密码管理器怎么选：本地、云托管还是自建

密码管理器解决的核心问题只有一个：把你散落在各个网站、各个 App 里的账号密码，集中存进一个只有你能打开的加密保险库，需要填密码的时候由客户端自动填好。听起来简单，但真正动手之前，第一件事不是挑软件，而是定路线：这个保险库放在哪儿、由谁看管、谁负责同步。路线选错，后面要么天天为同步吵架，要么白交几年订阅费，要么折腾一圈反而不省心。这篇我们把三条主流路线摆在一起，从存储位置、同步方式、成本和风险四个维度拆开讲清楚，帮你在装任何软件之前先把方向定下来。

先说这件事为什么值得在动手前花半小时想清楚。密码管理是那种一旦用顺手就会用很多年的工具：你越依赖它，里面存的密码就越多，迁移成本也越高。用了一两年再换路线，意味着要导出全部条目、重新配置每台设备的客户端、重新适应一套填充习惯。反过来，一开始花半小时把三条路线的差异看明白，后面几年都受益。这不是选择题，而是省钱省时间的判断题。

还要提醒一个心态：不要指望一次选对。三条路线之间的迁移通道其实都存在——本地文件可以导出、商业云可以导出、自建也可以导出，格式互通。先选一个当下最合适的跑起来，半年后条件变了再换，成本远低于在选择阶段无限纠结。

三条路线到底差在哪

第一条是纯本地文件方案。代表是 KeePass 家族：你的密码被 AES 加密进一个本地数据库文件，常见后缀是 .kdbx，打开它的钥匙就是你自己记的那串主密码。数据全程只躺在你这台设备的硬盘上，不上传任何服务器；想用手机和电脑共享这个文件，得自己想办法搬运——放进网盘目录同步、用 U 盘手动拷贝，甚至靠聊天工具发给自己。它的历史最久，设计哲学是密码这种东西本就不该离开你的设备。

第二条是商业云托管。代表是 Bitwarden 官方云、1Password 这一类：你注册账号，保险库加密后存放在厂商的服务器上，官方客户端在 Windows、Mac、手机、浏览器插件之间自动同步。打开 App 输入主密码就能用，便利程度最高，基本开箱即用。代价是按年付费，以及数据物理上放在别人的机房里，你的账号能否正常访问，某种程度上取决于厂商的服务状态和合规政策。

第三条就是本书要讲的自建路线。代表是 Vaultwarden:你在自己的设备上运行一个服务端，保险库数据存在你自己的硬盘上，但对外提供的体验和商业云几乎一样——官方客户端连接你的服务器，多设备自动同步，浏览器插件直接填充。相当于自己给自己开了一家密码云，服务器在哪、数据备份在哪、哪天关服务，全由你说了算。它把云端产品的便利和本地方案的数据归属结合在了一起。

一张表看懂三条路线的取舍

这张表的关键不是哪条路线分数最高，而是每一行的代价都对应一种你可能无法接受的风险。比如纯本地方案那行写着同步容易冲突，现实里就是手机上改了密码、电脑里还是旧文件，两边互相覆盖，最后不知道哪份才是对的；商业云的数据归属那一行，意味着厂商封号、地区限制、服务停摆时，你的保险库可能在某个早上突然打不开，而你除了发邮件投诉什么也做不了。自建路线则把这两行的风险都接管到自己手里，但同时也把维护责任整个接了过来——服务器崩了、磁盘坏了、忘了备份，没人替你兜底。

再把表格横向读一遍。金钱成本那一行，纯本地和自建看似都是零，但自建隐藏着设备和电费；商业云看似最贵，但它把维护成本折进了订阅费里，对不愿意折腾的人反而是划算的。适合人群那一行最诚实：没有绝对的好坏，只有匹配不匹配。

怎么按自己的情况做决策

先问自己三个问题。第一，你有几台设备要共享密码？如果只有一台电脑，本地方案完全够用，连同步都不需要；但只要手机和电脑都要自动填充，本地方案的同步摩擦就会明显起来，云路线的价值才真正体现出来。很多人从 KeePass 换到云端产品，并不是因为 KeePass 不好，而是换了手机之后同步体验太别扭。

第二，你愿不愿意为数据自主权动手一次？自建路线最大的回报其实不是省钱——一年订阅费折算下来没有多少——而是你对保险库有完全的控制权：数据物理上在哪、备份了几份、哪天想关掉服务，全是你说了算。如果你在意这种掌控感，愿意花一个周末把环境搭好，后面就是长期收益。反过来，如果你连路由器登录密码都懒得改，那自建大概率不适合你，商业云的省心是合理的选择。

第三，你的网络条件允不允许？自建不是只能在内网用，但要做到手机在外面用流量也能方便访问，你需要一个稳定的域名解析或者内网穿透方案。家里没有公网 IP、上行带宽很小、或者对家庭网络一窍不通的人，自建的远程体验会打折扣，不如先用商业云过渡，等网络知识补齐了再迁移。

决策时还有个实用技巧：不要非此即彼。很多人是这样过渡的——先用商业云或 KeePass 管理现有密码，同时在自己设备上搭好 Vaultwarden，把保险库逐步迁过去，跑稳两三个月再砍掉旧方案。这样任何一步出问题都有退路，迁移期间密码管理始终不断档。也有人长期双轨：主用自建，定期把加密导出文件扔一份进网盘当异地备份。

两个容易踩的误区

第一个误区是把自建当成省钱手段。一台长期在线的设备、常年通电的电费、偶尔的域名费用，折算下来其实不比订阅便宜多少。自建的核心理由应该是数据归属和掌控感，如果只是为了省一年几百块的订阅费，大概率搭到一半就后悔，还不如直接付费。

第二个误区是觉得本地方案最安全所以最保险。安全其实分两层：加密强度上，KeePass 这类本地方案确实是顶级水平；但可用性上，一个丢在旧电脑里、从来没备份过的数据库文件，本身就是最大的安全隐患。保险库打不开了，和被人偷了在后果上几乎一样——你所有网站的密码全部登不进去，只能挨个走找回流程。所以无论选哪条路线，备份都是必答题，不是选答题。

还有一个常被忽略的误区：主密码就是全部。无论你选哪条路线，主密码一旦忘记，没有任何路线能帮你找回——这正是加密保险库的设计前提，也是它的安全性所在。所以选定路线之前，先把主密码的保管方式想好：写进一张只有你知道位置的纸质备忘，或者存进另一个保险的地方，比纠结选哪个软件重要得多。

还要把预算的心态摆正。商业云一年的订阅费，大约就是一顿家庭聚餐的钱；自建设备的一次性投入，可能等于两三年的订阅费。单看金钱账，商业云更划算；但加上数据归属、可迁移性、以及折腾本身的乐趣，自建的账要另算。不要因为便宜就选自建，也不要因为懒就盲目付费——把每条路线的代价看清楚再下注，才是这篇文章想帮你做到的事。

按典型场景对号入座

把前面的抽象对比换成具体画像，你可以更快找到自己的位置。

场景一：只用一台电脑，密码条目也就几十条。这种情况下，纯本地文件方案完全够用，甚至不需要任何同步机制，把数据库文件和它的备份管好就行。为它上一台服务器，是杀鸡用牛刀。

场景二：手机加电脑两台主力设备，希望浏览器里一点就自动填，指纹解锁开箱即用。这是最典型的云端场景。不想把数据放给厂商就走自建，愿意按年付费就走商业云；纯本地方案在这个场景下，最容易让人在三个月后受够同步摩擦。

场景三：一个家庭两三个人要共享一部分密码，比如家庭 Wi-Fi、流媒体账号、共同的购物账号。商业云的家庭档位或者自建的组织共享功能都能覆盖；自建的优势是家庭共享不按人头额外收费，人越多越划算。

场景四：对网络暴露本身敏感，只在家里用，外出时能接受手动复制密码。那甚至不需要把服务端暴露到公网，内网使用加定期导出备份就能跑，网络这一大笔成本直接省掉，安全性反而更高。

场景五：已经有家庭服务器、本来就熟悉 Docker 和反向代理的人。对这类读者，自建的边际成本几乎为零，Vaultwarden 只是众多自建服务里的一个，没有理由不选——这也是本书默认读者的画像。

往下走的方向

如果你看完这篇决定走自建路线，下一篇我们先解决最实际的问题：自建密码服务端到底选哪一个——Bitwarden 官方自托管，还是社区版的 Vaultwarden。这两个名字经常被混着用，但体量、资源占用和定位差别很大。至于纯本地路线够不够用的问题，我们会在 KeePass 那篇单独展开，帮你判断你到底需不需要服务器。

这一篇结束后，你应该能在纸上写出自己的路线选择和理由。如果写出来的理由是单纯想省钱，建议重新读一遍“两个容易踩的误区”;如果理由是数据归属且愿意承担维护责任，那本章后面四篇就是为你写的。路线没有对错，只有匹配——想清楚自己每天用密码管理器的场景，比记住任何软件的参数都重要。

延伸阅读

• 如果你打算用一台旧电脑或低功耗小主机来跑服务端，先读 家用 NAS 选购与上手指南，硬件选型、功耗和硬盘那几节能帮你少走弯路。
• 已经有家庭服务器、想把它当成密码服务端宿主的，可以参考 家用 NAS 家庭服务器搭建指南 的系统与服务规划部分。
• 需要从外面稳定访问家里的服务，DDNS 与内网穿透的原理可以先看 软路由实战手册 对应章节，这篇我们只讲它对密码服务意味着什么。
• 下一篇：Vaultwarden 与 Bitwarden:自建方案怎么选。