「密碼管理器，說到底不就是那裡一旦被攻破就全完了嗎？」——針對最常見的這個擔憂，本文從原理出發誠實作答。這裡不涉及攻擊手法，只講安全性的依據，以及適合自己的選擇方法。
用原理回答「集中在一處真的沒問題嗎？」
擔憂的本質是「集中＝單點故障」。這一點用零知識加密能大大緩解。
由此導出的實務鐵律只有一條——讓主密碼做到「長、唯一、不離開裝置」。如果這裡薄弱，被偷走的密文就留有被人花時間破解的餘地。強度的參考標準可在 密碼強度檢查器 確認。
真正能守護你的 3 個機制
它的價值遠不止「不用記憶的保險庫」。
尤其有效的是自動填入的抗釣魚能力。人很難辨別與真品幾乎一模一樣的假網域，但管理器只要登記的網域不一致就不會填入，於是「咦，怎麼填不進去」就成了假網站的警報。靠手動從表格複製貼上的做法，沒有這道防禦。
雲端型 vs 本機型 —— 按用途選擇
兩者都是零知識（提供方看不到內容）。區別在於「同步由誰掌握」。
雲端型（Bitwarden / 1Password）
- 在所有裝置上自動同步、共享省心
- 備份與還原的引導路徑完善
- 內容始終保持加密（提供方也讀不出）
- 操作省事易於堅持＝多數人的正解
本機型（KeePass 等）
- 把加密檔案（.kdbx）自己放到 Drive 等處來同步
- 適合完全不想讓提供方介入的人
- 同步、備份都是自負其責
- 適合以離線為主、想完全在手邊管理的人
兩者都向安全一側設計。請以能否堅持來選擇。比起完美卻用著用著就放棄的工具，樸素但每天都能用的工具，結果上更能守護你。
安全的選擇方法（核查清單）
必須是零知識（端側加密）
能給保險庫本身加上 MFA
備有還原手段
支援你使用的全部裝置
上手方法、遷移方法
選一個並安裝
把主密碼做到長且唯一
給保險庫和郵件/主要帳號加 MFA
匯入既有密碼，從弱的開始換成強的不同密碼
確實清除明文的存放處
支援的服務轉向 passkey
本站的視角：要守的就是『保險庫的鑰匙』這一點。選能堅持的工具
本站從不把祕密（密碼、金鑰、連線資訊）以明文放在共用文件或程式碼裡，日常登入都用密碼管理器統一管理。重要的只有兩點——把主密碼做到長且唯一，以及給保險庫加上抗釣魚 MFA。在零知識的設計下，攻擊者能下手的單點故障就集中在那裡，所以守住那裡，整體就穩固了。而選工具時最重要的，不是功能多少，而是易於堅持。每天都能用的，結果上才是最強的防禦。
接下來閱讀
- 保管：密碼的正確保管（不再明文保存）
- 原理：伺服器端是怎樣保存的（雜湊＋加鹽）
- 兩步：多因素驗證（MFA）指南
- 無密碼：什麼是 passkey（從支援的服務開始遷移）
- 根基：安全最低限度核查清單
- 工具：密碼強度檢查器
FAQ
Q把所有密碼集中在一處，那裡一旦被攻破不就一下子全軍覆沒了嗎？
這種擔憂很自然，但正經的密碼管理器都採用零知識加密設計。它從你的主密碼在端側產生金鑰，保險庫在端上加密後再同步，因此提供方（雲端）只拿到密文。即使提供方被入侵，外洩的也只是密文，沒有你的主密碼就讀不出內容。所以真正要守住的單點故障，集中在『主密碼＋保險庫的 MFA』這一點上。
Q雲端型和本機型，該選哪個？
想在所有裝置上輕鬆同步、想和家人或少數人共享，就選雲端型（Bitwarden/1Password）。想自己完全掌控同步、連提供方都不想讓其介入，就選本機型（KeePass：把加密檔案自己放到 Drive 等處）。兩者都是零知識，提供方都看不到內容。以能否堅持使用來選才是正解，比起用不下去的完美工具，能一直用下去的工具更勝一籌。
Q瀏覽器保存和專用管理器有什麼區別？
瀏覽器保存近年也會加密，但專用管理器一以貫之地具備：產生強密碼、在假網域上不自動填入的抗釣魚能力、外洩監控、跨裝置的零知識同步，乃至 passkey 支援。至少用瀏覽器保存也有『不再重複使用』的效果，但主力還是專用管理器。