پسورد منیجر (مدیر رمز عبور) برنامه‌ای است که همهی رمزهای شما را در یک گاوصندوق رمزنگاری‌شده نگه می‌دارد. برای هر سایت رمزی طولانی و تصادفی می‌سازد و موقع ورود خودش آن را پر میکند، و شما فقط باید یک «رمز اصلی» را به خاطر بسپارید. اگر دنبال گزینه‌ی رایگان هستید، Bitwarden بهترین انتخاب برای بیشتر کاربران است. نسخهی رایگانش متن‌باز است، روی تعداد نامحدودی دستگاه کار میکند و محدودیتی در تعداد رمزها ندارد (صفحه‌ی قیمت Bitwarden). اگر هم نمی‌خواهید اطلاعاتتان روی هیچ سروری باشد، KeePassXC گزینه‌ی کاملاً آفلاین و رایگان است.
بهانه‌ی این راهنما خبر ۳۰ مهر ۱۴۰۵ (۲۲ اکتبر ۲۰۲۶) است: ۱Password قابلیتی معرفی کرد که به دستیارهای هوش مصنوعی اجازه می‌دهد بدون دیدن رمز شما وارد حسابتان شوند. ولی سؤال اصلی بیشتر کاربران ایرانی ساده‌تر است: کدام برنامه را نصب کنم و از کجا شروع کنم؟
پسورد منیجر چیست و چطور کار میکند؟
هر بار که در سایت یا اپی ثبت‌نام می‌کنید، پسورد منیجر یک رمز تصادفی می‌سازد، آن را همراه نام کاربری و آدرس سایت ذخیره میکند و دفعه‌ی بعد خودش فرم ورود را پر میکند. اپ‌های گوشی، افزونه‌های مرورگر و نسخهی دسکتاپ هم با هم همگام می‌شوند. نتیجه این است که دیگر لازم نیست یک رمز را برای اینستاگرام، ایمیل و حساب بانکی تکرار کنید.
رمزنگاری سرتاسری و رمز اصلی (Master Password)
در سرویس‌های معتبر، اطلاعات روی دستگاه خود شما رمزنگاری میشود و بعد به سرور می‌رود. کلید باز کردن این قفل از رمز اصلی شما ساخته میشود و شرکت سازنده آن را ندارد. به این مدل «دانش صفر» (Zero-knowledge) می‌گویند و Bitwarden، ۱Password و Proton Pass همگی روی آن تأکید کرده‌اند (Bitwarden، ۱Password، Proton Pass). در نتیجه حتی اگر سرور شرکت هک شود، مهاجم فقط داده‌ی رمزنگاری‌شده به دست می‌آورد. نقطه‌ی مقابلش هم این است که اگر رمز اصلی را فراموش کنید، معمولاً هیچ‌کس نمی‌تواند آن را برایتان بازیابی کند.
چرا ذخیره رمز در مرورگر یا یادداشت کافی نیست؟
نوشتن رمز در یادداشت گوشی یا فایل متنی یعنی هر کس به گوشی یا فایل دسترسی پیدا کند، همهی رمزها را یک‌جا دارد. ذخیره در مرورگر بهتر است، ولی شما را به همان مرورگر و همان حساب گوگل یا اپل وابسته میکند.
مشکل بزرگ‌تر تکرار رمز است. بیشتر هک‌های حساب اینستاگرام و تلگرام که در ایران می‌بینیم از همین‌جا شروع می‌شوند: رمزی که از نشت اطلاعات یک سایت دیگر بیرون آمده، روی حساب‌های دیگر هم امتحان میشود. سرویس Pwned Passwords نشان می‌دهد چه حجمی از رمزهای لورفته در دسترس است. این سرویس طبق اعلام خودش ماهانه بیش از ۱۸ میلیارد درخواست بررسی رمز را پاسخ می‌دهد. پسورد منیجر با ساختن رمز یکتا برای هر حساب، این زنجیره را قطع میکند.
مقایسه بهترین پسورد منیجرها در ۲۰۲۶
اطلاعات جدول از صفحه‌های رسمی هر سرویس (Bitwarden، قیمت ۱Password، Proton Pass، KeePassXC، پشتیبانی اپل و مدیر رمز گوگل) در تاریخ ۱ آبان ۱۴۰۵ برداشته شده است. ستون «دسترسی از ایران» تست مستقیم از داخل ایران نیست و غیررسمی است.
| سرویس | نسخهی رایگان | متن‌باز | پلتفرم‌ها | دسترسی از ایران |
|---|---|---|---|---|
| Bitwarden | دارد؛ رمز و دستگاه نامحدود | بله | ویندوز، مک، لینوکس، اندروید، iOS، افزونه‌ی مرورگر | غیررسمی؛ تأیید نشده |
| ۱Password | ندارد؛ فقط ۱۴ روز آزمایشی | خیر | ویندوز، مک، لینوکس، اندروید، iOS، افزونه‌ی مرورگر | غیررسمی؛ پرداخت با کارت ایرانی ممکن نیست |
| Proton Pass | دارد؛ رمز و دستگاه نامحدود | بله | ویندوز، مک، لینوکس، اندروید، iOS، افزونه‌ی مرورگر | غیررسمی؛ تأیید نشده |
| KeePassXC | کاملاً رایگان | بله (GPLv۳) | ویندوز، مک، لینوکس | آفلاین است و به اینترنت نیاز ندارد |
| مدیر رمز گوگل / Passwords اپل | رایگان و داخل اکوسیستم | خیر | کروم و اندروید / دستگاه‌های اپل و iCloud ویندوز | وابسته به حساب گوگل یا اپل؛ غیررسمی |
سرویس‌های پولی مثل ۱Password و نسخه‌های ویژه‌ی Bitwarden و Proton با کارت اعتباری بین‌المللی پرداخت می‌شوند. ۱Password در صفحه‌ی قیمت خود فقط کارت اعتباری، برداشت مستقیم از حساب بانکی آمریکا و گیفت‌کارت را ذکر کرده است. به همین دلیل، تمرکز این راهنما روی گزینه‌های رایگان و متن‌باز است.
قابلیت جدید ۱Password؛ ورود هوش مصنوعی بدون دیدن رمز
۱Password روز ۲۲ اکتبر ۲۰۲۶ از ۱Password for Agents رونمایی کرد. وقتی یک دستیار هوش مصنوعی به صفحه‌ی ورود می‌رسد، از شما اجازه می‌گیرد. پس از تأیید شما در اپ ۱Password، خود ۱Password نام کاربری و رمز را در سایت پر میکند و دستیار هیچ‌وقت رمز را نمی‌بیند (وبلاگ رسمی ۱Password). TechCrunch نوشته که در این فرایند یک کلید دیجیتال یکتا هویت دستیار را برای ۱Password تأیید میکند و کاربر برای هر تلاش ورود هشدار می‌گیرد (TechCrunch).
طبق اعلام ۱Password، این قابلیت فعلاً بدون هزینه‌ی اضافه برای حساب‌های Individual و Family در ۱Password.com در دسترس است. برخی یکپارچه‌سازی‌ها در روزهای آینده عرضه می‌شوند و برخی دیگر «به‌زودی» می‌آیند. زمان دقیق عرضه‌ی هر کدام اعلام نشده است. پیام اصلی این خبر برای همه هم کاربردی است: رمز خود را هرگز در گفت‌وگو با چت‌بات‌ها کپی نکنید.
آموزش قدم‌به‌قدم Bitwarden روی گوشی و کامپیوتر
- اپ Bitwarden را فقط از گوگل‌پلی، اپ‌استور یا سایت رسمی bitwarden.com دانلود کنید. نسخه‌های دست‌کاری‌شده‌ی سایت‌های ناشناس خطرناک‌اند، همان‌طور که در راهنمای دانلود رسمی پادویش هم توضیح داده‌ایم.
- حساب بسازید و یک رمز اصلی بلند انتخاب کنید، مثلاً عبارتی چندکلمه‌ای که فقط خودتان معنایش را می‌دانید.
- در گوشی، از تنظیمات اندروید یا iOS، Bitwarden را به‌عنوان سرویس پرکردن خودکار (Autofill) انتخاب کنید.
- روی کامپیوتر، افزونه‌ی Bitwarden را برای مرورگرتان نصب کنید و وارد همان حساب شوید.
- رمزهای ذخیره‌شده در کروم یا فایرفاکس را خروجی بگیرید، در Bitwarden درون‌ریزی کنید و فایل خروجی را بعد از کار حتماً پاک کنید.
- برای ایمیل، اینستاگرام و تلگرام رمزهای جدید و یکتا بسازید و ورود دومرحله‌ای حساب Bitwarden را هم روشن کنید.
همگام‌سازی با وجود فیلترینگ: اینکه سرورهای Bitwarden یا Proton از داخل ایران بدون فیلترشکن در دسترس باشند یا نه را تأیید نکردهایم و این موضوع غیررسمی است. برای همین، یک بکاپ آفلاین هم داشته باشید. Bitwarden خروجی رمزنگاری‌شده می‌دهد و KeePassXC اطلاعات را در یک فایل رمزنگاری‌شده‌ی آفلاین نگه می‌دارد که می‌توانید آن را روی فلش یا هر فضای ابری دلخواه بگذارید (KeePassXC).
رمز قوی طبق NIST
راهنمای تازه‌ی NIST با شناسه‌ی SP ۸۰۰-۶۳B-۴ چند باور قدیمی را کنار گذاشته است:
- طول از همه چیز مهم‌تر است. وقتی رمز تنها عامل ورود است، حداقل باید ۱۵ کاراکتر باشد و سایت‌ها باید تا ۶۴ کاراکتر را بپذیرند.
- قانون اجباری «حرف بزرگ + عدد + نماد» دیگر توصیه نمی‌شود. به‌جای آن، رمز باید با فهرست رمزهای لورفته و رایج مقایسه شود.
- تعویض دوره‌ای اجباری لازم نیست. رمز فقط وقتی باید عوض شود که نشانه‌ای از لو رفتنش وجود داشته باشد.
- سؤال امنیتی و راهنمای رمز (Hint) ممنوع است.
- سایت‌ها باید اجازه‌ی استفاده از پسورد منیجر و Paste را بدهند. NIST صریحاً نوشته که پسورد منیجرها احتمال انتخاب رمز قوی‌تر را بالا می‌برند.
تأیید دومرحله‌ای؛ لایه‌ی دوم محافظت
حتی بهترین رمز هم ممکن است در یک صفحه‌ی فیشینگ لو برود. تأیید دومرحله‌ای (۲FA) یعنی برای ورود، علاوه بر رمز به چیزی که در اختیار دارید هم نیاز باشد، مثل کد اپ احراز هویت یا کلید امنیتی. NIST یادآوری میکند که کدهای پیامکی و اپ‌های کد یک‌بارمصرف در برابر فیشینگ مقاوم نیستند. روش‌های رمزنگاری‌شده مثل پس‌کی (Passkey) و کلیدهای امنیتی FIDO۲ این مقاومت را دارند (NIST).
ترتیب پیشنهادی ما: اول ایمیل اصلی، بعد اینستاگرام و تلگرام (در تلگرام «رمز دومرحله‌ای» را از بخش Privacy and Security فعال کنید)، و بعد حساب‌های بازی و فروشگاهی. اگر حساب استیم شما قبلاً در خطر افتاده، راهنمای بازیابی امن حساب استیم را ببینید. کدهای بازیابی را هم چاپ کنید یا در KeePassXC نگه دارید.
اگر رمز ورود خود ویندوز را فراموش کرده‌اید، پسورد منیجر کمکی نمی‌کند و باید از روش‌های ریست کردن پسورد ویندوز استفاده کنید.
پاسخ به سوالات شما
پسورد منیجر هک میشود؟
هیچ نرمافزاری صددرصد امن نیست. ولی در مدل رمزنگاری سرتاسری، حتی با هک شدن سرور هم اطلاعات بدون رمز اصلی قابل خواندن نیست. خطر اصلی بدافزار روی دستگاه خود شما و رمز اصلی ضعیف است.
اگر رمز اصلی را فراموش کنم چه میشود؟
در Bitwarden، Proton Pass و KeePassXC شرکت سازنده رمز اصلی شما را ندارد و نمی‌تواند آن را بازیابی کند. رمز اصلی را روی کاغذ بنویسید و در جای امنی نگه دارید و کدهای بازیابی را هم ذخیره کنید.
نسخهی رایگان پسورد منیجر امن است؟
بله. در Bitwarden و Proton Pass، نسخهی رایگان همان رمزنگاری نسخهی پولی را دارد و پرداخت پول فقط امکاناتی مثل اپ احراز هویت داخلی یا اشتراکگذاری خانوادگی را اضافه میکند. فقط از برنامههای ناشناس و کرکشده دوری کنید.
کدام پسورد منیجر در ایران بدون فیلترشکن کار میکند؟
این موضوع را از داخل ایران تست نکردهایم و منبع رسمی هم آن را تأیید نکرده است، پس هر ادعایی دربارهاش غیررسمی است. تنها گزینهای که مطمئناً به اینترنت وابسته نیست KeePassXC است، چون کاملاً آفلاین کار میکند.
مدیر رمز گوگل کافی است؟
برای کسی که فقط از کروم و اندروید استفاده میکند، از تکرار یک رمز ساده خیلی بهتر است. ولی شما را به حساب گوگل وابسته میکند و اگر همان حساب هک یا مسدود شود، همهی رمزها در خطر میافتند. پسورد منیجر مستقل انعطاف بیشتری دارد.
دیدگاه‌ها