KeePass: cena, databáze KDBX, synchronizace a zálohování

KeePass je vhodný pro člověka, který chce vlastní šifrovanou databázi hesel a přijímá odpovědnost za její kopie. Samotný KeePass Password Safe stojí 0 Kč a nepotřebuje povinný účet ani předplatné. Není to však bezplatná kopie hotové cloudové služby se správcem rodiny, automatickou obnovou a jednotnou podporou všech mobilních aplikací. Za svobodu při volbě úložiště platíte vlastní péčí o soubor a přístupové údaje.

Tento profil se týká oficiálního KeePass Password Safe, zejména řady 2.x a databáze KDBX. Nezaměňuje jej s projektem KeePassXC ani s jednotlivými kompatibilními mobilními klienty. Dokumentaci jsme ověřovali 21. října 2026; nejde o vlastní audit kódu. Do srovnání správců hesel jej zařazujeme jako samostatnou možnost pro lidi, kterým správa databáze vyhovuje.

Cena: program zdarma, celé řešení podle vás

Za oficiální program neplatíte pravidelnou licenci. Databázi můžete mít na vlastním disku a zálohu na dalším existujícím médiu. Pokud si vyberete placenou kompatibilní aplikaci do telefonu, cloudové úložiště nebo nové záložní zařízení, jde o oddělené náklady. Nelze jim přiřadit jednu univerzální cenu KeePassu, protože nejsou nutné ve stejné podobě pro všechny uživatele.

Cena 0 Kč se vztahuje k programu, nikoli k času správce domácnosti. Pokud máte vlastní disk a zvládnete jednoduché kopírování databáze, mohou být přímé dodatečné náklady nulové. Jestli ale pravidelně potřebujete pomoc s konflikty a obnovou, může být placená cloudová služba prakticky výhodnější. Rozhodujte podle toho, co budete schopni spolehlivě udržovat i za rok, ne podle samotného dne instalace.

Do ročního cenového žebříčku se KeePass nedá zařadit stejným způsobem jako rodinné předplatné. Nemá zahrnutých pět nebo šest samostatných zákaznických účtů. Můžete vytvořit více databází, ale správu oddělení a sdílení navrhujete sami. Pro někoho je to hlavní přednost; pro domácnost, která chce pozvánky a jednoduché přidělování oprávnění, podstatný důvod zvolit jinou cestu.

Co vlastně je soubor KDBX

KDBX je šifrovaná databáze obsahující položky, jejich pole a další související údaje. Na disku vidíte jeden soubor, ale uvnitř může být rozsáhlá struktura skupin, poznámek, historie a příloh. Ztráta souboru není totéž jako zapomenuté heslo. V prvním případě potřebujete další kopii databáze, ve druhém správné klíčové údaje nebo jinou předem připravenou cestu.

Databázi je vhodné pojmenovat srozumitelně a vybrat jedno hlavní pracovní umístění. Pět kopií s názvy „nová“, „opravdu nová“ a „poslední“ nevytváří spolehlivý systém. Už při zakládání si určete, která kopie je pracovní, která slouží jako záloha a jak poznáte její stáří. Neznamená to zapisovat do názvu heslo nebo jiné tajemství; datum zálohy obvykle postačí.

Oficiální dokumentace uvádí šifrování celé databáze včetně uživatelských jmen, adres webů a poznámek. Z toho ale neplyne, že soubor můžete chránit krátkým známým heslem. Útočník, který jej získá, může zkoušet klíč mimo původní aplikaci bez běžného omezení online přihlašovacích pokusů. Důležitá je dlouhá unikátní fráze a vhodné parametry odvození klíče.

Hlavní heslo, klíčový soubor a účet Windows

KeePass umožňuje kombinovat více součástí hlavního klíče. Běžným základem je hlavní heslo, přidat lze například klíčový soubor. To může zvýšit požadavky na otevření databáze, ale současně přidává další věc, kterou nesmíte ztratit. Databáze bez potřebného klíčového souboru může být nepoužitelná i při správně zadaném hesle. Každá přidaná ochrana potřebuje vlastní plán obnovy.

Klíčový soubor uložený vždy vedle databáze na stejném médiu poskytuje jiný přínos než součást dostupná nezávisle. Pokud někdo zkopíruje obojí, tato vrstva oddělení mu nepřekáží. Naopak pokud soubor schováte tak dokonale, že jej po poruše nikdo nenajde, zablokujete sami sebe. Vhodné řešení závisí na tom, proti které konkrétní ztrátě nebo zneužití se bráníte.

Vázání na uživatelský účet Windows je další specifická možnost, kterou nelze bez rozmyslu doporučit všem. Po přeinstalaci nebo přechodu na jiné zařízení může být obnova složitější. Pro běžného uživatele bývá lepší jednoduchý model, kterému rozumí a jehož obnovu opravdu ověřil. Nastavení několika neznámých ochranných prvků současně není automaticky kvalitnější konfigurace.

Parametry databáze musí zvládnout i nejslabší telefon

Funkce odvození klíče zvyšuje náročnost hádání hesla. Nastavení má ale vliv také na dobu otevření databáze a spotřebu paměti na vlastních zařízeních. Parametr, který pohodlně zvládá rychlý počítač, může být problém v mobilní aplikaci nebo systémovém vyplňování. Proto neexistuje jedno číslo vhodné pro všechny rodiny a všechny klienty.

Dokumentace doporučuje ověřit parametry na každém zařízení, na kterém chcete databázi používat. Změnu dělejte s funkční zálohou a dostatkem času, ne při rychlém přihlášení na cestách. Příliš pomalé odemykání může vést k obcházení správce a ukládání hesel jinde. Bezpečnostní zisk, který uživatel pravidelně vypíná, se v běžném životě nemusí projevit.

U kompatibilního klienta navíc zkontrolujte podporu konkrétní verze formátu a nastavení. Podobný název aplikace není důkaz stejného vývoje a podpory. Při hodnocení mobilní aplikace si zjistěte vydavatele, aktualizace, placené podmínky a způsob práce s cloudem. Oficiální cena KeePassu automaticky neříká nic o ceně a kvalitě cizího klienta.

Synchronizace a přepsání nejsou stejná operace

KeePass 2.x umí sloučit změny z více kopií databáze. Při synchronizaci pracuje na úrovni položek a využívá informace o změnách; může uchovávat souběžné verze v historii. Prosté zkopírování jednoho souboru přes druhý má jiný následek. Přepsáním můžete zahodit novější změnu z jiného zařízení. Název tlačítka a potvrzení konfliktu proto mají skutečný význam.

Modelově změníte na notebooku heslo k e-shopu, zatímco telefon offline aktualizuje poznámku ke stejné položce. Když později bez kontroly nahrajete starší soubor z telefonu přes novější kopii, můžete přijít o právě změněné heslo. Cloud může nabídnout konfliktní kopii, ale nemusí za vás rozhodnout, která data jsou správná. Záloha před řešením konfliktu je důležitější než rychlé uklizení duplicitních souborů.

Oficiální dokumentace u běžných cloudů doporučuje využít jejich integraci do místního souborového systému, pokud je dostupná. Uživateli to ale neodnímá odpovědnost za kontrolu synchronizace. Ikona cloudu může znamenat čekání nebo chybu. Před změnou na dalším zařízení si ověřte, že načítáte aktuální soubor, a po uložení počkejte na dokončení přenosu podle klienta služby.

Jak mít kopii i bez přístupu ke cloudu

Pokud je hlavní databáze v cloudu, potřebujete promyslet přihlášení do něj. Heslo uložené pouze uvnitř této databáze může vytvořit kruh: bez cloudu nemáte soubor a bez souboru nemáte přihlášení do cloudu. Totéž platí pro jeho druhý faktor. Funkční offline kopie a nezávislé obnovovací údaje pomohou tuto závislost přerušit.

Vlastní šifrování KDBX neřeší všechna rizika úložiště. Provozovatel může ovlivnit dostupnost nebo historii souboru, byť neumí běžně číst jeho obsah. Nechtěné smazání nebo přepsání se může synchronizovat na další zařízení. Proto má mít alespoň jedna záložní kopie odlišný způsob uchování a známé datum. Přehled rozdílů služeb nabízí srovnání cloudových úložišť.

• Určete jednu pracovní databázi a její hlavní umístění.
• Vytvořte oddělenou datovanou kopii, kterou běžná synchronizace ihned nepřepíše.
• Zálohujte všechny potřebné části klíče, ne pouze soubor KDBX.
• Zkuste otevření kopie na bezpečném zařízení bez závislosti na původním cloudu.
• Před hromadnou úpravou, novým klientem nebo řešením konfliktu vytvořte další kontrolovanou kopii.

Auto-Type vyžaduje správné cílové okno

Auto-Type umí předat uživatelské jméno, heslo a navazující klávesové kroky do cílové aplikace. To je užitečné i mimo běžné webové formuláře. Současně jde o jiný mechanismus než moderní vazba passkey na doménu. Nevyvozujte automatickou odolnost proti phishingu jen z toho, že údaje nevyťukáváte ručně. Správně vybrané okno a kontrola cíle jsou zásadní.

Pokud kopírujete pole přes schránku, zkontrolujte automatické čištění a systémovou historii. Některé další programy umějí schránku sledovat nebo synchronizovat. Krátká doba uchování snižuje dostupnost kopie, nezaručuje však ochranu při napadeném systému. Dokumentace KeePassu výslovně připouští hranice ochrany proti škodlivému programu zaměřenému na běžící aplikaci. Aktualizace a důvěryhodný počítač zůstávají nutné.

Sdílení celé databáze není rodinná role

Kdo má kopii databáze a všechny potřebné klíčové údaje, může si ji otevřít v rozsahu daného souboru. Nelze předpokládat, že heslo ke společné části automaticky zachová soukromí zbytku. Pokud potřebujete důsledně oddělit soukromé a společné přístupy, může to znamenat více databází. Každá další databáze ovšem potřebuje vlastní jasné umístění, klíče a zálohování.

Změna hlavního hesla nové pracovní databáze neznehodnotí starou kopii, kterou si někdo odnesl se starým heslem. A pokud z ní již přečetl přístupové údaje k webům, změna šifrování databáze je u těchto služeb nezmění. Při odchodu člena domácnosti proto řešte skutečná hesla u služeb a případné relace. Přehlednější pozvánky a role mohou být důvodem k rodinnému cloudovému správci.

Nouze bez podpory, která resetuje účet

KeePass nemá centrální zákaznický účet, u kterého by podpora zaslala resetovací odkaz. Při ztrátě klíče potřebujete předem připravenou nezávislou cestu. To může být bezpečně uložený nouzový dokument a dostupná kopie databáze. Není to automatická funkce, kterou aktivujete zavoláním na podporu až po havárii. Obnovu si navrhujete sami a musíte ověřit obě části: data i klíče.

Pro nouzovou pomoc další osoby nestačí říct „hesla jsou na disku“. Má vědět, jaký soubor potřebuje, čím jej otevře, kde je chráněná přístupová informace a k čemu má oprávnění. U velmi citlivých účtů používejte také oficiální role, plné moci či jiné postupy příslušné služby podle situace. Technický přístup k heslu není automaticky oprávnění jednat za jiného člověka.

Přenos do jiné aplikace a práce s přílohami

KeePass podporuje více exportních formátů, ale ne každý zachová všechny souvislosti. Otevřené CSV, XML nebo HTML mohou obsahovat tajemství čitelná bez původního hesla databáze. Pro dlouhodobou kopii bývá praktičtější samotná správně chráněná KDBX. Pro migraci volte formát, který cílový správce opravdu podporuje, a výsledek zkontrolujte na bezpečném zařízení podle průvodce přenosem.

Přílohy mohou databázi zvětšit a zpomalit synchronizaci. Ne každý dokument potřebuje být součástí trezoru hesel. Při otevření přílohy v jiné aplikaci může vzniknout dočasná kopie mimo původní databázi, takže její ochranu nelze odvodit jen od zavřené KDBX. Zkontrolujte potřebné přílohy při zálohování a nepředpokládejte, že obyčejný export seznamu hesel přenesl i jejich obsah.

Komu doporučujeme jiný model

Jestliže potřebujete hotovou synchronizaci a jednoduchý začátek bez pravidelného placení, první alternativou je Bitwarden Free. Pro aliasy a širší ekosystém se nabízí Proton Pass. Domácnosti, která potřebuje pomoc organizátora s obnovou a nechce spravovat soubory, může lépe sedět 1Password. Všechny tyto možnosti přesouvají část provozní práce na službu.

KeePass doporučujeme tam, kde je vlastní databáze vědomá preference a někdo skutečně pečuje o její dostupnost. Před úplným přechodem proveďte zkoušku: vytvořte testovací záznam, synchronizujte jej, otevřete datovanou zálohu a ověřte nouzový postup bez hlavního zařízení. Pokud některý krok nedává smysl, je to důvod nejprve doplnit plán, nikoli ukládat všechna hesla do jediného souboru a doufat.

Doplňky instalujte podle skutečné potřeby

KeePass má rozšiřující ekosystém, ale každé rozšíření přidává další kód, kterému důvěřujete při práci s citlivými údaji. Neinstalujte sbírku doplňků jen kvůli dlouhému seznamu možností. Nejprve ověřte, zda potřebnou činnost neumí samotný program, a u vybraného doplňku zkontrolujte původ, aktuálnost a kompatibilitu. Zastaralý doplněk může také zkomplikovat aktualizaci nebo návrat na jiný počítač.

Před zkouškou nového rozšíření vytvořte oddělenou kopii databáze a použijte nejprve necitlivý testovací obsah. Neprovádějte změny konfigurace podle náhodného návodu, jehož příkazům nerozumíte. Některé pokročilé funkce pracují s externími programy, odkazy nebo automatickými akcemi. U databáze od jiného člověka se proto nespoléhejte jen na známou příponu; zkontrolujte položky a nespouštějte neznámé připojené soubory či příkazy.

Při každé významné změně konfigurace si poznamenejte datum, použité klienty a výsledek otevření kopie na druhém zařízení. Poznámka nemá obsahovat tajné klíče. Má pouze umožnit později zjistit, po které změně přestala fungovat synchronizace, kompatibilita nebo běžné odemykání.

Často kladené otázky

Kolik stojí KeePass?

Oficiální KeePass Password Safe je zdarma. Samostatně se mohou platit zvolený mobilní klient, cloud nebo záložní médium; tyto náklady nejsou jednotným povinným tarifem programu.

Je KeePass totéž jako KeePassXC?

Ne. Jde o různé projekty. Také kompatibilní mobilní aplikace mají vlastní vydavatele a podmínky; jejich funkce nelze automaticky připsat oficiálnímu KeePassu.

Stačí zkopírovat KDBX jako zálohu?

Potřebujete i všechny části klíče a ověřenou možnost soubor otevřít. Pokud používáte klíčový soubor nebo další vazbu, samotná kopie databáze nemusí být obnovitelná.

Může podpora resetovat zapomenuté heslo?

U místní databáze neexistuje běžný centrální reset se zachováním obsahu. Pomoci může pouze předem připravená vlastní cesta, dostupné klíče a funkční kopie dat.

Je cloud se souborem totéž co synchronizace položek?

Ne. Cloud přenáší soubor, zatímco KeePass umí za určitých podmínek sloučit změny databáze. Prosté přepsání jedné kopie druhou může novější údaje ztratit.

Hodí se pro každou rodinu?

Ne nutně. Pro domácnost ochotnou spravovat databáze může být výborný. Pro rodinu, která chce pozvánky, oddělené trezory a snadno vysvětlitelnou obnovu, bývá vhodnější spravovaná služba.

Zdroje

• KeePass: zabezpečení a hranice ochrany databáze