Menedżer haseł dla firmy na własnym serwerze: trzy sposoby i jak wybrać
Hasła do wspólnych kont w arkuszu to jedno z najczęstszych ryzyk w małej firmie. Menedżer haseł na własnym serwerze można uruchomić na trzy sposoby, a dla części firm rozsądniejsza pozostaje usługa w chmurze producenta.
Hasło do panelu domeny, konta bankowego czy sklepu internetowego zna w firmie zwykle kilka osób. Leży w arkuszu na wspólnym dysku, w notatkach albo w przeglądarce jednego komputera. Kiedy ktoś odchodzi, nikt nie wie, które hasła trzeba zmienić.
Menedżer haseł dla zespołu rozwiązuje ten problem: hasło wpisuje się raz, a dostęp dostają osoby i grupy, które go potrzebują. Wiele firm wybiera usługę w chmurze producenta. Poniżej opisujemy wariant, w którym sejf haseł działa na serwerze firmy.
Kiedy menedżer haseł na własnym serwerze ma sens
Usługa w chmurze producenta jest dla wielu małych firm rozsądniejsza. Producent odpowiada za dostępność, aktualizacje i kopie, a firma płaci abonament. Własny serwer ma sens, gdy:
- polityka firmy albo umowy z klientami nie pozwalają przechowywać haseł u zewnętrznego dostawcy,
- firma i tak utrzymuje własne serwery i ma kogoś, kto za nie odpowiada,
- menedżer haseł ma działać w sieci bez dostępu do internetu.
W każdym z tych przypadków firma przejmuje odpowiedzialność, którą w chmurze ma producent. Najważniejsza jest kopia zapasowa i procedura odtworzenia. Sejf haseł, którego nie da się odtworzyć, jest gorszy niż arkusz.
Passbolt, Vaultwarden i Bitwarden: trzy sposoby uruchomienia
Passbolt Community Edition
Passbolt jest menedżerem haseł zaprojektowanym dla zespołów. Wersja Community Edition jest na licencji AGPLv3, a hasła udostępnia się osobom i grupom.
Producent przenosi część funkcji do płatnej wersji Pro. Według cennika są to między innymi: synchronizacja użytkowników z LDAP i Active Directory, logowanie SSO przez Microsoft, Google i OpenID, odzyskiwanie konta oraz dziennik zmian. Brak odzyskiwania konta w wersji bezpłatnej trzeba zaplanować: pracownik, który straci klucz, może stracić dostęp do swoich haseł.
Polityka znaków towarowych Passbolt dopuszcza opisową formułę typu „niezależne wsparcie techniczne dla Passbolt”. Tak opisujemy naszą usługę.
Vaultwarden
Vaultwarden to nieoficjalny serwer zgodny z aplikacjami Bitwarden, rozwijany przez społeczność na licencji AGPLv3. README projektu mówi wprost, że nie jest on powiązany z Bitwarden, Inc.
Zaletą jest zgodność z aplikacjami klienckimi Bitwarden na komputery, telefony i przeglądarki oraz małe wymagania serwera. Ograniczeniem jest to, że za serwer odpowiada społeczność, bez wsparcia producenta aplikacji. Przy danych tak wrażliwych jak hasła firma powinna świadomie przyjąć to ryzyko i zadbać o szybkie aktualizacje.
Oficjalny serwer Bitwarden
Bitwarden można też uruchomić samodzielnie w wersji producenta. Dokumentacja Bitwarden mówi, że samo hostowanie jest bezpłatne, ale część funkcji odblokowuje plik licencji z płatnej subskrypcji. Firma kupuje wtedy plan organizacyjny i instaluje serwer u siebie.
Producent ma też lżejszy wariant instalacji. Według dokumentacji jest on przeznaczony do użytku osobistego i domowych laboratoriów. Firmy powinny korzystać ze standardowej instalacji.
Jak wybrać menedżer haseł dla zespołu
| Pytanie | Co wskazuje odpowiedź |
|---|---|
| Czy potrzebujecie logowania kontem domenowym? | W Passbolt to wersja Pro, w serwerze Bitwarden plan płatny. Koszt licencji wchodzi do porównania. |
| Kto odpowiada za serwer po stronie producenta? | Passbolt i Bitwarden mają producenta. Vaultwarden rozwija społeczność. |
| Czy pracownicy znają już aplikacje Bitwarden? | Vaultwarden i serwer Bitwarden używają tych samych aplikacji klienckich. |
| Co, jeśli ktoś zgubi hasło główne albo klucz? | Odzyskiwanie konta trzeba sprawdzić w wybranej edycji przed wdrożeniem. |
Nie ma jednej dobrej odpowiedzi dla wszystkich. Najczęściej wybieramy Passbolt dla firm, które udostępniają hasła w zespołach i nie potrzebują logowania domenowego od pierwszego dnia. Gdy logowanie domenowe jest wymagane, porównujemy koszt licencji Passbolt Pro i planu Bitwarden.
O czym nie zapomnieć przy wdrożeniu menedżera haseł
- Inwentaryzacja kont. Spis wspólnych kont, ich właścicieli i osób, które dziś znają hasła. Bez niego sejf szybko rozminie się z rzeczywistością.
- Grupy zamiast pojedynczych udostępnień. Dostęp nadawany grupom działów łatwiej odebrać po zmianach w zespole.
- Drugi składnik logowania. Dla administratorów obowiązkowo, dla użytkowników zalecany, w zakresie, jaki daje wybrana edycja.
- Kopia poza serwerem i test odtworzenia. Klucze potrzebne do odtworzenia nie mogą leżeć na tym samym serwerze co kopia.
- Usunięcie starych arkuszy. Po imporcie haseł stare pliki trzeba usunąć, także z kosza i kopii roboczych.
- Dostęp awaryjny. Kto i jak dostanie się do haseł krytycznych, gdy serwer nie działa. Procedura spisana i przechowywana poza sejfem.
Jak wdrażamy menedżer haseł w firmie
Wdrażamy menedżery haseł na serwerze, który należy do firmy klienta, z kopią poza tym serwerem i testem odtworzenia. Przed wdrożeniem pokazujemy, które funkcje są w wersji bezpłatnej, a które wymagają licencji kupowanej bezpośrednio u producenta. Opis usługi i porównanie z jednym logowaniem do aplikacji firmy są na stronie hasła i logowanie. Zasady licencji, na których działają te programy, opisujemy we wpisie o licencjach open source w firmie, a o kopiach zapasowych serwera piszemy we wpisie backup danych w firmie.
Najczęściej zadawane pytania
Czy menedżer haseł na własnym serwerze jest bezpieczniejszy niż w chmurze?
Nie automatycznie. Bezpieczeństwo zależy od aktualizacji, konfiguracji, kopii i dostępu administracyjnego. Usługa producenta w chmurze bywa bezpieczniejsza dla firmy, która nie ma kogoś odpowiedzialnego za serwer.
Czy Vaultwarden to Bitwarden?
Nie. To niezależny, nieoficjalny serwer zgodny z aplikacjami Bitwarden, niepowiązany z Bitwarden, Inc.
Co się stanie, jeśli serwer z hasłami przestanie działać?
Dlatego kopia jest poza serwerem, a procedura odtworzenia przetestowana. Dla kont krytycznych ustala się dostęp awaryjny opisany w planie odtwarzania.
Źródła
- Passbolt, Pricing (cennik i porównanie edycji), https://www.passbolt.com/pricing (dostęp 2.10.2026)
- Passbolt, Trademark guidelines, https://www.passbolt.com/credits/trademark-guidelines (dostęp 2.10.2026)
- Passbolt, Passbolt CE: LICENSE.txt, https://github.com/passbolt/passbolt_api/blob/master/LICENSE.txt (dostęp 2.10.2026)
- Vaultwarden, Repozytorium projektu (README), https://github.com/dani-garcia/vaultwarden (dostęp 2.10.2026)
- Bitwarden, Licensing for paid features (self-hosted), https://bitwarden.com/help/licensing-on-premise/ (dostęp 2.10.2026)
- Bitwarden, Install and deploy: Lite, https://bitwarden.com/help/install-and-deploy-lite/ (dostęp 2.10.2026)
- Bitwarden, Trademark guidelines, https://github.com/bitwarden/server/blob/main/TRADEMARK_GUIDELINES.md (dostęp 2.10.2026)
Stan na 2 października 2026 r.