Záloha správce hesel: bezpečný export a ověřená obnova trezoru

Synchronizovaný trezor na telefonu a notebooku není automaticky nezávislá záloha. Když se chyba nebo smazání přenese na obě zařízení, dvě obrazovky mohou ukazovat stejnou ztrátu. Dobrá záloha musí uchovat potřebná data a musí jít otevřít bez toho, co při havárii chybí. Tím může být původní účet, hlavní telefon nebo určitý šifrovací klíč. Tento návod ukazuje, jak zvolit formát, ochránit kopii a bezpečně ověřit obnovu.

Podklady k exportům jsme ověřovali 21. října 2026 v oficiální dokumentaci. Nejde o tvrzení, že existuje jeden soubor zachovávající všechny funkce všech správců. Hesla, passkeys, přílohy a sdílené položky vyžadují odlišnou pozornost. Nejprve si přečtěte profil svého správce v hlavním srovnání; při změně produktu použijte také návod na migraci.

Nejdřív si určete, před čím se chráníte

Záloha pro nechtěné smazání jedné položky může mít jiné požadavky než kopie pro úplný zánik účtu. V prvním případě může stačit historie nebo koš služby. V druhém potřebujete soubor a potřebné klíče mimo původní účet. Nezávislost se posuzuje podle scénáře havárie. Export, který funguje jen po přihlášení do právě ztraceného účtu, pro tento scénář nepostačuje.

Napište si alespoň tři konkrétní situace: porucha hlavního telefonu, ztráta všech současných přihlášení a chybná hromadná úprava trezoru. U každé určete, co potřebujete vrátit a čím to otevřete. Nejde o složitý technický dokument. Pět srozumitelných řádků často odhalí kruh, ve kterém heslo k záloze leží pouze uvnitř samotné zálohy nebo nedostupného trezoru.

Zvažte také čas. Záloha stará dva roky může být technicky čitelná, ale obsahovat řadu neplatných hesel a chybějící nové účty. Naopak denně přepisovaná jediná kopie může rychle převzít chybu. Vyvážený plán uchovává několik známých stavů s datem a má jasné pravidlo, kdy se vytváří nový. Nemusí generovat otevřený export při každé drobné změně.

Co přesně potřebujete uchovat

Udělejte inventář kategorií, ne seznam všech tajemství na papír. Běžné přihlašovací položky mohou tvořit většinu trezoru, ale důležité výjimky se obvykle schovávají jinde. Poznámka může obsahovat zákaznické číslo, příloha jediný licenční soubor a sdílená kolekce přístup k domácí přípojce. Pokud export zahrne jen osobní přihlášení, tyto věci vám chybí, i když se stáhne velký soubor.

• Hesla a správné webové adresy patří ke konkrétním účtům, ne jen k obecnému názvu služby.
• Poznámky a vlastní pole mohou obsahovat důležité údaje potřebné při obnově.
• TOTP má vlastní tajemství; měnící se kód na obrazovce není jeho dlouhodobá kopie.
• Passkeys nemusí být obsaženy ve standardním souboru nebo nemusí po návratu fungovat.
• Přílohy a organizačně vlastněné položky mohou vyžadovat samostatný export a oprávnění.

U rodiny se nesnažte jedním soukromým exportem organizátora nahradit zálohy osobních trezorů všech členů. Zároveň sdílený trezor nemusí být zahrnutý v osobní kopii. Každý musí vědět, kdo zálohuje společnou část a jak by získal své vlastní údaje. Při obnově je rozdíl mezi kopírováním dat a přenosem původních sdílecích práv. Záloha souboru nemusí zachovat stejné členství.

CSV, JSON, ZIP a KDBX: název nestačí

CSV je obvykle otevřený textový seznam polí. JSON může zachovat více struktury, ale také může být zcela nešifrovaný. ZIP je archiv; šifrování závisí na zvolené variantě a způsobu ochrany. Technická přípona sama nepředstavuje ochranu. Soubor obsahující skutečná hesla nepatří do e-mailu, veřejného převodníku ani internetové poradny jen proto, že nevypadá jako běžný dokument.

KDBX je šifrovaná databáze používaná KeePassem a některými kompatibilními nástroji. Může být užitečná pro nezávislou kopii, ale musíte znát její heslo a případný klíčový soubor. Specializovaný exportní formát jiného správce může potřebovat jeho vlastní aplikaci nebo účet. Zajímejte se proto o skutečný způsob otevření, ne pouze o zelenou ikonu zámku u souboru.

Při výběru formátu si položte dvě otázky: dokážu jej otevřít bez původního účtu a obnoví se právě ty údaje, které potřebuji? Odpovědi mohou být pro různé situace odlišné. Pro návrat do stejné aplikace může být nejlepší jiný formát než pro přechod ke konkurenci. Nemusíte uchovávat každou variantu; zvolte co nejmenší počet skutečně ověřených a chráněných kopií.

Bitwarden: pozor na vazbu šifrovaného exportu

Bitwarden rozlišuje export omezený na původní účet a export chráněný samostatným heslem. První varianta může být použitelná jen pro účet, který ji vytvořil, a některé změny šifrovacího klíče ji zneplatní. Nový účet se stejným e-mailem nemusí být stejný účet. Pro scénář úplné ztráty původní identity je tento rozdíl zásadní a má být vyřešen už při vytváření kopie.

Heslem chráněný export může být přenositelnější pro obnovu do jiného účtu Bitwarden. Potřebné heslo však nesmí být pouze v původním trezoru. JSON zachovává více typů údajů než CSV a současná dokumentace popisuje také další varianty včetně individuálního ZIPu s přílohami. Žádný tento údaj ale nenahrazuje kontrolu obsahu pro vaši konkrétní kopii. Koš, Sends a organizační data mají vlastní hranice.

Před exportem ověřte aktuální synchronizaci a správný trezor. U organizačních položek potřebujete odpovídající oprávnění a jiný rozsah exportu. Pokud obnovujete osobní kopii, nečekejte automatické znovuvytvoření celé rodinné struktury. Pro společné údaje si uchovejte také srozumitelný popis, kdo má co používat; samotná záloha jednoho člověka není plán všech členů domácnosti.

1Password: 1PUX je otevřený export

1Password v počítačových aplikacích nabízí 1PUX a CSV. Oficiální návod výslovně upozorňuje, že exportované soubory nejsou šifrované. 1PUX tedy nepovažujte za zamčený trezor jen podle názvu. Chcete-li jej uchovávat, potřebuje odpovídající nezávislou ochranu a bezpečné klíče. CSV má navíc omezený rozsah polí a nepřenáší všechny druhy údajů jako bohatší export.

Emergency Kit má jiný účel. Uchovává přístupové informace k účtu, ale není kopií všech položek trezoru. Pokud služba nebo obsah není dostupný, samotný nouzový list jej nevytvoří znovu. Záloha obsahu a plán přihlášení se proto doplňují. U passkeys se podle současné dokumentace řeší podporovaný přímý mobilní přenos; obyčejný desktopový export tuto cestu nenahrazuje.

Proton, Dashlane a Keeper mají další odlišnosti

Proton Pass popisuje export PGP šifrovaného JSONu v ZIPu i nešifrované varianty. Volte podle plánovaného použití a bezpečně uložte frázi exportu. Není totéž zazipovat otevřená data a zvolit skutečně šifrovanou variantu. Oficiální návod také rozlišuje dostupné aplikace, ze kterých lze export vytvořit. Neodkládejte první pokus až na chvíli, kdy máte jen telefon bez potřebné možnosti.

Dashlane používá pro chráněný návrat formát DASH, ale dokumentace uvádí obsahové výjimky. Passkeys tímto souborem ani CSV funkčně nezálohujete; přílohy poznámek a některé omezeně sdílené položky vyžadují další řešení. Přímý Credential Exchange je odlišná přenosová cesta mezi kompatibilními aplikacemi. Uložený název passkey po importu není důkaz, že se k webu skutečně přihlásíte.

Keeper vedle otevřených formátů nabízí šifrovaný export KDBX s nově zvoleným heslem. Ten může posloužit jako nezávislá kopie pro kompatibilní aplikaci. Ověřte ale obsah a výjimky, včetně příloh, vlastních polí a passkeys. Pokud přidáte klíčový soubor, zazálohujte jej také. Silnější ochrana bez dostupné druhé části klíče může v havárii znamenat nedostupná data.

U NordPass a RoboFormu si před vytvořením kopie potvrďte aktuální exportní možnost používaného klienta a konkrétní typ dat. Neodvozujte úplnost z toho, že funguje synchronizace nebo předplatné pokračuje. Každý z těchto produktů má vlastní model obnovy účtu. U libovolného správce platí stejné praktické kritérium: kopie musí být dostupná, čitelná oprávněnému člověku a dostatečně aktuální.

KeePass: soubor i klíče jsou na vás

U KeePassu bývá základní zálohou datovaná kopie KDBX. Pokud používáte jen hlavní frázi, potřebujete ji bezpečně zachovat; s klíčovým souborem musíte chránit i ten. Vázání na další systémové prostředí může přidat zvláštní požadavky při obnově. Samotná existence souboru na USB neprokazuje, že jej otevřete na novém počítači. Tento krok se musí předem vyzkoušet.

Cloudová synchronizace databáze může přenést nechtěné přepsání nebo smazání. Dvě kopie v jedné synchronizované složce nemají stejnou nezávislost jako oddělená datovaná kopie mimo běžnou pracovní cestu. Při konfliktu souborů nejprve uchovejte oba stavy, potom hledejte správné sloučení. Uklizení konfliktní kopie bez kontroly může odstranit právě změny, které se snažíte zachránit.

Kde a jak chráněnou kopii uchovat

Vyberte místo dostupné i při ztrátě hlavního zařízení. Může jít o chráněné výměnné médium nebo šifrovaný soubor ve vhodném úložišti, pokud je přístup nezávislý na zamčeném trezoru. Zároveň myslete na fyzickou ztrátu, požár či odcizení. Druhá kopie ve stejné brašně s notebookem neřeší krádež celé brašny. Kopie na jiném místě má být stejně důsledně chráněná.

Heslo k záloze nemá být krátké jen kvůli snazšímu opisování. Soubor lze po odcizení zkoušet otevřít mimo původní službu bez běžných online omezení. Dlouhou samostatnou frázi nebo potřebnou klíčovou informaci uložte v promyšlené nouzové cestě. Rozhodněte, kdo ji smí použít a kdy. Ochrana před cizí osobou a dostupnost pro vás jsou dvě současné podmínky dobrého návrhu.

Nehromaďte otevřené exporty jako náhradu zálohovacího plánu. Každá další kopie zvyšuje počet míst s úplným seznamem přístupů. Před vytvořením otevřeného souboru zvažte, zda je skutečně potřebný, a pracujte v chráněném prostoru. Po jednorázovém převodu odstraňte pracovní kopie a prověřte stahování, koš i cloud. Jednoduché smazání negarantuje fyzické přepsání všech historických kopií na moderním disku.

Bezpečný malý pokus o obnovu

Nejdříve použijte necitlivou testovací položku a ověřte formát v odděleném prostředí, které nebude přepisovat živá data. Pokud formát nebo aplikace dovolují pouze širší export, zacházejte s ním podle skutečné citlivosti. Nezakládejte kvůli testu zbytečně další nechráněné kopie na cizích službách. Cílem je potvrdit schopnost otevření, ne rozšířit přístupy k obsahu.

Zkontrolujte správné názvy, adresy, poznámky a vybrané další typy údajů. Když obnovujete do jiné aplikace, otestujte také skutečné přihlášení u několika bezpečně vybraných účtů. U passkeys a druhých faktorů použijte jejich vlastní postupy. Test s falešnými daty může ověřit mechanismus, ale úplnost skutečného exportu ještě potřebuje kontrolu kategorií a výjimek. Nepřipisujte jedné malé zkoušce větší důkazní sílu, než má.

Kdy zálohu aktualizovat

Novou kopii zvažte po významném přidání účtů, hromadné opravě hesel, změně exportního klíče nebo změně rodinné struktury. Také po obnově účtu mohou být staré přístupové údaje k exportům či dokumentům neaktuální. Datum a stručný rozsah kopie uchovávejte bez samotných hesel v názvu. Při otevření starší zálohy pak snáze poznáte, které novější změny v ní nemohou být.

Starší chráněná kopie může pomoci při nechtěné změně, ale nesmí se slepě vracet přes aktuální trezor. Obsahuje také hesla, která jste mezitím z bezpečnostního důvodu změnili. Nejprve ji otevřete odděleně a zachraňujte potřebné položky s kontrolou. Pokud máte podezření na únik celé kopie, řešte rozsah dotčených tajemství podle postupu po úniku, ne pouze smazáním lokálního souboru.

Záloha a nouzový přístup se doplňují

Nouzový kontakt může pomoci dostat se do existujícího účtu, ale jeho oprávnění může mít širší dosah, než chcete dlouhodobě předat. Záloha zase může zachovat obsah bez dostupnosti služby, ale potřebuje samostatné klíče a znalost použití. Ani jedna cesta automaticky nenahrazuje druhou. Průvodce nouzovým přístupem pomůže určit, komu a jaké oprávnění svěřit podle potřeby domácnosti.

Pro rodinu připravte krátký návod bez technických záhad. Má uvádět, jak poznat správnou kopii, čím se otevírá a kde je chráněná přístupová cesta. Nevkládejte všechny tajné údaje do široce sdíleného dokumentu jen pro snadnější hledání. U služeb s vlastní identitou a oprávněními zůstávají důležité oficiální postupy; znalost hesla sama nezajišťuje právo účet používat za jiného člověka.

Před uložením kopie projděte ještě krátkou kontrolu:

• Umístění přežije ztrátu hlavního zařízení a není jedině v jeho brašně.
• Potřebné heslo nebo klíčový soubor je dostupný chráněnou nezávislou cestou.
• Datum a rozsah kopie jsou známé, včetně věcí, které export nepřenáší.
• Máte bezpečný nástroj k otevření a nejde jen o neověřenou příponu.

Pokud některý bod neumíte potvrdit, upravte plán předtím, než na kopii začnete spoléhat.

Často kladené otázky

Stačí synchronizace na dva telefony?

Ne vždy. Může přenést stejnou chybu nebo smazání. Samostatná záloha má zachovat obnovitelný stav dostupný také při ztrátě původní služby či účtu.

Je ZIP automaticky zašifrovaný?

Ne. Rozhoduje zvolený formát a ochrana. Také JSON či specializovaný název mohou obsahovat otevřená tajemství; vždy čtěte popis konkrétní exportní varianty.

Je Emergency Kit kopií trezoru?

Ne. U 1Password obsahuje přístupové informace k účtu. Samostatný obsahový export řeší jinou situaci a potřebuje odpovídající ochranu.

Proč nestačí export vázaný na účet?

Pro některé scénáře stačit může, ale nemusí jít obnovit do jiného nebo znovu založeného účtu. Pro úplnou ztrátu identity potřebujete ověřenou nezávislou cestu.

Obsahuje každá záloha passkeys?

Ne. Podpora se liší podle správce, formátu a platformy. Ověřte funkční přenos nebo zachovejte další platnou přihlašovací cestu u příslušné služby.

Jak poznám použitelnou zálohu?

Má známé datum, správný rozsah, dostupné klíče a ověřenou možnost otevření či obnovy. Samotná velikost souboru nebo hláška o dokončení nestačí.

Zdroje

• Bitwarden: šifrované exporty a vazba na účet
• 1Password: otevřené exporty a podporované platformy
• Keeper: export do KDBX a dalších formátů