Lokale prioriteit voor wachtwoordbeveiliging
KeePassXC offline wachtwoordmanager: lokale kluis, synchronisatie en privacy
KeePassXC is voor mensen die wachtwoordbeveiliging willen zonder hun kluis naar een provider te sturen. Het slaat logins, passkeys, notities, TOTP-codes en SSH-geheimen op in een lokale KDBX-database die alleen opent met uw hoofdgeheim.
Deze gids legt uit wanneer KeePassXC geschikt is, hoe u het veilig instelt, synchroniseert zonder controle te verliezen en waar browserintegratie, mobiele apps, back-ups en hardware sleutels mis kunnen gaan.
De handige korte versie
KeePassXC is uitstekend als u volledige controle wilt. Het is niet de makkelijkste optie voor gezinnen, noodherstel of teamdeling. De veilige setup is eenvoudig: één sterk hoofdwachtwoord, één geteste back-up, automatische vergrendeling, zorgvuldige browserkoppeling en een offline opgeslagen herstelnotitie.
Inhoudsopgave
Wanneer KeePassXC een goede keuze is
KeePassXC werkt het beste als u de beveiliging zelf wilt beheren. Er is geen provideraccount, geen abonnement, geen server-side kluisherstel en geen verplichte cloudsync. Dat is het punt, maar het betekent ook dat uw back-uproutine belangrijk is.
Eigendom
Lokale kluis, geen account
Uw wachtwoorddatabase is een bestand dat u beheert. KeePassXC vereist geen providerlogin, facturatieaccount of gehoste synchronisatiedienst.
Transparantie
Open-source desktopapp
KeePassXC is open source, platformonafhankelijk en compatibel met het KDBX-formaat dat door andere KeePass-achtige apps wordt gebruikt.
Dagelijks gebruik
Browser, TOTP, passkeys, SSH
De desktopapp kan browserinvulling, tijdgebaseerde eenmalige codes, passkeys via de officiële extensie en SSH-agentworkflows afhandelen.
Geen lock-in
Werkt met compatibele clients
Een KDBX-kluis kan worden geopend met onderhouden apps zoals KeePassDX of KeePass2Android op Android.
Offline veerkracht
Werkt zonder internet
U kunt de database ontgrendelen tijdens reizen, storingen of beperkte netwerken zolang u het bestand en het hoofdgeheim hebt.
Gevoelige workflows
Kleine provider voetafdruk
Er is geen gehoste kluisdienst die kan worden opgevraagd, gehackt, opgeschort of stilletjes gewijzigd. De beveiliging van uw eigen apparaat wordt het vertrouwenspunt.
KeePassXC versus cloud wachtwoordmanagers
Kies KeePassXC niet alleen omdat het privater klinkt. Kies het als de afweging bij uw situatie past. Een cloudmanager kan veiliger zijn voor sommigen vanwege synchronisatie, delen, apparaatverlies en herstel. KeePassXC is veiliger als lokale controle en een kleinere providervoetafdruk belangrijker zijn.
| Behoefte | Betere pasvorm | Waarom |
|---|---|---|
| U wilt maximale lokale controle | KeePassXC | De kluis kan offline blijven, synchronisatie is optioneel en er is geen provideraccount gekoppeld aan de database. |
| U deelt regelmatig wachtwoorden met familie | Cloud wachtwoordmanager | Delen, herstel, uitnodigingsprocessen en apparaat onboarding verlopen meestal soepeler in Bitwarden, Proton Pass, 1Password of iCloud Keychain. |
| U reist met onbetrouwbaar internet | KeePassXC | De kluis opent lokaal, zelfs als uw provider, browser synchronisatie of mobiele verbinding niet beschikbaar is. |
| U kunt het hoofdwachtwoord vergeten | Cloud wachtwoordmanager | Sommige clouddiensten bieden accountherstel of noodtoegang. KeePassXC kan een verloren hoofdwachtwoord niet herstellen. |
| U beheert ontwikkelaarsgeheimen | KeePassXC | SSH-agentondersteuning, lokale notities, bijlagen, aangepaste velden en offline exportcontrole zijn nuttig voor technische workflows. |
| U wilt lekmeldingen en verfijnde autofill | Cloud wachtwoordmanager | Cloudmanagers bieden vaak geïntegreerde lekcontroles, soepelere mobiele autofill en minder handmatig onderhoud. |
Veilige setup checklist voor KeePassXC
Het eerste uur met KeePassXC is belangrijk. Stel de saaie standaardinstellingen in voordat u wachtwoorden importeert, want het is later veel lastiger om een rommelige kluis te herstellen.
Maak je eerste KDBX-database en open deze opnieuw
- Maak een nieuwe database, geef deze een naam en behoud eerst de standaardinstellingen voor versleuteling. Kies een lang, uniek hoofdwachtwoord, bijvoorbeeld een wachtzin. Sla het KDBX-bestand op in een lokale map die je makkelijk terugvindt.
- Voeg een item toe met een verzonnen gebruikersnaam en een gegenereerd wachtwoord. Laat de URL voor deze oefening leeg. Een item opslaan maakt geen account aan en wijzigt op geen enkele website het wachtwoord.
- Sla de database op en sluit deze. Open het opgeslagen KDBX-bestand opnieuw, voer je hoofdwachtwoord in en controleer of het testitem aanwezig is. Doe dit voordat je echte accounts importeert.
Een wachtwoordkluis houdt browsersessies en hersteladressen niet gescheiden. Voor een profiel onder een pseudoniem moet je die koppelingen apart regelen. Plan een aparte online identiteit
Gebruik een lang hoofdwachtwoord
Kies een memorabele wachtzin die u ook onder stress kunt typen. Als u het vergeet, is er geen resetknop.
Controleer de Argon2id-instellingen
Gebruik moderne KDBX-instellingen met Argon2id. Verhoog geheugen en iteraties alleen zover als elk apparaat nog comfortabel kan ontgrendelen.
Maak back-ups voordat u importeert
Bewaar minstens één versleutelde offline back-up en een aparte kopie van elk sleutelbestand. Test of de back-up opent.
Schakel automatische vergrendeling in
Vergrendel de kluis wanneer het scherm vergrendelt, het systeem slaapt of KeePassXC inactief is. Maak ook het klembord snel leeg.
Herstel documenteren
Schrijf op waar de kluis, back-up, sleutelbestand en reserve hardware sleutel zich bevinden. Bewaar die notitie offline.
Langzaam importeren
Na importeren vanuit een browser of andere wachtwoordmanager, verwijder duplicaten, werk zwakke wachtwoorden bij en voeg URL's toe voordat u autofill inschakelt.
Browserintegratie, Auto-Type en passkeys
KeePassXC kan browserlogins invullen via de officiële KeePassXC-Browser extensie voor Firefox en Chromium-browsers. Dit is handig, maar moet worden gezien als een brug naar uw kluis: koppel alleen browsers die u vertrouwt, verwijder oude koppelingen en houd verschillende browserprofielen gescheiden.
Gebruik browserintegratie wanneer
- U gebruikt één vertrouwd dagelijks browserprofiel en wilt snelle login-invulling.
- U heeft gecontroleerd dat de officiële KeePassXC-Browser extensie gekoppeld is aan de juiste database.
- U wilt passkey-ondersteuning en kunt accountherstel testen voordat u belangrijke logins verplaatst.
- U bent bereid oude browserkoppelingen te verwijderen wanneer profielen of apparaten veranderen.
Gebruik Auto-Type of handmatige kopie wanneer
- je een apart browserprofiel op een vertrouwd apparaat gebruikt en dit bewust niet aan de extensie koppelt.
- De app bevindt zich buiten de browser, zoals een desktopapp, SSH-prompt of beheerdersconsole.
- U voert een zeldzaam waardevol wachtwoord in en wilt brede toegang voor browserextensies vermijden.
Controleer het doelvenster en het webadres voordat je Auto-Type gebruikt of een wachtwoord plakt. Stop bij een verdacht adres: handmatig invoeren voorkomt geen phishing.
Synchroniseer en back-up zonder controle te verliezen
Een KDBX-bestand is versleuteld, dus het opslaan van een kopie in een synchronisatiemap is niet per se onverstandig. Het risico is meestal operationeel: een zwak hoofdwachtwoord, conflicten in de database, ontbrekende back-ups of het bewaren van het sleutelbestand naast de kluis.
Minimale blootstelling
Alleen lokaal plus offline back-up
Het beste als u één hoofdapparaat gebruikt en geen directe mobiele synchronisatie nodig hebt.
- Bewaar de actieve database op het apparaat.
- Maak back-ups naar een versleutelde USB-stick of offline schijf.
- Bewaar het sleutelbestand apart van het KDBX-bestand.
Goede dagelijkse synchronisatie
Syncthing
Goed als u peer-to-peer synchronisatie tussen eigen apparaten wilt zonder commerciële cloudmap.
- Synchroniseer alleen het databasebestand, niet een map vol geëxporteerde geheimen.
- Schakel versiebeheer in zodat per ongeluk verwijderen kan worden hersteld.
- Vermijd het gelijktijdig bewerken van de kluis op twee apparaten.
Handig maar voorzichtig
Cloudopslag
Acceptabel voor veel gebruikers als het hoofdwachtwoord sterk is en back-ups onafhankelijk zijn van het cloudaccount.
- Bewaar het sleutelbestand niet in dezelfde cloudmap als de kluis.
- Gebruik multi-factor authenticatie op het cloudaccount.
- Bewaar een aparte offline kopie voor het geval het account wordt geblokkeerd of verwijderd.
Technische workflow
Git
Nuttig voor versiegeschiedenis, maar alleen als u private remotes begrijpt en de kluis nooit per ongeluk publiceert.
- Gebruik waar mogelijk een privérepository en ondertekende commits.
- Publiceer nooit geëxporteerde CSV-bestanden of tijdelijke platte tekstnotities.
- Draai direct blootgestelde wachtwoorden om als een externe openbaar wordt.
Test een back-up zonder je kluis te overschrijven
- Sla de database op en sluit deze. Kopieer het versleutelde KDBX-bestand naar een aparte back-uplocatie en noteer de datum. Bewaar meerdere versies: synchronisatie kan ook onbedoelde verwijderingen doorgeven. Een CSV-export is geen versleutelde back-up van je kluis.
- Kopieer een back-up naar een aparte testmap en open die kopie. Gebruik het hoofdwachtwoord en alle extra middelen die nodig zijn om die back-up te openen, zoals een sleutelbestand of hardwaresleutel. Controleer een recent item en sluit de kopie. Laat je werkdatabase ongemoeid.
Android- en mobiele toegang
KeePassXC is een desktopapp. Gebruik op Android een onderhouden KeePass-compatibele client zoals KeePassDX of KeePass2Android. Het belangrijkste is niet alleen de appnaam, maar de workflow eromheen: waar de database wordt opgeslagen, hoe deze wordt ontgrendeld en hoe snel het klembord wordt geleegd.
Open de testdatabase op Android
Zet het KDBX-testbestand op je telefoon en open het in KeePassDX of KeePass2Android. Heb je een sleutelbestand ingesteld, zet dat dan apart over. Controleer in vliegtuigstand of je de lokaal opgeslagen database kunt ontgrendelen en het testitem ziet. Handmatige kopieën synchroniseren latere wijzigingen niet.
F-Droid
KeePassDX
Een privacyvriendelijke Android-client voor KDBX-bestanden. Geschikt als u F-Droid verkiest en een overzichtelijke lokale kluisworkflow wilt.
Open KeePassDXGoogle Play
KeePass2Android
Een veelgebruikte Android-client met sterke integratie van cloudbestanden. Handig als uw synchronisatieworkflow al Android-documentproviders gebruikt.
Open KeePass2AndroidDesktop
KeePassXC
Gebruik de officiële desktopapp voor kluisbewerking, browserintegratie, passkey-workflows, SSH-agentconfiguratie en grotere opschoonsessies.
Open KeePassXC downloadsMoet u een hardware beveiligingssleutel toevoegen?
Een hardware sleutel is niet verplicht voor KeePassXC. Het is vooral nuttig om de accounts rondom uw kluis te beschermen: e-mail, apparaat-synchronisatie, cloudopslag en herstelpostvakken. Gevorderde gebruikers kunnen ook challenge-response configuraties verkennen, maar moeten het herstel zorgvuldig documenteren.
Hardware beveiligingssleutel voor kluisherstelaccounts
Gebruik een FIDO2-beveiligingssleutel voor de e-mail- en synchronisatieaccounts die uw wachtwoordkluis beschermen. Koop er twee als het account belangrijk is, registreer beide en bewaar de reserve apart.
Fouten die KeePassXC minder veilig maken
01
Geen geteste back-up
U kopieert de database ergens naartoe, maar controleert nooit of deze opent.
Oplossing: test een herstel na elke grote wijziging in de setup.02
Sleutelbestand opgeslagen naast de kluis
Een aanvaller die de map krijgt, heeft beide onderdelen.
Oplossing: bewaar het sleutelbestand apart en documenteer de locatie.03
Browserextensie overal
Elk browserprofiel wordt een toegang tot de kluis.
Oplossing: koppel alleen profielen die u echt vertrouwt.04
Zwak hoofdwachtwoord
Lokale encryptie helpt alleen als brute force aanvallen duur zijn.
Oplossing: gebruik een lange wachtzin en moderne KDBX-instellingen.05
Conflicterende synchronisatiekopieën
Twee apparaten bewerken de database tegelijk en u mist later invoer.
Oplossing: gebruik versiebeheer en sluit de kluis voordat u van apparaat wisselt.06
Geen noodnotitie
Uw familie of toekomstige zelf kan de kluis, back-up of reserve sleutel niet vinden.
Oplossing: schrijf een eenvoudig herstelplan zonder het hoofdwachtwoord te onthullen.Onderzoek
Bronnen gecontroleerd
Officiële KeePassXC-documentatie, release-opmerkingen en browserextensie-informatie gebruikt voor deze gids.
FAQ
Kan ik KeePassXC helemaal offline gebruiken?
Ja. Een lokaal opgeslagen KDBX-database maken, openen en bewerken kan zonder internet. Updates downloaden, via een onlinedienst synchroniseren en inloggen op websites zijn afzonderlijke netwerkactiviteiten. Staat je database meestal in cloudopslag, zorg dan dat er ook een lokale kopie beschikbaar is.
Is KeePassXC veiliger dan Bitwarden of 1Password?
Het kan veiliger zijn voor lokale controle omdat uw kluis standaard niet in een provideraccount staat. Het kan minder veilig zijn als u back-ups overslaat, een zwak hoofdwachtwoord kiest of functies voor delen en herstel nodig hebt die een cloudmanager beter afhandelt.
Kan ik een KeePassXC-database opslaan in Dropbox, iCloud, Google Drive of OneDrive?
Ja, als het hoofdwachtwoord sterk is en u onafhankelijke back-ups bewaart. Het KDBX-bestand is versleuteld, maar bewaar het sleutelbestand niet naast het bestand en vertrouw niet alleen op het cloudaccount als back-up.
Ondersteunt KeePassXC passkeys?
KeePassXC kan passkeys opslaan en gebruiken via de officiële KeePassXC-Browser extensie. Test de workflow eerst met accounts met laag risico, omdat passkey herstel kan verschillen per website, browser en apparaat.
Wat gebeurt er als ik mijn hoofdwachtwoord verlies?
De kluis kan niet worden gereset door KeePassXC of een supportteam. U heeft het hoofdwachtwoord en elk geconfigureerd sleutelbestand of challenge-response apparaat nodig. Bewaar een offline herstelplan.
Is er een officiële KeePassXC-app voor Android?
Nee. KeePassXC is de desktopapp. Gebruik op Android een compatibele KeePass-client zoals KeePassDX of KeePass2Android en open dezelfde KDBX-database.
Moet ik een sleutelbestand gebruiken met KeePassXC?
Een sleutelbestand kan helpen, maar alleen als u het apart opslaat en veilig back-upt. Als het sleutelbestand verloren gaat, kan de kluis onherstelbaar zijn; als het naast de database ligt, biedt het weinig bescherming.
Kan KeePassXC een teamwachtwoordmanager vervangen?
Meestal niet voor niet-technische teams. KeePassXC is sterk in individuele controle en kleine zorgvuldige workflows, maar beheerd delen, intrekken, audit en herstel zijn makkelijker in een speciale teamwachtwoordmanager.