Passbolt: общие пароли команды и доступы подрядчикам на своём сервере

Пароль подрядчику ушёл в чат

Привели верстальщика, он просит доступ к хостингу. Привели рекламщика, ему нужен кабинет. Пароль уходит в мессенджер, потому что так быстрее. Через полгода подрядчик давно закончил работу, а пароль всё ещё лежит в переписке, и никто не помнит, кто ещё его видел.

Для одноразовой передачи у меня есть разбор про ссылки на один просмотр. Passbolt закрывает другую задачу: общие доступы, которыми команда и подрядчики пользуются неделями, и их своевременный отзыв. О том, как закрывать всё в день ухода сотрудника, я писал в статье про offboarding.

Что это за проект и что я проверил

Проверял по первоисточникам 12.10.2026. Репозиторий passbolt/passbolt_api описан как серверный API открытого менеджера паролей для команд. Файл LICENSE.txt содержит текст GNU AGPL версии 3. Репозиторий создан в 2016 году, не архивирован, около 6,2 тысячи звёзд. Последний релиз v5.16.0 вышел 17 сентября 2026 года (в нём появился офлайн-режим в статусе беты). Последний коммит в ветке master датирован тем же днём, а обновления в репозитории были и 8 октября.

На странице безопасности написано, что система построена на OpenPGP и каждый секрет шифруется отдельно для каждого пользователя с доступом. Секретный ключ не уходит на сервер в открытом виде. Шифрует и расшифровывает расширение браузера или приложение, сервер хранит только зашифрованные данные. Клиенты по README: расширения для Chrome, Firefox и Edge, приложения для iOS и Android, консольный клиент.

Как выдаются и отзываются доступы

По документации, у пароля три уровня: «читать» (видеть и использовать), «менять» (плюс редактировать и удалять) и «владелец» (плюс управлять тем, с кем пароль разделён). Диалог доступа открывает только владелец, и у каждого пароля должен остаться хотя бы один владелец.

Группы создаёт администратор и назначает хотя бы одного менеджера группы. Менеджер добавляет и убирает участников. Добавление работает необычно: браузер менеджера расшифровывает каждый общий секрет и шифрует его заново для новичка. Поэтому администратор, который не менеджер группы, участников добавить не может, а группа с множеством общих паролей добавляется заметно дольше. Синхронизация с каталогом участников в такие группы не добавляет, менеджерам приходит уведомление.

Отзыв выглядит так. Вы убираете подрядчика из группы «Сайт клиента», и его доступ к паролям группы, а также его зашифрованные копии секретов удаляются. Если у него есть другой доступ, например личный или через вторую группу, он остаётся. Документация честно предупреждает: человек мог уже увидеть пароль, поэтому для чувствительных случаев сам пароль нужно сменить.

Бесплатная и платная версии

По странице цен Community Edition бесплатна, без ограничения пользователей. В ней есть пароли и общий доступ, личные и общие папки, пользователи и группы, ролевой доступ, двухфакторный вход, API, расширения браузера и консольный клиент, срок действия паролей. Pro добавляет теги, подключение LDAP (AD и OpenLDAP), SSO через Microsoft, Google и OpenID, восстановление аккаунта, журнал действий и поддержку на следующий рабочий день. По разделу вопросов на странице цен, Pro тоже распространяется под AGPL v3, а подписка даёт ключ, обновления и поддержку.

Цена Pro на 12.10.2026: 4,5 евро за пользователя в месяц при оплате за год, минимум 10 пользователей, скидки после 100. Даты вступления цены в силу на странице нет. Цену облачной версии я не проверял. Пользователем считается каждый активный аккаунт, то есть подрядчик тоже платный. Условный пример: 8 сотрудников и 4 подрядчика, 12 аккаунтов по прайсу дают 54 евро в месяц, 648 евро в год. Оплата из России и работа поддержки: уточняйте.

Passbolt или Bitwarden

Подробный разбор Bitwarden и Vaultwarden у меня в отдельной статье, поэтому здесь только разница, которая важна при выдаче доступов.

Bitwarden хранит пароли организации в коллекциях, и доступ выдаётся к коллекции. В Passbolt доступ привязан к каждому паролю и папке, а группа это способ раздать его сразу многим. Лицензии тоже отличаются. Сервер Bitwarden в основном под AGPL, но каталог bitwarden_license в репозитории под лицензией «source available», для продакшена она требует подписки. У Passbolt, по странице цен, Community под AGPL, и Pro по её же разделу вопросов тоже. Vaultwarden сам называет себя неофициальным сервером, совместимым с Bitwarden, лицензия AGPL-3.0.

Что важно учесть

Требования сервера. По документации: PHP 8.2 или новее, MariaDB 10.6 или MySQL 8.0, Apache или Nginx, сертификат TLS. В файле composer.json есть расширение GnuPG. Минимальная машина по странице документации: 2 ядра, 2 ГБ памяти, 20 ГБ диска, эта страница не новая, проверяйте актуальные цифры перед покупкой сервера.

Журнал действий есть только в Pro. В бесплатной версии вы не увидите, кто и когда открывал пароль. Если подрядчик работает с рекламным кабинетом клиента, без журнала не узнать, открывал ли он пароль.

Подрядчик должен поставить расширение и создать ключ. Для разового доступа на час это тяжело, там лучше одноразовая ссылка. В Pro есть восстановление аккаунта (Escrow). Как оно меняет модель угроз, читайте в белой книге по безопасности до включения.

Что можно сделать уже сейчас

Составьте таблицу «кто что видит»: система, кто владелец, кто в группе, какой уровень, кто менеджер группы, когда пароль меняли в последний раз.

Раздайте доступы группами по проектам, а не людям поштучно. Подрядчик входит в группу проекта и выходит из неё, когда работа принята. Правило отзыва: убрали из группы, в тот же день поменяли пароль. Порядок передачи дел описан в статье про доступы и документацию при работе с подрядчиком.

Поставьте Passbolt на тестовый сервер и проверьте три сценария: добавить человека в группу, убрать, увидеть изменение прав. Развернуть его у вас, настроить резервные копии и обучить команду могу в рамках услуги по кибербезопасности.

Частые вопросы

Видит ли администратор сервера пароли?

Шифрование идёт на стороне пользователя, и сервер хранит зашифрованные данные, об этом говорит страница безопасности. Отдельно роль администратора в документации про чтение секретов не описана, это я не подтвердил.

Хватит ли бесплатной версии для небольшой команды?

Для групп, папок и ролей хватит. Если нужен журнал действий, SSO или импорт пользователей из каталога, нужна Pro.

Можно ли выдать доступ подрядчику без аккаунта?

Нет, нужен аккаунт со своим ключом. Для разового доступа используйте одноразовую ссылку, как в статье про Yopass.

Коротко о главном

Passbolt под AGPL-3.0 даёт командам общее хранилище паролей на своём сервере с группами и уровнями доступа. Отзыв убирает доступ к хранилищу, а смена пароля закрывает то, что человек уже увидел. Журнал действий, SSO и LDAP платные.

Если хотите, чтобы я развернул Passbolt под ваших подрядчиков и составил таблицу «кто что видит», напишите мне в Telegram кодовое слово «ПАССБОЛТ».