Пароли клиентов в чатах и таблицах: Passbolt на своём сервере

Где сейчас лежат пароли ваших клиентов

Агентство ведёт рекламные кабинеты, сайты и почты нескольких десятков клиентов. Часть логинов пришла в Telegram, часть лежит в общей таблице, часть знает один менеджер, и он как раз в отпуске. Когда такой человек уходит насовсем, сначала приходится выяснять, кто к чему вообще подключён.

Прикидка на пальцах: у сотрудника доступ к 40 сервисам, на смену пароля и раздачу нового команде уходит по пять минут. Получается больше трёх часов, и это если вы знаете все 40. Цифры мои, у вас будут свои.

Общий сейф с папками, группами и правами превращает вопрос «кто к чему подключён» из расследования в список. О том, что закрывать в день ухода, я писал в статье про доступы уволенного сотрудника. Здесь про инструмент, куда эти пароли стоит сложить.

Что такое Passbolt и как он шифрует

Серверная часть лежит в репозитории passbolt/passbolt_api. В файле LICENSE.txt там GNU AGPL версии 3, а само название Passbolt остаётся торговой маркой компании Passbolt SA. На 12 октября 2026 у репозитория 6157 звёзд и 405 форков, создан он 23 февраля 2016 года, последние изменения кода от 8 октября 2026. Работать можно через расширения для Chrome, Firefox и Edge, мобильные приложения для iOS и Android и командную строку.

Шифрование идёт по стандарту OpenPGP. У каждого пользователя своя пара ключей, закрытый ключ хранится на его устройстве. Когда вы выдаёте пароль коллеге, ваш браузер шифрует копию его открытым ключом. У каждого, кто имеет доступ, своя зашифрованная копия. Сервер расшифровать её не может. Пароли, TOTP-коды и заметки шифруются всегда, а названия и адреса записей, если администратор включил шифрование метаданных.

Что бесплатно, а что в Pro

По странице тарифов passbolt.com/pricing на 12 октября 2026, у Community нет лимита по пользователям. В ней есть пароли, TOTP, зашифрованные заметки, личные и общие папки, пользователи и группы, ролевой доступ, импорт и экспорт в kdbx и csv, расширения для браузеров и командная строка.

Pro стоит 4,5 евро за пользователя в месяц при оплате на год, минимум 10 пользователей, то есть от 540 евро в год. В неё входят единый вход через Microsoft, Google и OpenID, подгрузка пользователей и групп из LDAP (Active Directory, OpenLDAP), журнал действий, теги, политики паролей и MFA, SCIM и восстановление аккаунта через администратора. Как оплатить подписку из России, я не проверял.

Passbolt и Bitwarden

В блоге есть разбор Bitwarden и Vaultwarden. Лучшего среди них назначать не буду, модели разные. В Bitwarden записи организации лежат в коллекциях, владеет ими организация, а доступ к коллекции получают пользователи и группы. В Passbolt права выдаются на запись или папку по трём уровням: читать, изменять, владелец. Для установки на свой сервер Bitwarden просит получить идентификатор и ключ установки на bitwarden.com/host, а в инструкции по Community такого шага нет.

Лицензии тоже разные. Репозиторий сервера Bitwarden разделён между AGPL-3.0 и собственной Bitwarden License, последняя действует для каталога bitwarden_license. У Passbolt на странице тарифов все три издания указаны как AGPL v3.

Если команде нужны личные хранилища сотрудников и лёгкий сервер, смотрите Bitwarden с Vaultwarden. Если главная задача выдавать и отзывать клиентские доступы по людям и группам, Passbolt стоит попробовать рядом. Лучше всего завести обоих на тестовых данных на неделю.

Что важно учесть

Удалили человека из группы: его зашифрованные копии паролей на сервере стираются, доступа через Passbolt у него больше нет. Но пароль он мог успеть скопировать. В документации сказано прямо: уход из группы не равен смене секрета, и при чувствительном уходе пароль надо поменять.

Потеря ключа. Закрытый ключ живёт на устройстве. Если администратор не включил восстановление, а это функция Pro, вернуть доступ можно только файлом recovery kit, который предлагают скачать при первой настройке. Соберите такие файлы у сотрудников сразу.

Установка. Рекомендация документации: 2 ядра, 2 ГБ памяти, 20 ГБ диска, рабочая почта SMTP (приглашения и восстановление идут письмами) и синхронизация времени NTP. HTTPS настраивается при установке, через Let's Encrypt или со своим сертификатом. Установка в Docker названа в документации довольно продвинутым способом, для Debian и Ubuntu есть пакеты.

Копии. В резервную копию входят база, серверные GPG-ключи, конфигурация и сертификаты. После восстановления серверные ключи возвращают на место, поэтому копировать надо и их.

Общие логины от банка или Госуслуг это отдельный вопрос. Вход туда обычно привязан к телефону и подтверждениям, и сейф это не решает. Такие сервисы разбирают отдельно, по правилам каждого.

Что можно сделать уже сейчас

Первое. Выпишите сервисы клиентов и кто к ним подключён. Обычной таблицы хватит, потом её содержимое станет папками в сейфе.

Второе. Поднимите тестовый Passbolt в Docker на отдельном сервере, пригласите 3-4 человек и перенесите одну клиентскую папку. Импорт есть из Bitwarden, LastPass, KeePass, 1Password, Chrome и других менеджеров. Если сами не хотите возиться, поставлю и перенесу пароли под ключ.

Третье. Выдавайте права группам, а не людям: тогда новый сотрудник получает доступ при добавлении в группу, а ушедший теряет его при удалении. Владельцев на запись оставляйте минимум.

Четвёртое. Для подрядчиков и разовых передач держите отдельное правило. Чужой команде пароль проще отправить ссылкой на один просмотр, чем заводить человека в сейф.

Частые вопросы

Хватит ли бесплатной версии?

Для небольшой команды хватит: пользователей без лимита, папки, группы и права на месте. Без Pro не будет единого входа, подгрузки из каталога сотрудников и журнала действий.

Что видит администратор сервера?

Шифртекст. Расшифровывают пароли браузер и приложение пользователя с его закрытым ключом, сервер этого не делает. При удалении пользователя его личные неразделённые записи тоже удаляются, а у общих администратор передаёт владение.

Можно ли перенести пароли из текущего менеджера?

В документации есть инструкции по импорту из Bitwarden, LastPass, KeePass, 1Password, Dashlane, NordPass и браузеров. Перенос я проверяю на копии и только потом удаляю старые хранилища.

Коротко о главном

Passbolt складывает пароли клиентов в сейф, где у каждого человека свой ключ, а доступ раздаётся папками и группами. Бесплатной версии хватит, чтобы навести порядок, платная нужна для единого входа и журнала. При уходе сотрудника из группы его доступ закрывается, но пароли, которые он видел, всё равно меняют.

Пароли клиентов лежат в чатах и таблицах, и хочется, чтобы при уходе человека было понятно, что менять? Напишите мне в Telegram слово «ПАРОЛИ». Посмотрим, что у вас есть, и решим, нужен ли Passbolt или хватит Bitwarden. Про доступы подрядчика можно поговорить заодно.