# Gdzie są twoje zapisane hasła i kto jeszcze może je otworzyć

> Jeśli kiedykolwiek kliknąłeś «Zapisz hasło», już używasz menedżera haseł. Ciekawe pytanie nie brzmi, gdzie są twoje hasła, tylko czego trzeba, żeby je otworzyć: a tu Chrome, Safari i Firefox nie są do siebie podobne.

2026-08-30 · David Carrero · password.es
Original: https://password.es/pl/blog/gdzie-sa-twoje-zapisane-hasla/

---

Jeśli kiedykolwiek kliknąłeś «Zapisz hasło» w tym okienku na dole ekranu, to już
używasz menedżera haseł. **Nikt ci tego nie powiedział, żadnego nie wybierałeś, a
i tak go masz.** Prawdopodobnie ze stoma wpisami w środku.

To tłumaczy, dlaczego najczęściej powtarzane pytanie o hasła nie brzmi „jak zrobić
dobre", tylko „gdzie są moje". Ludzie nie szukają podręcznika bezpieczeństwa:
szukają listy, o której wiedzą, że istnieje, i której nie mogą znaleźć.

Lista istnieje. Ale miejsce, w którym jest przechowywana, ma dużo mniejsze
znaczenie niż odpowiedź na kolejne pytanie, którego prawie nikt nie zadaje:
**czego trzeba, żeby ją otworzyć?**

## Gdzie są, zależnie od tego, czego używasz

W **Chrome** są w menedżerze haseł Google. Żyją w dwóch miejscach naraz: kopia na
komputerze i druga na twoim koncie Google, zsynchronizowane. Widać je pod adresem
`passwords.google.com` albo w ustawieniach samej przeglądarki.

Na **Safari, iPhonie i Macu** są w pęku kluczy iCloud, który od niedawna ma też
własną aplikację: Hasła. Ta sama idea: na urządzeniu i na twoim koncie Apple.

W **Firefoksie** są w dwóch plikach w twoim profilu, a nazwy warto znać:
`logins.json`, gdzie leżą zaszyfrowane nazwy użytkownika i hasła, oraz `key4.db`,
gdzie leży klucz, który je odszyfrowuje. Mozilla dokumentuje to dokładnie tak, z
tymi nazwami.

W **Edge** są na twoim koncie Microsoft, w tym samym schemacie co Chrome. A na
**Androidzie** to ten sam menedżer Google, którego używa Chrome, nawet jeśli
otwierasz go z ustawień telefonu.

Tyle odpowiedzi, po którą przyszedłeś. Teraz część, która coś zmienia.

## Trzy modele i dlaczego nie są równoważne

Wszystkie mówią „twoje hasła są zaszyfrowane". To prawda we wszystkich trzech
przypadkach i w żadnym nie znaczy tego samego, bo różni się to, **kto ma klucz**.

**Pęk kluczy Apple jest szyfrowany end-to-end.** Kluczy, które go otwierają, Apple
nie zna; istnieją wyłącznie na twoich zaufanych urządzeniach. Apple publikuje to w
swojej dokumentacji bezpieczeństwa i dodaje miły szczegół: system ogranicza liczbę
prób, właśnie po to, żeby nawet z wnętrza własnej infrastruktury nikt nie mógł
zgadywać na siłę. Nie ma czego włączać. Już tak jest.

**W Google ten tryb istnieje, ale jest opcjonalny.** Domyślnie twoje hasła
podróżują zaszyfrowane i są przechowywane zaszyfrowane, ale kluczami zarządza
Google. Możesz to zmienić: *hasło synchronizacji* —albo szyfrowanie na urządzeniu,
zależnie od tego, którędy wchodzisz— zostawia klucze wyłącznie w twoich rękach.
Praktyczna różnica jest ogromna, a większość ludzi nigdy tego nie włączyła, bo
nikt im nie powiedział, że to istnieje. Ma to swoją cenę i trzeba ją podać w
całości: **jeśli zapomnisz tego hasła, nikt nie odzyska twoich zapisanych
haseł.** Dokładnie to znaczy „tylko ty".

**W Firefoksie, bez hasła głównego, szyfrowanie nie chroni cię przed tym, kto ma
twoje pliki.** To najbardziej niewygodna część tego artykułu i mówi to Mozilla, nie
my: bez ustawionego hasła głównego każdy, kto skopiuje `logins.json` i `key4.db` z
twojego profilu, może odczytać twoje dane logowania. Oba pliki podróżują razem:
jeden niesie kłódkę, drugi klucz. Ustawienie hasła głównego jest tym, co szyfruje
ten klucz i rozrywa parę.

## Prawdziwy scenariusz to nie film

Kiedy ktoś wyobraża sobie kradzież swoich haseł, wyobraża sobie atak na serwery. W
praktyce dwa przypadki, które się zdarzają, są znacznie bardziej domowe.

Pierwszy: **ktoś z dostępem do twojego odblokowanego komputera.** Nie trzeba nic
umieć. Lista jest dwa kliknięcia dalej w ustawieniach przeglądarki, a nawet jeśli
poprosi o hasło systemowe, żeby pokazać je jawnie, to hasło zna ten, kto z tobą
mieszka albo widział, jak je wpisujesz.

Drugi: **program, który kopiuje profil twojej przeglądarki.** Niczego nie łamie.
Zabiera pliki i otwiera je gdzie indziej, na spokojnie. To rodzaj oprogramowania
na tyle powszechny, że ma w branży własną nazwę, *infostealer*, i jest dokładnie
powodem, dla którego zdanie „ale przecież są zaszyfrowane" zawsze wymaga
następnego pytania: zaszyfrowane, dobrze — a klucz gdzie jest?

Wobec tego drugiego scenariusza model Apple się broni, model Google broni się,
jeśli włączyłeś hasło synchronizacji, a Firefox bez hasła głównego nie broni się
wcale.

## Co zrobić, w kolejności od największej zmiany

**Raz.** Jeśli używasz Firefoksa, ustaw hasło główne. To pole w ustawieniach
prywatności i zdecydowanie zmiana z tej listy, która chroni najbardziej przy
najmniejszym wysiłku.

**Dwa.** Jeśli używasz Chrome albo Androida, wejdź w menedżera Google i włącz
szyfrowanie na urządzeniu albo hasło synchronizacji. Zapisz je w czymś fizycznym,
zanim włączysz, i zrozum, co podpisujesz: od tej chwili ta fraza jest jedynymi
drzwiami.

**Trzy.** Spójrz na hasło do konta, które przechowuje całą resztę. Twoje konto
Google, twój Apple ID albo twoje konto Microsoft przestały być „jeszcze jednym
kontem" w momencie, gdy zacząłeś zapisywać w nich hasła: teraz są kluczem do
reszty. Jeśli to hasło wymyśliłeś sam osiem lat temu, przepuść je przez
[sprawdzanie](/pl/sprawdzanie/) i zobacz, co powie. A jeśli najdzie cię ochota,
zamień je na jedno z [generatora](/pl/).

**Cztery.** Włącz drugi składnik na tym koncie. To krok, który zamienia „znają
twoje hasło" w „i tak nie wejdą".

## Czy to wystarczy, czy potrzebuję prawdziwego menedżera?

Zależy do czego, a tutaj uczciwa odpowiedź nie jest tą, która sprzedaje.

Dla większości ludzi menedżer przeglądarki z dobrze ustawionym szyfrowaniem
**wystarcza** i jest nieskończenie lepszy od realnej alternatywy, którą nie jest
lepszy menedżer: jest nią to samo hasło powtórzone na czterdziestu stronach.

Osobny menedżer wygrywa, gdy pojawiają się rzeczy, które ten z przeglądarki robi
źle albo wcale: używanie dwóch różnych przeglądarek bez wariowania, dzielenie się
hasłem z partnerką bez wysyłania go WhatsAppem, przechowywanie rzeczy, które nie
są hasłami, wyjście z ekosystemu bez utraty wszystkiego, albo możliwość audytu
kodu tego, kto przechowuje twoje sekrety. Piszemy o tym w innym artykule, a
podsumowanie brzmi: wielki skok nie prowadzi od jednego menedżera do drugiego,
tylko od żadnego do jakiegokolwiek.

## Czego naprawdę szukałeś

Szukałeś listy. Jest pod `passwords.google.com`, w aplikacji Hasła na twoim
iPhonie albo w ustawieniach twojej przeglądarki, zależnie od tego, czego używasz.

Ale skoro już tam jesteś, zobacz jeszcze jedno: **ile razy to samo hasło powtarza
się na tej liście.** Wszystkie trzy menedżery ci to powiedzą, jeśli zapytasz. Ta
liczba tłumaczy twoją prawdziwą sytuację lepiej niż cokolwiek, co przeczytasz o
szyfrowaniu, łącznie z tym artykułem.

---

*Źródła: dokumentacja bezpieczeństwa Apple o pęku kluczy iCloud —szyfrowany
end-to-end kluczami, których Apple nie zna, z ograniczeniem liczby prób— · pomoc
Google Chrome o synchronizacji, haśle synchronizacji i szyfrowaniu na urządzeniu ·
dokumentacja Mozilli o tym, jak Firefox zapisuje hasła (`logins.json` i `key4.db`)
oraz o haśle głównym.*