איזה מנהל סיסמאות לבחור? אם כל המכשירים שלכם באותה סביבה, המנהל המובנה שלה מספיק לרוב האנשים: מחזיק מפתחות של אפל לאייפון ולמק, או מנהל הסיסמאות של גוגל לאנדרואיד ולכרום. אם יש לכם מכשירים מכמה עולמות, או שאתם רוצים תכונות מתקדמות ושיתוף במשפחה, בחרו מנהל ייעודי כמו Bitwarden או 1Password. מי שרוצה שליטה מלאה ובלי ענן יכול להשתמש ב-KeePass.
מה זה מנהל סיסמאות ולמה הוא נחוץ?
מנהל סיסמאות הוא כספת דיגיטלית מוצפנת שמחזיקה את שמות המשתמש והסיסמאות שלכם. הוא ננעל בסיסמה ראשית אחת שאתם זוכרים, ויודע ליצור סיסמאות אקראיות וארוכות, לשמור אותן ולמלא אותן אוטומטית באתר או באפליקציה הנכונים.
הבעיה שהוא פותר היא פשוטה. לכל אחד מאיתנו יש עשרות ואולי מאות חשבונות. אי אפשר לזכור מאה סיסמאות שונות וחזקות, ולכן אנשים בוחרים סיסמה אחת או כמה וריאציות שלה ומשתמשים בהן בכל מקום. כשאחד האתרים נפרץ, התוקפים מנסים את אותו שם משתמש ואותה סיסמה בשירותים אחרים. זה נקרא Credential Stuffing, והוא הסיבה שסיסמה חוזרת היא אחד הסיכונים הגדולים בחשבונות אישיים.
מנהל סיסמאות הופך את הבחירה הנכונה לקלה. סיסמה ייחודית לכל אתר הופכת לברירת מחדל, ודליפה באתר אחד נשארת באתר הזה. על מה שמגדיר סיסמה חזקה אפשר לקרוא במדריך איך יוצרים סיסמה חזקה ומה השתנה בהמלצות. בנוסף, מנהלים מסוימים בודקים אם הסיסמאות ששמרתם הופיעו בדליפות ידועות או חוזרות על עצמן, ומתריעים על כך.
האם מנהל סיסמאות בטוח?
באופן כללי, כן, ובפער ניכר לעומת שימוש באותה סיסמה בכל מקום או רישום סיסמאות בפתק או בקובץ. מנהלים רציניים מצפינים את הכספת במכשיר שלכם לפני שהיא נשלחת לענן, כך שהחברה עצמה אינה אמורה לראות את הסיסמאות. עם זאת, הם לא חסינים. מקרה ידוע הוא הפריצה לשירות LastPass ב-2022, שבה נגנבו נתוני גיבוי של לקוחות, כולל כספות מוצפנות. הלקח הוא שכספת שנגנבה מוגנת רק בהצפנה ובסיסמה הראשית שלכם, ולכן הסיסמה הזאת חייבת להיות חזקה במיוחד.
המסקנה אינה “אל תשתמשו במנהל”, אלא לבחור שירות עם הצפנה בצד המשתמש, סיסמה ראשית ארוכה וייחודית, ואימות דו-שלבי. בכל מקרה, הסיכון בשימוש חוזר בסיסמאות גדול יותר מהסיכון בפריצה למנהל סיסמאות מוצפן.
אילו סוגי מנהלי סיסמאות יש?
יש שלוש קבוצות, וההבדלים ביניהן משפיעים על הנוחות, העלות ורמת השליטה.
מנהל מובנה בדפדפן או במערכת
זה המנהל שכבר נמצא אצלכם: מנהל הסיסמאות של Chrome וגוגל, מחזיק מפתחות של אפל ואפליקציית הסיסמאות שלה, ומנהל הסיסמאות של Edge. הם חינמיים, מתחברים לחשבון שלכם ופועלים בלי התקנה נוספת. החיסרון הוא תלות בסביבה אחת. מנהל של אפל נוח באייפון ובמק, וקצת פחות ביתר המכשירים. מנהל של גוגל נוח באנדרואיד ובכרום, וקצת פחות בשאר.
מנהל ייעודי בענן
אלה שירותים כמו Bitwarden, 1Password, Dashlane ו-Proton Pass. הם עובדים בכל מערכת הפעלה ובכל דפדפן, ומציעים תכונות כמו שיתוף משפחתי, הערות מוצפנות, שמירת כרטיסי אשראי ומסמכים, ויצירת קודי אימות. חלקם חינמיים עם הגבלות, וחלקם בתשלום. מחירים ותנאים משתנים, ולכן בדקו באתר של השירות לפני שמחליטים.
מנהל מקומי בקובץ
KeePass וגרסאות דומות שומרים את הכספת בקובץ במכשיר שלכם, בלי ענן. יש שליטה מלאה ואין תלות בחברה, אבל כל הסנכרון בין מכשירים והגיבוי הם באחריותכם. זה מתאים למי שנוח לו עם טכנולוגיה ורוצה לשלוט בכל פרט.
מה ההבדל בין מנהל מובנה, Bitwarden, 1Password ו-KeePass?
ההבדל המעשי הוא בין נוחות, תמיכה בכמה פלטפורמות ושליטה. הטבלה מסכמת תכונות כלליות, בלי מחירים, שמשתנים עם הזמן.
| קריטריון | מובנה (גוגל / אפל) | Bitwarden | 1Password | KeePass |
|---|---|---|---|---|
| התקנה | מובנה במכשיר | אפליקציה והרחבה | אפליקציה והרחבה | תוכנה, לפי מערכת |
| עובד בכל הפלטפורמות | מוגבל לסביבה | כן | כן | כן, דרך תוכנות תואמות |
| קוד פתוח | לא | כן | לא | כן |
| סנכרון בין מכשירים | אוטומטי בחשבון | אוטומטי בענן | אוטומטי בענן | ידני או בשירות אחסון |
| שיתוף משפחתי | חלקי, תלוי שירות | כן, בתוכניות מתאימות | כן, בתוכניות משפחה | לא מובנה |
| ממשק למתחילים | פשוט מאוד | טוב | מלוטש | טכני יותר |
| מי אחראי על הגיבוי | החברה | החברה | החברה | אתם |
| רמת השליטה שלכם | נמוכה | בינונית עד גבוהה | בינונית | גבוהה מאוד |
את הנתונים בטבלה כדאי לבדוק מול האתר הרשמי של כל שירות, כי תכונות ותוכניות משתנות בין גרסאות.
שאלו שתי שאלות: האם כל המכשירים שלכם מאותו עולם, והאם אתם מוכנים לשלם או להשקיע זמן בהגדרה. אם כן וכן, מנהל מובנה מספיק. אם לא, בחרו ייעודי.
למי מתאים כל מנהל?
התאמה לפי מצב היא הדרך המעשית לבחור. הנה כמה פרופילים נפוצים.
- משתמש יחיד עם אייפון ומק: המנהל של אפל נוח ומשולב. הוא ממלא סיסמאות אוטומטית בספארי ובאפליקציות, והסנכרון מתבצע דרך החשבון.
- משתמש יחיד עם אנדרואיד וכרום: מנהל הסיסמאות של גוגל ממלא סיסמאות אוטומטית בכרום ובאנדרואיד, ואפשר לראות את הסיסמאות החלשות או החוזרות.
- סביבה מעורבת: אייפון בבית ומחשב Windows בעבודה, או להפך. מנהל ייעודי חוצה פלטפורמות חוסך תסכול.
- משפחה: מנהל ייעודי עם תוכנית משפחה מאפשר כספת משותפת, למשל לחשבון נטפליקס או לתשלומי חשמל, וכספת אישית לכל אחד.
- מי שמתעניין בקוד פתוח: Bitwarden פתוח לבדיקה של הקהילה, ו-KeePass פתוח וגם מקומי.
- עסק קטן: מנהל עם ניהול משתמשים מאפשר להעביר גישה לעובד חדש ולבטל אותה בעזיבה בלי להחליף סיסמאות בכל מקום.
איך מתחילים להשתמש במנהל סיסמאות בלי כאב ראש?
המעבר לא חייב להיות בבת אחת. הדרך הנכונה היא הדרגתית ומתחילה בחשבונות החשובים. אלה השלבים:
- בוחרים מנהל ומתקינים אותו במכשיר הראשי, ואחר כך בשאר המכשירים.
- יוצרים סיסמה ראשית ארוכה. משפט של ארבע או חמש מילים אקראיות קל יותר לזכור וקשה יותר לנחש מסיסמה קצרה עם סימנים. אל תשתמשו בה בשום מקום אחר.
- מפעילים אימות דו-שלבי על חשבון המנהל, לפי המדריך לאימות דו-שלבי. אם המנהל מציע קודי שחזור, שמרו אותם בנפרד ובמקום בטוח.
- מייבאים סיסמאות קיימות מהדפדפן או ממנהל קודם. רוב השירותים תומכים בייבוא מקובץ. מחקו את קובץ הייבוא מיד אחרי, כי הוא לא מוצפן.
- מחליפים קודם את הסיסמאות החשובות: מייל, בנקאות, רשתות חברתיות וענן. תנו למנהל ליצור סיסמה אקראית וארוכה לכל אחד.
- ממשיכים בהדרגה. בכל פעם שנכנסים לאתר ישן, מחליפים סיסמה ומאפשרים למנהל לשמור אותה.
מה לא כדאי לשמור במנהל?
אפשר לשמור סיסמאות, כרטיסי אשראי והערות. מסמכים רגישים במיוחד, כמו סריקות דרכון, עדיף להחזיק בכספת ייעודית עם הצפנה, או לא לשמור אותם בענן בכלל. ושימו לב שגם כל מה שנכנס לכספת צריך גיבוי, לפי כלל הגיבוי 3-2-1.
אילו קריטריונים כדאי לבדוק לפני שבוחרים מנהל?
כשמשווים בין שירותים, כדאי להסתכל על מה שבאמת משפיע על היומיום ועל הבטיחות, ולא על רשימת תכונות ארוכה. אלה הקריטריונים שחשוב לבדוק:
- הצפנה בצד המשתמש. השירות צריך להסביר באתר שלו שהכספת מוצפנת במכשיר, ושהחברה אינה יכולה לקרוא אותה.
- אימות דו-שלבי לחשבון המנהל. חפשו תמיכה באפליקציית אימות או במפתח אבטחה, ולא רק בקוד בהודעה.
- תמיכה בכל המכשירים שלכם. בדקו שיש אפליקציה לטלפון, הרחבה לדפדפן שבו אתם משתמשים וגישה ממחשב אחר.
- שחזור גישה. מה קורה אם איבדתם את הטלפון או שכחתם את הסיסמה? שירות טוב מסביר זאת בבירור.
- ביקורת אבטחה ושקיפות. שירותים מסוימים מפרסמים בדיקות אבטחה חיצוניות ומודים בתקלות כשהן קורות. תנו לזה משקל.
- ייצוא נתונים. כדאי שתוכלו להוציא את הסיסמאות שלכם בקובץ, כדי לא להיתקע בשירות אחד.
- מחיר ותנאים. בדקו באתר הרשמי מה כלול בחינם ומה בתשלום, וחדשו את הבדיקה מדי פעם, כי תנאים משתנים.
- תמיכה בעברית. הממשק ברוב השירותים באנגלית, ולכן כדאי לבדוק שהמילוי האוטומטי עובד טוב באתרים ישראליים שאתם משתמשים בהם, כמו בנקים ושירותי ממשלה.
הנקודה האחרונה שווה בדיקה מעשית. רוב המנהלים מציעים תקופת ניסיון או גרסה חינמית, ואפשר להתקין ולבדוק על שלושה אתרים שלכם לפני שמעבירים את כל הסיסמאות.
מה עושים כשסיסמה דלפה או שהחשבון נפרץ?
מנהל סיסמאות הופך את התגובה לדליפה לקלה יותר, כי הכול במקום אחד. אם קיבלתם הודעה על דליפה, או שאתם חושדים שחשבון נפרץ, פעלו בסדר הזה:
- נכנסים לאתר ישירות, לא דרך קישור שהגיע בהודעה, ומחליפים את הסיסמה. תנו למנהל ליצור סיסמה חדשה.
- מפעילים או מחזקים אימות דו-שלבי באותו חשבון.
- בודקים חשבונות אחרים עם אותה סיסמה. אם השתמשתם בה מחוץ למנהל, החליפו אותה בכל מקום. המנהל יראה לכם במסך הבדיקה אילו סיסמאות חוזרות.
- בודקים התחברויות והגדרות. בדקו התחברויות פעילות, העברת מיילים אוטומטית, מכשירים מחוברים ופרטי תשלום.
- לא עונים לפניות חשודות. אחרי דליפה מגיעות לעיתים הודעות מתחזות. קוד אימות לא נמסר לאף אחד.
אם הסיסמה הראשית של המנהל עצמו נחשפה, החליפו אותה מיד, הפעילו אימות דו-שלבי אם לא היה מופעל, ובדקו אם יש אפשרות לסגור התחברויות פעילות מכל המכשירים. אחר כך עברו על החשבונות החשובים ביותר והחליפו בהם סיסמאות, לפי סדר חשיבות: מייל ראשי, בנק, ענן ורשתות חברתיות.
איך עוברים ממנהל אחד לאחר?
מעבר הוא פשוט יחסית, ומתאים לכל מי שהתחיל במנהל מובנה ורוצה להתקדם. קודם מייצאים את הסיסמאות מהמנהל הנוכחי לקובץ, בדרך כלל CSV, דרך ההגדרות. אחר כך מייבאים את הקובץ למנהל החדש, בודקים שהכול הגיע, ובסוף מוחקים את הקובץ ואת הנתונים מהמנהל הישן. הקובץ אינו מוצפן, ולכן אל תשאירו אותו בתיקיית ההורדות, ואל תשלחו אותו במייל או בענן.
מומלץ לא למהר למחוק את הכספת הישנה. השאירו אותה שבוע או שבועיים, עד שאתם בטוחים שהכול עובד במנהל החדש, ושכל הסיסמאות החשובות נשמרו כמו שצריך. אם יש לכם Passkeys, בדקו איך מעבירים אותם, כי העברה של Passkeys בין שירותים לא תמיד פשוטה כמו העברת סיסמאות.
מה עם Passkeys ואם סיסמאות הולכות להיעלם?
Passkey הוא שיטת התחברות שמחליפה את הסיסמה במפתח קריפטוגרפי שנשמר במכשיר, ונפתח בטביעת אצבע, זיהוי פנים או קוד נעילה. אין סיסמה להקליד, ואין סיסמה שאפשר לגנוב באתר פישינג. אתרים ושירותים רבים תומכים בהם, אבל לא כולם, ולכן סיסמאות עדיין שם, ומנהלי סיסמאות עדיין נחוצים.
חלק ממנהלי הסיסמאות, כולל המובנים של אפל וגוגל וחלק מהמנהלים הייעודיים, יודעים לשמור ולסנכרן Passkeys יחד עם הסיסמאות. כך אפשר להשתמש בהם בכל מכשיר, ולא רק באחד. כשאתר מציע לכם ליצור Passkey, זו בדרך כלל אפשרות טובה, כל עוד אתם יודעים איפה הוא נשמר ואיך משחזרים אותו בטלפון חדש.
אילו טעויות נפוצות עושים עם מנהל סיסמאות?
- סיסמה ראשית חלשה או חוזרת. זה המפתח לכל השאר, ובדיוק המקום שבו אסור לחסוך.
- בלי אימות דו-שלבי. סיסמה ראשית שדלפה בלי אימות דו-שלבי פותחת את הכספת.
- שמירת קוד השחזור באותו מכשיר. אם המכשיר אובד, גם הקוד אובד. שמרו אותו במקום פיזי בטוח.
- מילוי אוטומטי באתרים לא מוכרים. אם המנהל לא ממלא סיסמה באתר שנראה לכם מוכר, זה עשוי להיות סימן שהכתובת מזויפת. בדקו לפני שמקלידים ידנית, וקראו איך מזהים פישינג.
- שיתוף סיסמאות בהודעות. אם צריך לשתף, השתמשו בכספת משותפת ולא בוואטסאפ או במייל.
- להניח שהמנהל יפתור הכול. הוא לא מגן מווירוסים ולא מונע מכם למסור קוד אימות בטלפון למתחזה.
אחרי המעבר למנהל חדש, כבו את שמירת הסיסמאות בדפדפן ומחקו את מה שנשמר שם. שני מקומות לשמירה הם שני מקומות שאפשר לפרוץ אליהם.
יתרונות
- סיסמה ייחודית וחזקה לכל אתר
- מילוי אוטומטי חוסך זמן
- התראות על סיסמאות חלשות או חוזרות
- שיתוף מסודר במשפחה ובעסק
חסרונות
- תלות בסיסמה ראשית אחת
- נקודת כשל אחת אם לא מגנים עליה
- עלות בתוכניות מתקדמות
- דורש הרגלים חדשים בהתחלה
האם כדאי לשלם על מנהל סיסמאות?
לרוב המשתמשים האישיים מספיקה אפשרות חינמית, מובנית או ייעודית, בתנאי שהיא מצפינה את הכספת ותומכת במכשירים שלכם. תשלום הגיוני כשצריך שיתוף משפחתי מסודר, ניהול צוות בעסק, אחסון מסמכים מוצפן או תמיכה מורחבת. לפני שמשלמים, נסו את הגרסה החינמית או תקופת הניסיון ודאו שהשירות משתלב היטב בגלישה ובאפליקציות שלכם.
מילון מונחים: סיסמה ראשית, כספת, Passkey ועוד
- סיסמה ראשית (Master password): הסיסמה היחידה שאתם מקלידים, והיא פותחת את הכספת.
- כספת (Vault): המאגר המוצפן שבו המנהל שומר סיסמאות ופרטים.
- הצפנה בצד המשתמש: הצפנה שמתבצעת במכשיר שלכם לפני שהמידע נשלח לענן.
- Credential Stuffing: ניסיון להתחבר לשירותים שונים באמצעות סיסמאות שדלפו מאתר אחר.
- Passkey: מפתח התחברות שנשמר במכשיר ומחליף סיסמה, נפתח בביומטריה או בקוד.
- אימות דו-שלבי (2FA): שלב אימות נוסף לסיסמה, כמו אפליקציה, מפתח חומרה או קוד.
- קוד שחזור (Recovery code): קוד חד-פעמי לשחזור גישה אם איבדתם את הסיסמה או המכשיר.
- מילוי אוטומטי (Autofill): יכולת של המנהל להקליד שם משתמש וסיסמה באתר הנכון.
רשימת בדיקה לפני שבוחרים ולפני שמסיימים
שאלות נפוצות
האם מנהל סיסמאות בטוח?
בדרך כלל כן, ובטוח יותר משימוש חוזר בסיסמאות. מנהלים רציניים מצפינים את הכספת במכשיר. הבטיחות תלויה בסיסמה ראשית חזקה ובאימות דו-שלבי, ובכך שבוחרים שירות מוכר ומעודכן.
איזה מנהל סיסמאות הכי טוב?
אין אחד שמתאים לכולם. מי שכל מכשיריו מאותה סביבה יסתפק במובנה. מי שעובד בכמה עולמות או צריך שיתוף יעדיף ייעודי כמו Bitwarden או 1Password. מי שרוצה שליטה בלי ענן יעדיף KeePass.
מה קורה אם אני שוכח את הסיסמה הראשית?
ברוב השירותים אי אפשר לשחזר אותה, כי החברה אינה מחזיקה אותה. יש שירותים שמציעים קוד שחזור או איש קשר לשחזור, ולכן חשוב להגדיר אותם מראש ולשמור במקום בטוח.
האם עדיף לשמור סיסמאות בדפדפן או במנהל ייעודי?
דפדפן מספיק לצורך בסיסי ובסביבה אחת. מנהל ייעודי נותן יותר תכונות, תמיכה בכמה פלטפורמות וניהול טוב יותר של שיתוף. מה שלא כדאי הוא לשמור בשני המקומות במקביל.
האם אפשר לשתף סיסמאות עם בן משפחה?
כן, מנהלים עם תוכנית משפחה מאפשרים כספת משותפת. שתפו כך רק חשבונות שבאמת משותפים, ושמרו חשבונות אישיים בכספת פרטית.
האם Passkeys מחליפים מנהל סיסמאות?
לא לגמרי. Passkeys מחליפים סיסמה באתרים שתומכים בהם, אבל חלקים רבים מהאינטרנט עדיין דורשים סיסמה. חלק מהמנהלים שומרים גם Passkeys, ולכן הם משלימים זה את זה.
איפה מוצאים סיסמאות שמורות באנדרואיד?
ברוב מכשירי אנדרואיד הסיסמאות נשמרות במנהל הסיסמאות של גוגל, שנגיש מהגדרות החשבון ומהכתובת passwords.google.com.
קראו גם
- איך יוצרים סיסמה חזקה ומה השתנה בהמלצות
- אימות דו-שלבי: איך מפעילים אותו בחמש דקות
- פישינג: איך מזהים ומה עושים
- גלישה פרטית: מה היא באמת מסתירה
