# On són les teves contrasenyes desades, i qui més les pot obrir

> Si alguna vegada has clicat «Desa la contrasenya», ja fas servir un gestor. La pregunta interessant no és on són les teves contrasenyes, sinó què cal per obrir-les: i aquí el Chrome, el Safari i el Firefox no s'assemblen gens.

2026-08-30 · David Carrero · password.es
Original: https://password.es/ca/blog/on-son-les-teves-contrasenyes-desades/

---

Si alguna vegada has clicat «Desa la contrasenya» en aquella finestreta que surt a
baix, ja fas servir un gestor de contrasenyes. **Ningú t'ho ha dit, no n'has triat
cap, i en tens un igualment.** Probablement amb un centenar d'entrades a dins.

Això explica per què la pregunta més repetida sobre contrasenyes no és «com en
faig una de bona», sinó «on són les meves». La gent no busca un manual de
seguretat: busca una llista que sap que existeix i no troba.

La llista existeix. Però el lloc on està desada importa molt menys que la resposta
a la pregunta següent, la que gairebé ningú fa: **què cal per obrir-la?**

## On són, segons què facis servir

Al **Chrome** són al gestor de contrasenyes de Google. Viuen a dos llocs alhora:
una còpia a l'ordinador i una altra al teu compte de Google, sincronitzades. Es
veuen a `passwords.google.com` o des de la configuració del navegador.

Al **Safari, l'iPhone i el Mac** són al clauer de l'iCloud, que des de fa poc té
aplicació pròpia, Contrasenyes. Mateixa idea: al dispositiu i al teu compte
d'Apple.

Al **Firefox** són a dos fitxers dins del teu perfil, i val la pena conèixer-ne
els noms: `logins.json`, on van els usuaris i les contrasenyes xifrats, i
`key4.db`, on va la clau que els desxifra. Mozilla ho documenta exactament així,
amb aquests noms.

A l'**Edge** són al teu compte de Microsoft, amb el mateix esquema que el Chrome.
I a **Android** és el mateix gestor de Google que fa servir el Chrome, encara que
l'obris des de la configuració del telèfon.

Fins aquí, la resposta que buscaves. Ara la part que canvia alguna cosa.

## Els tres models, i per què no són equivalents

Tots diuen «les teves contrasenyes estan xifrades». És cert en els tres casos i no
vol dir el mateix en cap, perquè el que canvia és **qui té la clau**.

**El clauer d'Apple està xifrat d'extrem a extrem.** Les claus que l'obren Apple
no les coneix; només existeixen als teus dispositius de confiança. Apple ho
publica a la seva documentació de seguretat, i hi afegeix un detall que
s'agraeix: el sistema limita els intents, precisament perquè ni tan sols des de
dins de la seva pròpia infraestructura es pugui anar provant a la brava. No hi ha
res per activar. Ja és així.

**A Google aquest mode existeix però és opcional.** Per defecte les teves
contrasenyes viatgen xifrades i es desen xifrades, però amb claus que gestiona
Google. Ho pots canviar: una *frase de contrasenya de sincronització* —o el xifrat
al dispositiu, segons per on hi entris— deixa les claus només a les teves mans. La
diferència pràctica és enorme i la majoria de la gent no ho ha activat mai, perquè
ningú els ha explicat que existia. Té un preu, i cal dir-lo sencer: **si oblides
aquesta frase, les teves contrasenyes desades no les recupera ningú.** És
exactament el sentit de la paraula «només tu».

**Al Firefox, sense contrasenya principal, el xifrat no et protegeix de qui tingui
els teus fitxers.** És la part més incòmoda d'aquest article, i ho diu Mozilla, no
nosaltres: sense una contrasenya principal configurada, qualsevol que copiï
`logins.json` i `key4.db` del teu perfil pot llegir les teves credencials. Els dos
fitxers viatgen junts: un porta el pany i l'altre, la clau. Posar-hi una
contrasenya principal és el que xifra aquesta clau i trenca la parella.

## L'escenari real no és una pel·lícula

Quan un s'imagina que li roben les contrasenyes, s'imagina algú atacant servidors.
A la pràctica els dos casos que passen són molt més domèstics.

El primer: **algú amb accés al teu ordinador desbloquejat.** No cal saber res. La
llista és a dos clics a la configuració del navegador, i encara que et demani la
contrasenya del sistema per mostrar-les en clar, aquesta contrasenya la sap qui
viu amb tu o te l'ha vist teclejar.

El segon: **un programa que copia el perfil del teu navegador.** No rebenta res.
S'emporta els fitxers i els obre en un altre lloc amb calma. És un tipus de
programari tan comú que té nom propi a la indústria, *infostealer*, i és la raó
exacta per la qual «però si estan xifrades» necessita sempre la pregunta següent:
xifrades, d'acord — i la clau, on és?

Contra aquest segon escenari, el model d'Apple aguanta, el de Google aguanta si
vas activar la frase, i el Firefox sense contrasenya principal no aguanta res.

## Què fer, per ordre del que més canvia

**Un.** Si fas servir el Firefox, posa-li una contrasenya principal. És una
casella a la configuració de privadesa i és, de llarg, el canvi que més protegeix
per menys esforç de tota aquesta llista.

**Dos.** Si fas servir el Chrome o Android, entra al gestor de Google i activa el
xifrat al dispositiu o la frase de sincronització. Apunta-la en algun lloc físic
abans d'activar-la, i entén què estàs signant: a partir d'aquell moment, aquesta
frase és l'única porta.

**Tres.** Mira la contrasenya del compte que ho desa tot. El teu compte de Google,
el teu ID d'Apple o el teu compte de Microsoft van deixar de ser «un compte més»
en el moment que hi vas començar a desar contrasenyes: ara són la clau de la
resta. Si aquesta contrasenya te la vas inventar tu fa vuit anys, passa-la pel
[comprovador](/ca/comprovador/) i mira què diu. I si et ve de gust, canvia-la per
una del [generador](/ca/).

**Quatre.** Activa el segon factor en aquell compte. És el pas que converteix
«saben la teva contrasenya» en «no entren igualment».

## Amb això n'hi ha prou, o em cal un gestor de debò?

Depèn de per a què, i aquí la resposta honesta no és la que ven.

Per a la majoria de la gent, el gestor del navegador amb el xifrat ben configurat
**ja n'hi ha prou**, i és infinitament millor que l'alternativa real, que no és un
gestor millor: és la mateixa contrasenya repetida a quaranta llocs.

Un gestor dedicat guanya quan apareixen coses que el del navegador fa malament o
no fa: fer servir dos navegadors diferents sense tornar-te boig, compartir una
contrasenya amb la teva parella sense enviar-la per WhatsApp, desar coses que no
són contrasenyes, sortir d'un ecosistema sense perdre-ho tot, o poder auditar el
codi de qui guarda els teus secrets. En parlem en un altre article, i el resum és
que el salt gran no va d'un gestor a un altre: va de cap a qualsevol.

## El que realment buscaves

Buscaves una llista. És a `passwords.google.com`, a l'aplicació Contrasenyes del
teu iPhone o a la configuració del teu navegador, segons què facis servir.

Però ja que hi ets, mira una cosa més: **quantes vegades es repeteix la mateixa
contrasenya en aquesta llista.** Els tres gestors t'ho diuen si els ho preguntes.
Aquesta xifra explica la teva situació real millor que qualsevol cosa que puguis
llegir sobre xifrat, aquest article inclòs.

---

*Fonts: documentació de seguretat d'Apple sobre el clauer de l'iCloud —xifrat
d'extrem a extrem amb claus que Apple no coneix i limitació d'intents— · ajuda de
Google Chrome sobre sincronització, frase de contrasenya de sincronització i
xifrat al dispositiu · documentació de Mozilla sobre com desa el Firefox les
contrasenyes (`logins.json` i `key4.db`) i sobre la contrasenya principal.*