«Сохранить пароль?» — этот вопрос Chrome, Edge и Safari задают по несколько раз в день. Большинство людей привычно жмёт «Да», не задумываясь, что фактически доверяет браузеру ключи от онлайн-банка, почты, Госуслуг и всех подписок. А через пару лет обнаруживает, что в базе браузера — 300–400 паролей, многие из них одинаковые, а часть давно утекла в публичный доступ.
Разберёмся: стоит ли хранить пароли в браузере, где настоящие риски и есть ли вариант получше.
Как на самом деле устроено хранение паролей в браузере
Chrome, Edge, Firefox, Safari — все они сохраняют пароли в зашифрованной базе на вашем компьютере. На первый взгляд, всё в порядке: данные не лежат в открытом виде. Но дьявол в деталях.
Chrome и Edge на Windows шифруют пароли ключом, привязанным к учётной записи Windows. Это значит: любая программа, запущенная под вашим пользователем, может расшифровать базу паролей без ввода мастер-пароля. Вы. Антивирус. И, к сожалению, любой вирус, который сумел запуститься с вашими правами.
Safari на macOS использует Keychain — отдельное хранилище с более серьёзной защитой. Здесь для доступа к паролям требуется пароль Mac или Touch ID. Это заметно надёжнее.
Firefox позволяет установить мастер-пароль для базы. По умолчанию он отключён — и большинство пользователей о такой возможности не знают. С мастер-паролем Firefox становится почти полноценным менеджером.
Сами по себе браузерные хранилища — это не катастрофа. Проблема в том, что они делают одну вещь (сохраняют пароли), но не делают полдюжины других важных.
Чего браузер не делает
Первое и главное — не проверяет, не утёк ли ваш пароль. Точнее, Chrome и Edge с недавнего времени делают это, но поверхностно: сверяются с базами утечек и предупреждают «этот пароль был скомпрометирован». А вот реальный менеджер паролей — 1Password, Bitwarden, KeePass — покажет, какие именно пароли повторяются на разных сайтах, какие слабые, какие давно не менялись, и пошагово поможет их исправить.
Второе — не работает вне браузера. Нужно зайти в приложение Сбербанк Онлайн на телефоне или в десктопный клиент Telegram — браузерная база паролей вам не поможет. Приходится или помнить пароль, или копировать его из браузера вручную.
Третье — привязан к экосистеме. Пароли Chrome живут в аккаунте Google. Пароли Safari — в iCloud. Пароли Edge — в Microsoft-аккаунте. Переехали с iPhone на Android? Добро пожаловать на сутки ручного переноса. Настоящий менеджер паролей работает везде одинаково — Windows, Mac, Linux, iOS, Android, веб — без оглядки на производителя.
Четвёртое — слабый генератор паролей или вовсе его нет. Браузер предложит сгенерировать пароль при регистрации, но не даст настроить длину, символы, правила. Менеджер — даст.
Пятое — не хранит двухфакторные коды. TOTP-коды от банков, Госуслуг, почты — это второй фактор защиты, который тоже нужно где-то хранить. Браузер этого не умеет. Менеджеры умеют и делают это безопасно.
Где реальные риски — и где их нет
Теперь честно о страхах. Читая интернет, можно подумать, что хранить пароли в браузере — всё равно что вывесить их на балконе. Реальность сложнее.
Реальный риск №1: infostealer-вирусы. Это отдельный класс зловредов, которых интересуют именно браузерные пароли. Они запускаются на заражённом компьютере, считывают базу паролей из Chrome или Edge за считанные секунды и отправляют её в даркнет. Один из самых массовых способов потерять всё — именно так. И от этого не спасает даже хорошая антивирусная защита, если вы сами запустили файл, полученный от «коллеги» или «курьера».
Реальный риск №2: физический доступ к компьютеру. Муж, жена, ребёнок, коллега, мастер по ремонту. Если ваш компьютер не заблокирован или пароль к Windows слабый — любой желающий открывает Chrome и видит все ваши пароли в разделе «Настройки → Автозаполнение → Пароли». Да, нужно один раз ввести пароль Windows. Но на большинстве домашних компьютеров он либо отсутствует, либо это «qwerty123».
Реальный риск №3: синхронизация с взломанным аккаунтом. Если ваш аккаунт Google или Microsoft взломали — все пароли, синхронизированные с ним, моментально оказались у злоумышленника. А теперь честно: у вас на аккаунте Google включена двухфакторная аутентификация? Если нет — пароли Chrome, считайте, защищены одной фразой, которую вы когда-то придумали.
Чего можно не бояться:
- Того, что Google или Apple «читают» ваши пароли. Данные шифруются локально, расшифровать их в облаке без вашего ключа нельзя.
- Случайных утечек баз самих Google или Apple. Пока таких публичных инцидентов не было.
- Сотрудников интернет-провайдера. Пароли никогда не передаются в открытом виде.
Менеджеры паролей: что это и зачем
Менеджер паролей — отдельная программа, единственная задача которой — хранить пароли, генерировать новые и подставлять в нужные места. Главные игроки в 2026 году:
Bitwarden — открытый исходный код, бесплатный план покрывает 95% задач обычного пользователя. Платная версия — 10 долларов в год. Синхронизация между всеми устройствами, двухфакторная защита, аудит паролей. Оптимальный вариант, если важна цена и независимость.
1Password — платный (3 доллара в месяц), но с лучшим интерфейсом и функциями. «Режим путешествия» — прячет часть паролей на время поездки за границу. Семейные тарифы. Золотой стандарт среди платных решений.
KeePass (KeePassXC) — для параноиков. Локальная база на вашем диске, никакого облака, полностью бесплатно. Синхронизацию между устройствами придётся настраивать вручную через Dropbox или Google Drive. Неудобно, но максимально безопасно.
Proton Pass — от швейцарской компании, делающей зашифрованную почту. Молодой, но уже конкурентоспособный. Бесплатная версия щедрее, чем у Bitwarden.
LastPass — когда-то был лидером, но после крупных утечек 2022–2023 годов репутация сильно просела. Не рекомендуется.
«Ключи доступа» от Яндекса — российское решение, подвязанное к экосистеме Яндекс ID. Работает, но привязывает вас к одному поставщику. Как запасной вариант — годится, как основной — не советуем.
Главный принцип работы любого менеджера: вы запоминаете один длинный пароль (мастер-пароль), а программа помнит всё остальное. Пароли шифруются так, что даже сотрудники самой компании не могут их прочитать без вашего мастер-пароля. Это называется «zero-knowledge»-архитектура.
Практический совет: что реально делать
Если у вас нет времени разбираться и паролей немного — оставайтесь на браузере, но сделайте три вещи:
- Включите двухфакторную аутентификацию в аккаунте Google или Microsoft (иначе все пароли — на одном ключе).
- Установите пароль или PIN на Windows, настройте автоматическую блокировку экрана через 5–10 минут.
- Регулярно проверяйте в Chrome раздел «Проверка паролей» и меняйте те, что засветились в утечках.
Если готовы уделить вечер — поставьте Bitwarden или 1Password, импортируйте туда пароли из браузера, отключите хранение паролей в Chrome. Через пару дней привыкнете, а безопасность вырастет кратно.
Что делать с критичными паролями в любом случае:
- Пароль от почты — самый важный. Его нельзя хранить нигде, кроме головы и физической бумажки в сейфе. Потеряли почту — потеряли всё, через почту злоумышленник восстановит доступ ко всему остальному.
- Пароль от онлайн-банка — в идеале в менеджере паролей с двухфакторкой. Хранить в браузере — плохая идея.
- Пароль от Госуслуг — в менеджере или в голове. Обязательно с двухфакторкой через СМС или приложение.
Чего делать точно не стоит:
- Хранить пароли в заметках на телефоне или в Word-файле.
- Отправлять пароли себе в Telegram «в избранное».
- Использовать одинаковые пароли на разных сайтах. Если утечёт один — все ваши аккаунты в опасности.
Короткий вывод
Хранить пароли в браузере — не катастрофа, но и не лучшее решение. Это удобная, но дырявая защита, которая полагается на то, что ваш компьютер никто не взломает и аккаунт Google никто не узнает. Для большинства людей менеджер паролей — это разумная инвестиция: бесплатный Bitwarden или платный 1Password закрывают основные риски и добавляют функции, которых браузер не даёт.
Главное правило, которое спасает независимо от инструмента: два разных пароля не бывают одинаковыми, а пароль от почты знает только ваша голова.
Источники
- Have I Been Pwned, база утечек паролей (haveibeenpwned.com)
- NIST, рекомендации по безопасности паролей (SP 800-63B)
- Аудит безопасности Bitwarden, отчёт Cure53
- Независимые разборы инцидентов LastPass 2022–2023 годов
- Отчёты Лаборатории Касперского об infostealer-троянах
А вы где храните пароли — в браузере, в менеджере, на бумажке? И сколько раз в жизни теряли доступ к важному аккаунту из-за забытого пароля?