强密码记不住、用一套密码到处跑容易泄露、记事本明文存太危险——密码管理器是现代用户的必需品。但选哪个、怎么用、自托管划不划算，这些选择影响日后多年的密码生活。这篇讲清主流方案的差异和实战建议。
为什么必须用密码管理器
不用密码管理器：
↓
记不住强密码
↓
用同一套密码到处用
↓
任何一个网站泄露 → 所有账号被攻破
↓
"撞库攻击"广泛使用真实案例：
- 2013 Adobe 1.5 亿账号泄露
- 2016 LinkedIn 1.6 亿
- 2019 Capital One 1 亿
- 2021 Facebook 5.3 亿
每年都有大型泄露。如果你在 Adobe 用的密码也用在 Gmail —— 黑客拿到 Adobe 密码 → 试 Gmail → 进了。
对策：
- 每个网站用不同的强密码
- 这些密码人脑记不住
- 必须用密码管理器
三大主流方案对比
| 维度 | Bitwarden | 1Password | KeePass |
|---|---|---|---|
| 开源 | ✓ | ✗ | ✓ |
| 免费版 | ✓ 功能强 | ✗ | ✓ 完全免费 |
| 跨平台 | ✓ | ✓ | ✓（多客户端） |
| 浏览器扩展 | ✓ | ✓ | ✓（部分客户端） |
| 云同步 | ✓（自带或自托管） | ✓（自带） | ✗（自己同步） |
| 自托管 | ✓ | ✗ | N/A（本地） |
| UI 体验 | 朴素 | 极佳 | 老旧 |
| 价格（个人） | 免费 / $10 年 | $36 年 | 免费 |
| 适合 | 性价比 / 自托管 | 体验 / 企业 | 极客 / 离线 |
Bitwarden：性价比之王
优势：
- 开源代码可审计
- 免费版功能强（无限密码、跨设备同步）
- 付费 $10/年（个人）—— 是 1Password 的 1/3-1/4
- 可自托管（社区版完全免费）
免费版包括：
- 无限密码 / 跨设备同步
- 基础 2FA（TOTP）存储（部分功能 Premium）
- 密码生成器
- 跨平台客户端 + 浏览器扩展
Premium $10/年：
- TOTP（2FA）生成
- 文件附件
- 紧急访问
- Vault 健康报告（找出弱 / 重复 / 已泄露密码）
家庭版 $40/年（6 人）：
- 共享密码库
- 共享文件夹
1Password：体验之王
优势：
- UI 业界最美
- 功能完整（Watchtower 安全监控、Travel Mode、Secrets Automation）
- 企业生态强（SSO 集成 / 团队管理 / 审计日志）
- 客户支持响应快
关键特性：
- Secret Key：除了主密码，还有一个 1Password 生成的 Secret Key —— 双重保护
- Watchtower：监控密码强度、重复、泄露
- Travel Mode：出国时临时隐藏敏感库
- 1Password X：浏览器扩展独立运行
价格：
- 个人 $2.99/月 = $36/年
- 家庭（5 人）$4.99/月 = $60/年
- 团队 $7.99/用户/月
KeePass：极客之选
优势：
- 完全开源（GPL）
- 完全免费
- 100% 本地（数据只在你的设备）
- 强加密（AES-256 / Twofish / ChaCha20）
- 插件丰富（几百个社区插件）
劣势：
- UI 老旧（Windows XP 风格）
- 同步要自己处理（Dropbox / OneDrive / Syncthing）
- 多设备体验差（不同客户端实现各异）
- 学习曲线陡
主流客户端：
- KeePass（Windows 官方）
- KeePassXC（跨平台，最受欢迎）
- KeePassium（iOS）
- KeePassDX（Android）
- KeeWeb（Web 版）
适合：
- 数据主权敏感
- 完全离线场景
- 预算 0 + 愿意折腾
- 企业内网
自托管：Vaultwarden（最受欢迎）
Vaultwarden = Bitwarden 服务端的 Rust 重写：
- Bitwarden 客户端兼容
- 资源占用极低（< 100MB RAM）
- Docker 一键部署
- 完全免费 + 开源
与官方 Bitwarden 自托管对比：
| 维度 | 官方 Bitwarden Server | Vaultwarden |
|---|---|---|
| 实现 | C# / .NET | Rust |
| 资源占用 | 4GB RAM 起 | 100MB |
| 数据库 | MS SQL Server | SQLite / MySQL / PostgreSQL |
| Premium 功能 | 需付费 license | 全部免费可用 |
| 维护 | 官方 | 社区 |
典型 Vaultwarden 部署：
# docker-compose.yml
version: '3.8'
services:
vaultwarden:
image: vaultwarden/server:latest
container_name: vaultwarden
restart: always
volumes:
- ./vw-data:/data
environment:
- DOMAIN=https://vault.example.com
- SIGNUPS_ALLOWED=false # 关闭注册
- ADMIN_TOKEN=${ADMIN_TOKEN}
ports:
- "8080:80"配套：
- Caddy / Nginx 反向代理 + HTTPS
- 定期备份到 S3 / 异地
- 监控 / 告警
成本：
- VPS 5-10 美元/月（DigitalOcean / Hetzner / Linode）
- 比 SaaS 便宜（如果你有 5 人以上）
风险：
- 服务器挂了你访问不了密码
- 必须有完善的备份策略
- 安全更新自己跟进
主密码：必须超强
强度要求：
- 至少 16 位
- 大小写 + 数字 + 特殊字符
- 不是常见词
- 不与其他账号相关
推荐：Passphrase（口令短语）：
- 4-6 个随机单词
- 例：“cherry-mountain-pencil-volcano-cloud-7”
- 比传统密码好记 + 更强（熵更高）
Diceware：
- 用骰子从词表选词
- 7776 词的标准词表
- 5 个词 = 64 bit 熵 ≈ 暴力破解需要 5800 万亿次尝试
记忆技巧：
- 写下来 + 锁保险柜
- 告诉紧急联系人（家人 / 律师）
- 多次手写练习
- 不存数字载体（不存手机 / 邮箱 / 笔记本电脑）
严重警告：
- 主密码忘了 = 所有密码丢失
- 密码管理器无法重置主密码
- 必须有备份方案
主密码备份方案
方案 A：纸质备份
↓
写下主密码（含 1Password Secret Key）
打印 Bitwarden 恢复码 / 1Password Emergency Kit
↓
锁保险柜
方案 B：紧急联系人
↓
Bitwarden Premium / 1Password 支持
↓
指定家人 / 律师为紧急联系人
↓
你失踪 / 死亡时他们等待期后可访问
方案 C：多副本
↓
纸质备份多份（家 + 律师 + 保险箱）
↓
避免单点失败从浏览器迁移
1. 选定密码管理器 + 装客户端 + 设主密码
↓
2. 浏览器导出密码（CSV）
- Chrome: 设置 → 密码 → 导出
- Edge: 类似
- Firefox: about:logins → 导出
- Safari: 设置 → 密码 → 导出
↓
3. 密码管理器导入 CSV
↓
4. 抽查几个登录验证
↓
5. 删除 CSV 文件 + 浏览器中关闭密码保存
↓
6. 安装浏览器扩展（自动填充）
↓
7. 用 Watchtower / Vault Health 找弱密码
↓
8. 逐个改强密码2FA 怎么配合
核心争议：2FA 存密码管理器 vs 单独 App？
保守派：单独存
- 防”密码管理器被攻破”
- 鸡蛋不放一篮
实用派：合并存
- 方便（自动填充密码 + 2FA）
- 主密码 + 2FA 已经双层
实际建议：
| 账号类型 | 推荐方案 |
|---|---|
| 普通账号（社交 / 论坛） | 2FA 存密码管理器（方便） |
| 银行 / 加密货币 | 单独 2FA App（更稳） |
| 主邮箱 | 单独 2FA App + 多备份 |
| 密码管理器自身 | 必须单独 2FA App |
| 工作 / 公司 | 看公司政策 |
主流 2FA App：
- Google Authenticator：简单，无云备份（丢手机就完）
- Authy：云备份（密码加密），跨设备
- Aegis（Android 开源）：本地 + 加密导出
- 1Password / Bitwarden：内置 2FA
关键：
- 永远保存恢复码（打印 + 锁保险柜）
- 2FA App 启用密码 / 生物识别保护
- 主邮箱的 2FA 必须最稳
实战清单
✅ 必做：
- 从浏览器迁移到密码管理器
- 主密码超强（16+ 位 / passphrase）
- 主密码备份纸质 + 紧急联系人
- 启用密码管理器自身的 2FA
- 定期用 Watchtower / Vault Health 检查
- 高价值账号 2FA 单独存
❌ 避免：
- 浏览器存高价值账号密码
- 用相同主密码 / 弱主密码
- 主密码不备份
- 一处 2FA 没启用
- 把密码管理器主密码 + 2FA 都放一处
- 不定期 review 密码强度
密码管理器是数字时代的必备基础设施——选好方案、设置强主密码、备份恢复方案，能保护你所有在线账号 30 年。