсы: — Очень удобный интерфейс. — Хорошая интеграция с iOS, macOS, Apple Watch. — Travel Mode (можно временно скрыть часть базы при поездке). — Watchtower (отчёты о слабых паролях, утечках).

Минусы: — Платно. — Нет открытого кода. — Из РФ оплата с трудом.

Если вы готовы платить и хотите красиво, 1Password лучше Bitwarden. Если не готовы, Bitwarden закрывает 95 процентов потребностей бесплатно.

Текстовый файл с GPG: для тех, кто любит командную строку

Минималистичный вариант: pass (passwordstore.org). Каждая запись это отдельный файл, зашифрованный через GPG. Хранится в git-репозитории.

Плюсы: — Полностью под контролем, никаких облаков. — Удобно для DevOps-сценариев (доступ к паролю прямо из shell-скрипта через pass show). — Версионирование через git. — Легко скриптовать.

Минусы: — Терминал-ориентированный, для нетехнического пользователя сложно. — Совместная работа через git, что требует дисциплины. — Мобильные клиенты есть, но не идеальные.

Я держу pass для скриптов и для своего DevOps-хозяйства. Для пользователей это перебор.

Vaultwarden: свой Bitwarden-сервер

Vaultwarden это совместимая с Bitwarden реализация, написанная на Rust. Разворачивается одним Docker-контейнером, занимает 30 МБ оперативки, бесплатно.

Кому подходит: — Если хочется все плюсы Bitwarden, но базу держать на своём сервере. — Команда из 5-50 человек, которым платный Bitwarden Business дорог. — Бизнес, для которого критично не хранить пароли в облаке третьих лиц.

Установка на VPS:

docker run -d --name vaultwarden 
  -e DOMAIN=https://vault.saitfix.ru 
  -v /opt/vaultwarden:/data 
  -p 8080:80 
  vaultwarden/server:latest

Перед контейнером nginx с SSL от Let’s Encrypt. Через час после установки клиенты Bitwarden подключаются к вашему серверу через настройку Server URL в опциях.

Преимущества: вся база у вас, не пропадёт при блокировках, обновлять можно когда удобно.

Недостатки: бэкапы и обновления на вас. Если сервер падает, все паролей нет, пока не поднимете.

Я держу Vaultwarden для клиентов, которым важна суверенность данных. Уход данных за пределы РФ не происходит, передача коллегам через шифрованные коллекции, доступ через свой домен.

Что хранить в менеджере паролей

Полный список того, что должно туда переехать с Excel:

Доступы: — Хостинг (панель + SSH + FTP + база данных). — Регистратор домена. — Почта на домене (админка + ящики ключевых сотрудников). — Админки сайтов (WordPress, Битрикс, OpenCart). — Корпоративные сервисы (Bitrix24, amoCRM, RetailCRM). — Аналитика (Метрика, GSC, Search Console). — Рекламные кабинеты (Yandex Direct, VK Ads, Telegram Ads). — Социальные сети (страницы и админки). — Мессенджеры (Telegram, WhatsApp Business).

Ключи и токены: — API-ключи (Telegram, OpenAI, AmoCRM, прочие). — SSH-ключи (приватные, в отдельных безопасных заметках). — TLS/SSL-сертификаты (если выпускаются вручную). — Лицензии (на коммерческие плагины и темы).

Финансовые: — Доступы к банковским ИП-кабинетам (с особой осторожностью). — Бухгалтерия и налоговая (СБИС, Контур). — Платежные сервисы.

Дополнительно: — Wi-Fi пароли в офисе. — Коды от роутеров и принтеров. — Резервные коды от 2FA всех важных аккаунтов.

Не храните в менеджере паролей: — ПИН-коды от банковских карт. — Ответы на секретные вопросы для банка (это отдельный фактор). — Биометрические данные.

Правила хорошего пароля

Что генерировать в менеджере:

• Длина 16-24 символа для веб-аккаунтов.
• Длина 25-40 символов для админки сайта и SSH.
• Случайные символы (заглавные, строчные, цифры, символы).
• Никогда не используется дважды.

Bitwarden и подобные сами генерируют такие пароли, нужно только подставлять.

Где паролей не хватит даже длинных: — Корневой пароль на VPS должен быть длинным плюс ssh-ключ-only-режим. — Учётка регистратора домена должна быть длинным плюс 2FA. — Аккаунт менеджера паролей сам должен быть очень длинной фразой плюс 2FA.

Это разница между параноидальной осторожностью и реальной безопасностью. На самом верху иерархии 2FA не опционально.

Мастер-пароль: ключ ко всему

Мастер-пароль это единственное, что вы помните головой. Если его забудете, хранилище потеряно. Если его украдут, всё открыто.

Правила хорошего мастер-пароля:

• Длинная фраза, не одно слово. Например: мама-мыла-раму-в-2026-году! (плохой пример, не используйте).
• Никаких личных данных (имена детей, дни рождения, клички питомцев).
• Не используется нигде больше.
• Запоминается, не записывается на бумаге у клавиатуры.

Если боитесь забыть: запишите мастер-пароль на бумаге, положите в физический сейф или в банковскую ячейку. Не в файле на ноутбуке.

В дополнение к мастер-паролю обязательно включаете 2FA на сам менеджер: TOTP (через Aegis, 2FAS) или YubiKey.

Передача паролей подрядчикам

Когда нужно дать доступ фрилансеру или агентству, не отправляйте пароли в Telegram или email открытым текстом. Это та же утечка, что Excel.

Что я использую для передачи:

Bitwarden Send (бесплатно)

Внутри Bitwarden есть функция Send: создаёте зашифрованную ссылку, которая живёт ограниченное время или ограниченное количество просмотров. Получатель открывает один раз, читает, ссылка перестаёт работать.

onetimesecret.com / privatebin.net

Бесплатные сервисы для разовой передачи секретов. Пароль шифруется на стороне клиента, на сервер приходит уже зашифрованным. Получатель открывает, секрет удаляется.

Совместная коллекция в менеджере паролей

Если подрядчик с вами надолго, заведите его в Bitwarden Business / Family и дайте доступ к коллекции с нужными паролями. Когда он уходит, доступ снимаете в одном клике, и пароли можно сменить.

Никогда: не пишите пароль в личных сообщениях. Никогда не шлите Excel с паролями по почте. Никогда не диктуйте пароли по телефону.

Чек-лист, чтобы пароли были в порядке

• Выбран и установлен менеджер паролей (Bitwarden как дефолт).
• Создан длинный мастер-пароль и записан на бумаге в безопасном месте.
• Включена 2FA на менеджер паролей.
• Все доступы из Excel перенесены в менеджер.
• Excel-файл удалён со всех устройств и из бэкапов.
• Команда подключена к общим коллекциям, по правам.
• При увольнении сотрудника есть процедура удаления и смены критичных паролей.
• Передача доступов подрядчикам идёт через шифрованные ссылки или совместные коллекции.
• Резервные коды 2FA от важных аккаунтов сохранены в отдельной заметке.
• Раз в полгода проводится аудит: кто из членов команды есть в коллекциях, какие пароли пора обновить.

Когда стоит делегировать

Базовая постановка менеджера паролей это работа на 2-4 часа: выбор инструмента, миграция из Excel, обучение команды, настройка коллекций. Если разворачивается Vaultwarden на свой VPS, добавляется 4-6 часов на серверную часть.

Эта работа входит в часовую ставку или в любой из тарифов на /#pricing. Если у вас сейчас Excel и вы понимаете, что пора менять, опишите ситуацию через /#contact. Связанные материалы про доступы, миграции и команду в /blog/category/support/, там есть статьи про передачу сайта от подрядчика и смену веб-мастера.

Частые вопросы

Где хранить пароли от сайта

В менеджере паролей. Bitwarden, KeePassXC или платный аналог, любой с нормальным шифрованием. Файл passwords.xlsx на облачном диске это не хранилище, а утечка, которая ждёт своего часа.

Какой менеджер выбрать

Bitwarden если нужен доступ с телефона и с компьютера и не хочется платить. KeePassXC если база должна лежать только у вас, без облака. Свой сервер имеет смысл, когда паролями пользуется команда.

Что класть в менеджер

Домен и регистратор, панель хостинга, FTP и SSH, админку сайта, базу данных, почту, платёжные и рекламные кабинеты. Плюс заметки, у кого ещё есть доступ и когда его выдали.

Каким должен быть мастер-пароль

Длинным и непохожим на другие: фраза из нескольких несвязанных слов. Его нигде не хранят, кроме головы, а восстановление обычно невозможно, так что запасной путь продумывают заранее.