--- id: CP-346 slug: menedzer-hasel-firmowy-vs-przegladarka lang: pl title: Firmowy menedżer haseł czy menedżer w przeglądarce description: "Firmowy menedżer haseł a menedżer wbudowany w przeglądarkę: czym się różnią, co robi pracownik i jakich pułapek unikać." canonical_url: https://startbrain.io/cyberpedia/pl/articles/menedzer-hasel-firmowy-vs-przegladarka/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/menedzer-hasel-firmowy-vs-przegladarka.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Firmowy menedżer haseł czy menedżer w przeglądarce”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/menedzer-hasel-firmowy-vs-przegladarka/ (CC BY 4.0) wing: 5 theme: master_passwords reflex: cr-009 schema: G2 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/menedzer-hasel-firmowy-vs-przegladarka/ fr: https://startbrain.io/cyberpedia/fr/articles/gestionnaire-mots-de-passe-entreprise-vs-navigateur/ en: https://startbrain.io/cyberpedia/en/articles/enterprise-password-manager-vs-browser/ de: https://startbrain.io/cyberpedia/de/articles/unternehmens-passwortmanager-vs-browser/ es: https://startbrain.io/cyberpedia/es/articles/gestor-contrasenas-empresa-vs-navegador/ it: https://startbrain.io/cyberpedia/it/articles/gestore-password-aziendale-vs-browser/ nl: https://startbrain.io/cyberpedia/nl/articles/bedrijfswachtwoordmanager-vs-browser/ pt: https://startbrain.io/cyberpedia/pt/articles/gestor-palavras-passe-empresa-vs-navegador/ sources: - "n": 1 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 2 title: Password manager buyers guide publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide published: "2018-11-19" accessed: "2026-11-03" - "n": 3 title: "Credentials from Password Stores: Credentials from Web Browsers, Sub-technique T1555.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1555/003/ published: "2020-02-12" accessed: "2026-11-03" - "n": 4 title: Use Strong Passwords | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/use-strong-passwords accessed: "2026-11-03" - "n": 5 title: "Password policy: updating your approach" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/passwords/updating-your-approach published: "2018-11-19" accessed: "2026-11-03" - "n": 6 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" --- # Firmowy menedżer haseł czy menedżer w przeglądarce Menedżer haseł to baza danych zaszyfrowana jednym hasłem „głównym” [1]. Odpowiada na częsty problem: pracownik zarządza dziesiątkami haseł, nie tylko tych służbowych, a wiele osób używa wciąż tego samego hasła lub wybiera hasła popularne, co wykorzystują atakujący [2]. W pracy funkcjonują dwie rodziny narzędzi: menedżer, który udostępnia i administruje firma, oraz menedżer wbudowany w przeglądarkę. Na ekranie wyglądają podobnie, ale chronią w odmienny sposób, a firma nie ma nad nimi takiej samej kontroli. ## W 30 sekund - Gdzie to się zdarza: przy każdym logowaniu do narzędzia służbowego, gdy przeglądarka proponuje „Zapisz hasło”. - Czego chce atakujący: odzyskać dane logowania zapisane w przeglądarce, a następnie użyć ich w innych systemach lub kontach, by poszerzyć swój dostęp [3]. - Odruch: do haseł służbowych używać wyłącznie menedżera udostępnionego przez Brain, włączyć uwierzytelnianie dwuskładnikowe i niczego nie zapisywać w przeglądarce. - Jeśli już się stało: bez zwłoki zgłosić utratę lub kradzież urządzenia, a potem postępować zgodnie ze wskazówkami zespołu bezpieczeństwa, by zmienić odpowiednie hasła. ## Pytania wprost ### Czym jest firmowy menedżer haseł? To menedżer, którego użyciem steruje organizacja. Brytyjskie NCSC zauważa, że niektóre produkty oferują scentralizowane zarządzanie hasłami w organizacji i że rozwiązania te są zazwyczaj płatne [2]. Dane logowania są przechowywane w sejfie dostępnym po podaniu hasła głównego [2]. Administrator może ustalać zasady korzystania i widzieć ogólny obraz używania haseł [2]. ### Czym różni się od menedżera w przeglądarce? NCSC odróżnia menedżery będące samodzielną aplikacją od tych wbudowanych w przeglądarkę lub system operacyjny [2]. CISA zalicza menedżery wbudowane w przeglądarkę do menedżerów bezpłatnych [4]. Funkcje scentralizowanej administracji (kontrolowane udostępnianie, dzienniki, zasady) NCSC opisuje dla menedżerów firmowych [2]. NCSC wymienia zresztą wśród możliwych wyborów organizacji także zezwolenie pracownikom na zapisywanie haseł w przeglądarkach [2]: to więc Brain ustala zasadę, a zasada Brain brzmi: używać jego narzędzia. ### Dlaczego nie zapisywać haseł służbowych w przeglądarce? Przeglądarki zazwyczaj przechowują dane logowania w postaci zaszyfrowanej w osobnym magazynie, ale istnieją metody wydobycia z niego haseł w postaci jawnej [3]. W systemie Windows zaszyfrowane dane logowania Chrome można na przykład odczytać z pliku bazy danych, a następnie funkcja systemowa odszyfrowuje je za pomocą zapisanych w pamięci podręcznej danych logowania sesji ofiary [3]. Znane złośliwe oprogramowanie, takie jak Agent Tesla, zbiera dane logowania z wielu przeglądarek [3]. CNIL dodaje, by nigdy nie zapisywać haseł w przeglądarce komputera współdzielonego [1]. ### Czy firmowy menedżer też może zostać zaatakowany? Tak. NCSC mówi o tym wprost: menedżer może mieć luki i przyciąga atakujących, ponieważ udany atak daje dostęp do wszystkich zapisanych haseł [2]. Uważa jednak, że korzyści przeważają nad ryzykiem [2]. Hasło główne i uwierzytelnianie dwuskładnikowe chronią ten pojedynczy punkt dostępu. ### Co zrobić, gdy urządzenie zginie lub zostanie skradzione? Natychmiast zgłosić to zespołowi bezpieczeństwa. Procedura jest taka, jaką wskazuje Brain. ## Jak to działa Sejf jest zaszyfrowany. Według NCSC klucz deszyfrujący jest zazwyczaj wyprowadzany z hasła głównego i nie powinien być dostępny dla nikogo innego, nawet dla dostawcy usługi w przypadku menedżerów synchronizowanych w chmurze [2]. CNIL opisuje tę samą zasadę: baza danych zaszyfrowana jednym hasłem „głównym”, dzięki czemu wystarczy zapamiętać jedno hasło, a wszystkie pozostałe mogą być bardzo długie i różne [1]. NCSC wymienia inne przydatne funkcje: - autouzupełnianie, które podpowiada dane logowania tylko stronie, dla której zostały zapisane, i może pomagać w obronie przed phishingiem, ponieważ menedżer lepiej od człowieka wykrywa fałszywe strony [2]; - generowanie haseł losowych, długich i unikalnych [2]; - audyt jakości haseł, który sygnalizuje na przykład hasło użyte ponownie [2]. Dla firmy centralizacja dodaje udostępnianie haseł z dziennikiem dostępu i kontrolą sprawowaną przez osobę upoważnioną [2]. NCSC nie zaleca udostępniania haseł między osobami, ale przyznaje, że niektóre organizacje nie mogą jeszcze z niego zrezygnować; firmowy menedżer zmniejsza wtedy ryzyko [2]. Administratorzy nie powinni móc widzieć ani używać haseł indywidualnych poza grupą udostępniania, a ich dostęp powinien podlegać audytowi [2]. ## Co należy zrobić - Do wszystkich haseł służbowych należy używać narzędzia udostępnionego przez Brain. NCSC zaleca organizacjom zapewnienie odpowiedniego sposobu przechowywania haseł i tam, gdzie to właściwe, zaleca menedżery haseł [5]. - Należy włączyć w menedżerze uwierzytelnianie dwuskładnikowe. Dzięki niemu atakujący musi znać hasło główne i mieć drugi składnik [2]. CNIL również zaleca uwierzytelnianie dwuskładnikowe, gdy usługa je oferuje [1]. - Nie należy zapisywać w przeglądarce żadnego hasła służbowego. - Hasła niech generuje narzędzie. CISA radzi stosować hasła długie (co najmniej 16 znaków), losowe i unikalne dla każdego konta [4]. - Na hasło główne należy wybrać frazę hasłową: CISA proponuje ciąg od 4 do 7 niepowiązanych ze sobą słów [4]. - Każdą utratę urządzenia należy zgłaszać. ## Pułapki ### Słabe hasło główne Od niego zależy cały sejf. NCSC ostrzega, że jeśli użytkownik je zapomni, straci dostęp do wszystkich zapisanych haseł, a metoda odzyskiwania może zostać wykorzystana do dostępu do danych logowania [2]. Należy więc wybrać długą frazę, zapamiętaną z głowy i nigdy nie zapisaną w pliku ani na karteczce samoprzylepnej. CNIL zalicza karteczki samoprzylepne, pliki tekstowe, smartfon i pocztę elektroniczną lub komunikator do nośników nieprzeznaczonych do przechowywania haseł [1]. ### Synchronizacja z kontem osobistym Niektóre firmowe menedżery oferują osobisty sejf na konta prywatne. NCSC wymaga wtedy dobrego rozdzielenia: hasła służbowe nie mogą być dostępne z sejfu osobistego i odwrotnie [2]. Zauważa, że jeśli firma dopuszcza w pracy urządzenia osobiste lub konta osobiste, użytkownik nie zawsze widzi, z którego sejfu korzysta [2]. Przed włączeniem synchronizacji należy więc sprawdzić, czy nie miesza ona obu. ### Eksport w postaci jawnej Niektóre menedżery eksportują wszystkie hasła do pliku tekstowego. Po wyeksportowaniu, czy to przez uprawnionego użytkownika, czy przez atakującego, plik nie jest już chroniony [2]. Sejf wolno eksportować tylko wtedy, gdy zasada firmy na to pozwala, a z plikiem trzeba postępować tak, jak ta zasada wskazuje. ### Phishing imitujący stronę logowania Autouzupełnianie pomaga tutaj: menedżer podpowiada dane logowania tylko na zapisanej stronie [2]. Jeśli narzędzie nic nie podpowiada na stronie logowania, która powinna być znana, to sygnał ostrzegawczy. Nie należy przepisywać hasła ręcznie na podejrzanej stronie. ### Sejf jako cel NCSC przypomina, że menedżery, jak każde oprogramowanie zabezpieczające, nie są nieomylne i stanowią atrakcyjny cel [5]. Domaga się uwierzytelniania wieloskładnikowego we wszystkich menedżerach synchronizowanych w chmurze oraz dla kont uprzywilejowanych [2]. ## Dla dociekliwych Wersja 800-63-3 NIST, zastąpiona od 1 sierpnia 2025 r., zalecała, by usługi pozwalały na wklejanie w polach haseł [6]. CNIL opisuje menedżer jako bazę haseł zaszyfrowaną jednym hasłem „głównym”, którego bezpieczeństwo mogło zostać zweryfikowane [1]. ## Źródła 1. CNIL, „Les conseils de la CNIL pour un bon mot de passe”, 26 stycznia 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (dostęp 3 listopada 2026) 2. NCSC (Royaume-Uni), „Password manager buyers guide”, 19 listopada 2018. https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „Credentials from Password Stores: Credentials from Web Browsers, Sub-technique T1555.003 - Enterprise | MITRE ATT&CK®”, 12 lutego 2020. https://attack.mitre.org/techniques/T1555/003/ (dostęp 3 listopada 2026) 4. CISA, „Use Strong Passwords | CISA”. https://www.cisa.gov/secure-our-world/use-strong-passwords (dostęp 3 listopada 2026) 5. NCSC (Royaume-Uni), „Password policy: updating your approach”, 19 listopada 2018. https://www.ncsc.gov.uk/collection/passwords/updating-your-approach (dostęp 3 listopada 2026) 6. NIST, „NIST Special Publication 800-63B”. https://pages.nist.gov/800-63-3/sp800-63b.html (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/menedzer-hasel-firmowy-vs-przegladarka/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.