Lokale prioriteit voor wachtwoordbeveiliging
KeePassXC wachtwoordmanager: gids voor veilige lokale kluis
KeePassXC is voor mensen die wachtwoordbeveiliging willen zonder hun kluis naar een provider te sturen. Het slaat logins, passkeys, notities, TOTP-codes en SSH-geheimen op in een lokale KDBX-database die alleen opent met uw hoofdgeheim.
Deze gids legt uit wanneer KeePassXC geschikt is, hoe u het veilig instelt, synchroniseert zonder controle te verliezen en waar browserintegratie, mobiele apps, back-ups en hardware sleutels mis kunnen gaan.
De nuttige korte versie
KeePassXC is uitstekend als u volledige controle wilt. Het is niet de makkelijkste optie voor gezinnen, noodherstel of teamdeling. De veilige setup is eenvoudig: één sterk hoofdwachtwoord, één geteste back-up, automatische vergrendeling, zorgvuldige browserkoppeling en een offline opgeslagen herstelnotitie.
Inhoudsopgave
Wanneer KeePassXC een goede keuze is
KeePassXC werkt het beste als u de beveiliging zelf wilt beheren. Er is geen provideraccount, geen abonnement, geen server-side kluisherstel en geen verplichte cloudsync. Dat is het punt, maar het betekent ook dat uw back-uproutine belangrijk is.
Eigendom
Lokale kluis, geen account
Uw wachtwoorddatabase is een bestand dat u beheert. KeePassXC vereist geen providerlogin, facturatieaccount of gehoste synchronisatiedienst.
Transparantie
Open-source desktopapp
KeePassXC is open source, platformonafhankelijk en compatibel met het KDBX-formaat dat door andere KeePass-achtige apps wordt gebruikt.
Dagelijks gebruik
Browser, TOTP, passkeys, SSH
De desktopapp kan browserinvulling, tijdgebaseerde eenmalige codes, passkeys via de officiële extensie en SSH-agentworkflows afhandelen.
Geen lock-in
Werkt met compatibele clients
Een KDBX-kluis kan worden geopend met onderhouden apps zoals KeePassDX of KeePass2Android op Android.
Offline veerkracht
Werkt zonder internet
U kunt de database ontgrendelen tijdens reizen, storingen of beperkte netwerken zolang u het bestand en het hoofdgeheim hebt.
Gevoelige workflows
Kleine provider voetafdruk
Er is geen gehoste kluisdienst die kan worden opgevraagd, gehackt, opgeschort of stilletjes gewijzigd. De beveiliging van uw eigen apparaat wordt het vertrouwenspunt.
KeePassXC versus cloud wachtwoordmanagers
Kies KeePassXC niet alleen omdat het privater klinkt. Kies het als de afweging bij uw situatie past. Een cloudmanager kan veiliger zijn voor sommigen vanwege synchronisatie, delen, apparaatverlies en herstel. KeePassXC is veiliger als lokale controle en een kleinere providervoetafdruk belangrijker zijn.
| Benodigd | Betere keuze | Waarom |
|---|---|---|
| U wilt maximale lokale controle | KeePassXC | De kluis kan offline blijven, synchronisatie is optioneel en er is geen provideraccount gekoppeld aan de database. |
| U deelt regelmatig wachtwoorden met familie | Cloud wachtwoordmanager | Delen, herstel, uitnodigingsprocessen en apparaat onboarding verlopen meestal soepeler in Bitwarden, Proton Pass, 1Password of iCloud Keychain. |
| U reist met onbetrouwbaar internet | KeePassXC | De kluis opent lokaal, zelfs als uw provider, browser synchronisatie of mobiele verbinding niet beschikbaar is. |
| U kunt het hoofdwachtwoord vergeten | Cloud wachtwoordmanager | Sommige clouddiensten bieden accountherstel of noodtoegang. KeePassXC kan een verloren hoofdwachtwoord niet herstellen. |
| U beheert ontwikkelaarsgeheimen | KeePassXC | SSH-agentondersteuning, lokale notities, bijlagen, aangepaste velden en offline exportcontrole zijn nuttig voor technische workflows. |
| U wilt lekmeldingen en verfijnde autofill | Cloud wachtwoordmanager | Cloudmanagers bieden vaak geïntegreerde lekcontroles, soepelere mobiele autofill en minder handmatig onderhoud. |
Veilige setup checklist voor KeePassXC
Het eerste uur met KeePassXC is belangrijk. Stel de saaie standaardinstellingen in voordat u wachtwoorden importeert, want het is later veel lastiger om een rommelige kluis te herstellen.
Gebruik een lang hoofdwachtwoord
Kies een memorabele wachtzin die u ook onder stress kunt typen. Als u het vergeet, is er geen resetknop.
Houd Argon2id ingeschakeld
Gebruik moderne KDBX-instellingen met Argon2id. Verhoog geheugen en iteraties alleen zover als elk apparaat nog comfortabel kan ontgrendelen.
Maak back-ups voordat u importeert
Bewaar minstens één versleutelde offline back-up en een aparte kopie van elk sleutelbestand. Test of de back-up opent.
Schakel automatische vergrendeling in
Vergrendel de kluis wanneer het scherm vergrendelt, het systeem slaapt of KeePassXC inactief is. Maak ook het klembord snel leeg.
Herstel documenteren
Schrijf op waar de kluis, back-up, sleutelbestand en reserve hardware sleutel zich bevinden. Bewaar die notitie offline.
Langzaam importeren
Na importeren vanuit een browser of andere wachtwoordmanager, verwijder duplicaten, werk zwakke wachtwoorden bij en voeg URL's toe voordat u autofill inschakelt.
Browserintegratie, Auto-Type en passkeys
KeePassXC kan browserlogins invullen via de officiële KeePassXC-Browser extensie voor Firefox en Chromium-browsers. Dit is handig, maar moet worden gezien als een brug naar uw kluis: koppel alleen browsers die u vertrouwt, verwijder oude koppelingen en houd verschillende browserprofielen gescheiden.
Gebruik browserintegratie wanneer
- U gebruikt één vertrouwd dagelijks browserprofiel en wilt snelle login-invulling.
- U heeft gecontroleerd dat de officiële KeePassXC-Browser extensie gekoppeld is aan de juiste database.
- U wilt passkey-ondersteuning en kunt accountherstel testen voordat u belangrijke logins verplaatst.
- U bent bereid oude browserkoppelingen te verwijderen wanneer profielen of apparaten veranderen.
Gebruik Auto-Type of handmatige kopie wanneer
- U logt in vanaf een tijdelijk, anoniem, werk- of gedeeld browserprofiel.
- De app bevindt zich buiten de browser, zoals een desktopapp, SSH-prompt of beheerdersconsole.
- U voert een zeldzaam waardevol wachtwoord in en wilt brede toegang voor browserextensies vermijden.
- De URL van de pagina ziet er ongebruikelijk uit en u wilt de invoer controleren voordat u iets invult.
Synchroniseer en back-up zonder controle te verliezen
Een KDBX-bestand is versleuteld, dus het opslaan van een kopie in een synchronisatiemap is niet per se onverstandig. Het risico is meestal operationeel: een zwak hoofdwachtwoord, conflicten in de database, ontbrekende back-ups of het bewaren van het sleutelbestand naast de kluis.
Minimale blootstelling
Alleen lokaal plus offline back-up
Het beste als u één hoofdapparaat gebruikt en geen directe mobiele synchronisatie nodig hebt.
- Bewaar de actieve database op het apparaat.
- Maak back-ups naar een versleutelde USB-stick of offline schijf.
- Bewaar het sleutelbestand apart van het KDBX-bestand.
Goede dagelijkse synchronisatie
Syncthing
Goed als u peer-to-peer synchronisatie tussen eigen apparaten wilt zonder commerciële cloudmap.
- Synchroniseer alleen het databasebestand, niet een map vol geëxporteerde geheimen.
- Schakel versiebeheer in zodat per ongeluk verwijderen kan worden hersteld.
- Vermijd het gelijktijdig bewerken van de kluis op twee apparaten.
Handig maar voorzichtig
Cloudopslag
Acceptabel voor veel gebruikers als het hoofdwachtwoord sterk is en back-ups onafhankelijk zijn van het cloudaccount.
- Bewaar het sleutelbestand niet in dezelfde cloudmap als de kluis.
- Gebruik multi-factor authenticatie op het cloudaccount.
- Bewaar een aparte offline kopie voor het geval het account wordt geblokkeerd of verwijderd.
Technische workflow
Git
Nuttig voor versiegeschiedenis, maar alleen als u private remotes begrijpt en de kluis nooit per ongeluk publiceert.
- Gebruik waar mogelijk een privérepository en ondertekende commits.
- Publiceer nooit geëxporteerde CSV-bestanden of tijdelijke platte tekstnotities.
- Draai direct blootgestelde wachtwoorden om als een externe openbaar wordt.
Android- en mobiele toegang
KeePassXC is een desktopapp. Gebruik op Android een onderhouden KeePass-compatibele client zoals KeePassDX of KeePass2Android. Het belangrijkste is niet alleen de appnaam, maar de workflow eromheen: waar de database wordt opgeslagen, hoe deze wordt ontgrendeld en hoe snel het klembord wordt geleegd.
F-Droid
KeePassDX
Een privacyvriendelijke Android-client voor KDBX-bestanden. Geschikt als u F-Droid verkiest en een overzichtelijke lokale kluisworkflow wilt.
Open KeePassDXGoogle Play
KeePass2Android
Een veelgebruikte Android-client met sterke integratie van cloudbestanden. Handig als uw synchronisatieworkflow al Android-documentproviders gebruikt.
Open KeePass2AndroidDesktop
KeePassXC
Gebruik de officiële desktopapp voor kluisbewerking, browserintegratie, passkey-workflows, SSH-agentconfiguratie en grotere opschoonsessies.
Open KeePassXC downloadsMoet u een hardware beveiligingssleutel toevoegen?
Een hardware sleutel is niet verplicht voor KeePassXC. Het is vooral nuttig om de accounts rondom uw kluis te beschermen: e-mail, apparaat-synchronisatie, cloudopslag en herstelpostvakken. Gevorderde gebruikers kunnen ook challenge-response configuraties verkennen, maar moeten het herstel zorgvuldig documenteren.
Fouten die KeePassXC minder veilig maken
01
Geen geteste back-up
U kopieert de database ergens naartoe, maar controleert nooit of deze opent.
Oplossing: test een herstel na elke grote wijziging in de setup.02
Sleutelbestand opgeslagen naast de kluis
Een aanvaller die de map krijgt, heeft beide onderdelen.
Oplossing: bewaar het sleutelbestand apart en documenteer de locatie.03
Browserextensie overal
Elk browserprofiel wordt een toegang tot de kluis.
Oplossing: koppel alleen profielen die u echt vertrouwt.04
Zwak hoofdwachtwoord
Lokale encryptie helpt alleen als brute force aanvallen duur zijn.
Oplossing: gebruik een lange wachtzin en moderne KDBX-instellingen.05
Conflicterende synchronisatiekopieën
Twee apparaten bewerken de database tegelijk en u mist later invoer.
Oplossing: gebruik versiebeheer en sluit de kluis voordat u van apparaat wisselt.06
Geen noodnotitie
Uw familie of toekomstige zelf kan de kluis, back-up of reserve sleutel niet vinden.
Oplossing: schrijf een eenvoudig herstelplan zonder het hoofdwachtwoord te onthullen.Onderzoek
Bronnen gecontroleerd
Officiële KeePassXC-documentatie, release-opmerkingen en browserextensie-informatie gebruikt voor deze gids.
Veelgestelde vragen over KeePassXC wachtwoordmanager
Is KeePassXC veiliger dan Bitwarden of 1Password?
Het kan veiliger zijn voor lokale controle omdat uw kluis standaard niet in een provideraccount staat. Het kan minder veilig zijn als u back-ups overslaat, een zwak hoofdwachtwoord kiest of functies voor delen en herstel nodig hebt die een cloudmanager beter afhandelt.
Kan ik een KeePassXC-database opslaan in Dropbox, iCloud, Google Drive of OneDrive?
Ja, als het hoofdwachtwoord sterk is en u onafhankelijke back-ups bewaart. Het KDBX-bestand is versleuteld, maar bewaar het sleutelbestand niet naast het bestand en vertrouw niet alleen op het cloudaccount als back-up.
Ondersteunt KeePassXC passkeys?
KeePassXC kan passkeys opslaan en gebruiken via de officiële KeePassXC-Browser extensie. Test de workflow eerst met accounts met laag risico, omdat passkey herstel kan verschillen per website, browser en apparaat.
Wat gebeurt er als ik mijn hoofdwachtwoord verlies?
De kluis kan niet worden gereset door KeePassXC of een supportteam. U heeft het hoofdwachtwoord en elk geconfigureerd sleutelbestand of challenge-response apparaat nodig. Bewaar een offline herstelplan.
Is er een officiële KeePassXC-app voor Android?
Nee. KeePassXC is de desktopapp. Gebruik op Android een compatibele KeePass-client zoals KeePassDX of KeePass2Android en open dezelfde KDBX-database.
Moet ik een sleutelbestand gebruiken met KeePassXC?
Een sleutelbestand kan helpen, maar alleen als u het apart opslaat en veilig back-upt. Als het sleutelbestand verloren gaat, kan de kluis onherstelbaar zijn; als het naast de database ligt, biedt het weinig bescherming.
Kan KeePassXC een teamwachtwoordmanager vervangen?
Meestal niet voor niet-technische teams. KeePassXC is sterk in individuele controle en kleine zorgvuldige workflows, maar beheerd delen, intrekken, audit en herstel zijn makkelijker in een speciale teamwachtwoordmanager.