4 gerenciadores de senhas locais que não guardam suas chaves na nuvem para máxima privacidade

O modelo de assinatura de software transformou a segurança em um serviço recorrente, e com isso veio o aumento da superfície de ataque. Recentemente, vimos grandes players do mercado sofrerem vazamentos de dados que, embora não tenham exposto as senhas diretamente (graças à criptografia), comprometeram hashes e e-mails, abrindo caminho para ataques de força bruta offline. Para quem trabalha com tecnologia e entende a arquitetura por trás desses serviços, confiar a "chave mestra" da sua vida digital aos servidores da AWS, Google ou Azure de uma terceira empresa é um risco calculado que, em 2026, muitos preferem não correr.

A solução é voltar às raízes: gerenciadores locais. A filosofia aqui é simples: o banco de dados é um arquivo criptografado que reside apenas no seu hardware. Se não houver servidor, não há alvo para hackers remotos. O trade-off é óbvio: você perde a mágica da sincronização automática entre dispositivos e precisa assumir a responsabilidade pela integridade dos seus backups. A seguir, detalho quatro ferramentas que adotam essa abordagem "local-first" e como elas se comportam no mundo real.

KeePassXC: O padrão ouro para quem não quer depender de ninguém

Se existe um software que sobreviveu às modas e hype, é o KeePassXC. É o filho pródigo do projeto KeePass original, reescrito em C++ e Qt para rodar de forma nativa e leve em Windows, macOS e Linux. O KeePassXC não possui conta de usuário, não pede seu e-mail e não tem servidor. Ele é, essencialmente, um cofre virtual que abre um arquivo .kdbx no seu disco rígido.

O ponto forte que o diferencia de clones antigos é a integração com o sistema operacional sem abrir mão da segurança. Ele inclui um agente SSH integrado, o que significa que você pode usar suas chaves privadas armazenadas no cofre para acessar servidores sem expor a chave na pasta ~/.ssh. Outra funcionalidade que uso diariamente é o suporte a TOTP (Token de Autenticação de Dois Fatores) nativo. Diferente do Google Authenticator, onde se você perde o celular perde o acesso, aqui os códigos 2FA ficam no mesmo cofre das senhas, protegidos pela mesma senha mestra.

A integração com o navegador é feita via uma extensão chamada KeePassXC-Browser, que mantém a comunicação local via soquete Unix ou pipes nomeados, sem enviar nada para a web. O único "contra" real é o ecossistema móvel. O KeePassXC não tem versão oficial para Android ou iOS. Você precisa usar apps compatíveis, como o KeePassDX ou Strongbox, e sincronizar o arquivo manualmente ou via uma nuvem que você confia (como Nextcloud em um NAS próprio). Aqui, eu costumo recomendar ativar a autenticação de dois fatores onde for possível para criar uma camada extra, como explicamos no tutorial de como ativar a autenticação de dois fatores (2FA) no WhatsApp Web usando chaves de segurança FIDO2.

LessPass: Quando o próprio arquivo é o risco

O LessPass é uma anomalia bem-vinda no universo dos gerenciadores. Ele funciona sob uma premissa radical: ele não armazena nada. Não há banco de dados, não há arquivo para corromper, não há backups para fazer. Em vez disso, ele é um gerador de senhas determinista. Você fornece o site (ex: nubank.com.br), seu login (seu e-mail) e uma senha mestra. O algoritmo combina esses elementos para gerar sempre a mesma senha hash de 16 caracteres.

Isso resolve o problema do "ponto único de falha". Se alguém hackear seu computador, não vai encontrar uma lista de senhas, apenas o algoritmo. Para o usuário, a vantagem é a portabilidade total: você pode acessar suas senhas de qualquer computador público usando a versão web ou a extensão de navegador, desde que lembre da senha mestra.

O grande obstáculo, e o motivo pelo qual eu não recomendo para usuários leigos, é a inflexibilidade. Se um site exigir atualizar sua senha, você não pode simplesmente "editar" no cofre. Você precisa adicionar um "contador" ou incrementar um campo no LessPass para gerar uma nova hash. Além disso, se você esquecer a senha mestra, é fim de linha. Não há "redefinir senha". É uma ferramenta fantástica para técnicos e entusiastas da privacidade que lidam com matemática e lógica, mas pode ser frustrante para quem precisa de agilidade ao lidar com as políticas de senha arbitrárias de sites corporativos.

Enpass: Uma interface moderna usando sua própria nuvem

Para quem quer a experiência visual e a usabilidade do 1Password ou LastPass, mas recusa-se a armazenar dados nos servidores do desenvolvedor, o Enpass é a ponte perfeita. Ele utiliza o modelo de "armazenamento zero-knowledge", mas com um twist: o Enpass não fornece a nuvem; ele usa a sua.

O aplicativo funciona offline em todos os seus dispositivos (Windows, Mac, Linux, Android, iOS). A sincronização é feita conectando o Enpass a serviços que você já controla, como Google Drive, OneDrive, Dropbox, ou melhor ainda, via WebDAV em um servidor próprio ou Synology NAS. O arquivo de dados criptografado é transferido por esses canais, mas a chave para descriptografar esse arquivo nunca sai do seu dispositivo. Mesmo que a Dropbox seja hackeada, os invasores terão apenas um bloco binário inútil sem o seu dispositivo e sua senha mestra.

O Enpass brilha na usabilidade. Ele preenche formulários complexos, guarda cartões de crédito e arquivos anexos (PDFs de notas fiscais) com uma facilidade que o KeePassXC as vezes te faz lutar na configuração. O custo é um pagamento único (licença vitalícia por plataforma), o que em 2026 é uma raridade. O único cuidado é se você optar por usar Google Drive para a sincronização: lembre-se que está associando sua identidade ao Google. Para privacidade máxima, a rota via WebDAV ou sincronização local via Wi-Fi (disponível na versão Desktop para Mobile) é imbatível.

Buttercup: Simplicidade focada em arquivos

O Buttercup é uma opção de código aberto que muitas vezes passa despercebida, mas tem um caso de uso muito forte: ele trata suas senhas estritamente como arquivos. Escrito em JavaScript/TypeScript, ele é extremamente leve e tem uma versão para navegador que permite carregar um arquivo de senhas de uma unidade USB, usá-lo e removê-lo sem deixar vestígios no computador host.

Isso é útil para profissionais que trabalham em estações de trabalho bloqueadas onde não podem instalar software, mas podem montar uma unidade USB ou acessar um drive de rede. A arquitetura dele é baseada em "Arquivos", o que significa que você pode organizar seus cofres por projeto, armazenando cada .bcup onde fizer mais sentido.

Embora não tenha a mesma maturidade de plugins do KeePassXC, a simplicidade do Buttercup é seu maior trunfo de segurança. Menos recursos significam menos superfície de ataque. Ele usa criptografia AES de 256 bits e, por ser relativamente "enxuto", a auditoria do código é mais simples. É uma ótima escolha para quem mantém segredos em um pen drive criptografado (como o VeraCrypt) e quer uma camada extra de organização apenas para senhas da web.

A disciplina do backup é o verdadeiro custo

Ao optar por qualquer uma dessas soluções offline, você transfere o risco de um ataque de servidor para o risco de perda de hardware. Em 2026, com SSDs NVMe rápidos mas às vezes propensos a falhas abruptas, e com celulares roubados em assaltos relâmpago, o backup manual não é opcional, é obrigatório.

A regra que aplico é a regra do 3-2-1 adaptada para a vida offline: três cópias dos dados, em dois tipos diferentes de mídia, com uma delas offline. No caso do KeePassXC ou Enpass, isso significa manter o arquivo do cofre no seu computador, sincronizá-lo com o celular via um método seguro (e periodicamente copiar esse arquivo para um Pen Drive que fica guardado na gaveta). Se você formatar o PC e esquecer de salvar o arquivo .kdbx, não existe um botão de "recuperar conta" no suporte.

Além disso, cuidado com as armadilhas de engenharia social. Tenha seus dados offline não te torna imune a golpes. Se você clicar em um link malicioso e digitar sua senha mestra em um site falso, o gerenciador local não poderá te salvar. Analisamos recentemente um caso onde um usuário recebeu um PIX falso do 'RH': como analisei os cabeçalhos do e-mail para identificar o golpe. O problema não era o cofre de senhas dele, mas a falha na verificação do remetente. A ferramenta local protege o armazenamento, mas a vigilância contra ataques de phishing continua sendo sua responsabilidade.

Escolher sair da nuvem é uma declaração de independência digital. Você troca a convenência do "acesso em qualquer lugar" pela certeza absoluta de que ninguém, exceto você, tem acesso aos seus segredos. Em um ano onde a privacidade virou um produto de luxo, recuperar essa soberania pode ser o investimento de segurança mais valioso que você faz.