Quase todos os utilizadores de computador ou telemóvel já usam, sem saber que estão a usar, um gestor de palavras-passe gratuito. Pode ser o Google Password Manager que aparece sempre que o Chrome ou o Android sugerem guardar uma senha. Pode ser o iCloud Keychain que faz autofill num iPhone. Ou pode ser o KeePass, a ferramenta de código aberto que a comunidade de segurança recomenda há mais de 20 anos a quem não confia em servidores de terceiros. A 18 de outubro de 2026, com os passkeys a ganhar terreno e os ataques a bases de dados de senhas a continuarem a fazer manchetes, escolher entre estes três é uma decisão que afeta diretamente o risco de uma conta ser comprometida.
Este artigo compara o Google Password Manager, o Apple iCloud Keychain e a dupla KeePass/KeePassXC em cinco frentes: encriptação, suporte a passkeys, sincronização, histórico de segurança e custo real. Ao contrário de comparações anteriores entre gestores pagos como o Bitwarden e o 1Password, aqui o foco são as opções que já vêm instaladas no sistema operativo ou que custam zero euros, e que por isso são a escolha por omissão de milhões de pessoas em Portugal e no resto do mundo.
A pergunta não é académica. A grande maioria das contas online comprometidas continua a resultar de senhas reutilizadas ou demasiado simples, e a solução mais prática para quem não quer gastar dinheiro nem instalar outra aplicação é simplesmente aproveitar o gestor que já vem incluído no telemóvel ou no navegador que usa todos os dias. O problema é que “já vem incluído” não é sinónimo de “igualmente seguro” nos três casos, e as diferenças de arquitetura entre a Google, a Apple e o projeto de código aberto KeePass têm consequências práticas muito concretas, sobretudo agora que os passkeys começam a substituir a senha tradicional como forma principal de autenticação.
Não perca as novas histórias de tecnologia no Google
Adicione o Shattered uma vez na app Google e os nossos artigos passam a aparecer nas suas sugestões.
O que é cada um destes três gestores de palavras-passe
Antes de comparar números, vale a pena entender o que cada produto realmente é, porque não partem do mesmo ponto de partida. Dois são serviços de plataforma, atados a uma conta online. O terceiro é um ficheiro local, sem conta nenhuma.
Google Password Manager
O Google Password Manager está integrado no navegador Chrome e no sistema Android, e guarda senhas, passkeys, cartões de pagamento e outros dados de preenchimento automático. Segundo a documentação oficial da Google, as senhas e passkeys guardados são encriptados em trânsito e em repouso. A Google oferece também uma camada opcional chamada encriptação no dispositivo: quando ativada, cria uma chave única que só permite ler as senhas depois de autenticação com a senha da Conta Google ou o bloqueio de ecrã de um dispositivo compatível. É importante notar que esta funcionalidade é opcional e distinta da chave de acesso de sincronização mais ampla do Chrome, o que significa que, por omissão, a chave usada para aceder às senhas fica guardada de forma recuperável dentro da própria Conta Google.
Apple iCloud Keychain
O iCloud Keychain sincroniza senhas, passkeys, dados de cartões e redes Wi-Fi entre iPhone, iPad, Mac, Apple Watch e Apple Vision Pro. De acordo com a visão geral de segurança publicada pela Apple, os dados de Keychain viajam através dos servidores da Apple mas ficam encriptados de ponta a ponta, de forma que nem a Apple nem outros dispositivos fora do círculo de confiança do utilizador conseguem ler o conteúdo. A documentação de proteção de dados do Keychain acrescenta um detalhe técnico pouco falado: a Apple usa duas chaves AES-256-GCM distintas, uma para os metadados de cada entrada e outra, que exige sempre uma validação através do Secure Enclave do dispositivo, para o valor secreto em si.
KeePass e KeePassXC
O KeePass é diferente dos outros dois porque não existe “a conta”. É uma aplicação de código aberto que guarda tudo num único ficheiro local com extensão .kdbx, protegido por uma senha mestra ou um ficheiro de chave. Não há servidor da Google ou da Apple a intermediar nada: a sincronização entre dispositivos, se o utilizador quiser, tem de ser configurada manualmente através de um serviço como Dropbox, Nextcloud ou Syncthing. O KeePassXC é a implementação mais popular e ativamente desenvolvida compatível com o formato KeePass, com interface moderna, extensão de navegador própria e uma equipa que lança atualizações regulares. Esta distinção entre o projeto original KeePass e o fork KeePassXC é relevante porque é a KeePassXC, não o KeePass clássico, que introduziu o suporte a passkeys nos últimos anos.
Tabela comparativa: especificações lado a lado
A tabela seguinte resume as características técnicas mais relevantes para quem está a decidir entre os três. Os dados sobre a Apple e a Google vêm diretamente da documentação oficial de cada empresa; os dados sobre o KeePass e o KeePassXC vêm da documentação técnica do formato KDBX4 e das notas de lançamento da KeePassXC.
| Característica | Google Password Manager | Apple iCloud Keychain | KeePass / KeePassXC |
|---|---|---|---|
| Preço | Grátis | Grátis | Grátis e código aberto |
| Encriptação de ficheiro/dados | Encriptação em trânsito e em repouso; chave no dispositivo é opcional | AES-256-GCM com duas chaves separadas (metadados e valor secreto) | AES-256 ou ChaCha20, conforme o formato KDBX4 |
| Derivação de chave (KDF) | Não documentada publicamente ao nível do algoritmo | Depende do Secure Enclave do dispositivo | Argon2d (padrão desde a versão 1.3) ou AES-KDF |
| Modelo de conhecimento zero | Só com a encriptação no dispositivo ativada manualmente | Sim: a Apple declara não conseguir ler os dados de Keychain | Sim, por construção: o ficheiro fica no dispositivo do utilizador |
| Suporte nativo a passkeys | Sim, incluído por omissão | Sim, incluindo para Contas Apple Geridas em empresas | Não na aplicação KeePass original; sim na KeePassXC, via extensão de navegador |
| Multiplataforma | Android, Chrome em Windows/macOS/Linux, app no iOS | Essencialmente limitado ao ecossistema Apple | Windows, macOS, Linux, Android e iOS via aplicações compatíveis |
| Extensão de navegador | Nativa no Chrome | Nativa no Safari; extensão disponível para Chrome e Edge | Extensão KeePassXC-Browser |
| Sincronização na nuvem | Nativa, via Conta Google | Nativa, via iCloud | Não incluída; requer um serviço externo configurado manualmente |
| Partilha de credenciais | Sim, por grupos de partilha de senhas | Sim, com pessoas de confiança da família | Manual, através do plugin KeeShare |
| Deteção de senhas comprometidas | Sim, com a Verificação de Senhas integrada | Não há monitorização nativa da dark web | Não nativo; depende de serviços de terceiros |
| Auditoria de segurança independente citada | Não divulgada publicamente para o produto completo | Documentação de segurança publicada, sem relatório de auditoria externa citado | A KeePassXC 2.7.9 recebeu o Visa de segurança da ANSSI, a agência francesa de cibersegurança |
| Código aberto | Não | Não | Sim, licença GPL |
| Versão atual (outubro de 2026) | Integrado e atualizado continuamente no Chrome/Android | Integrado e atualizado continuamente no iOS/macOS | KeePassXC 2.7.12 estável; 2.8.0-beta1 em fase de testes |
Encriptação e arquitetura de segurança explicadas
A diferença mais importante entre estes três produtos não está no tamanho da chave de encriptação, está em quem pode, teoricamente, ler os dados. A Apple descreve explicitamente o iCloud Keychain como protegido com encriptação AES de 256 bits durante o armazenamento e a transmissão, acrescentando que os seus dados não podem ser lidos pela própria Apple. Isto é possível porque cada item sincronizado só pode ser decifrado por um dispositivo que já pertença ao círculo de confiança do utilizador, e porque a chave do valor secreto exige sempre uma validação através do Secure Enclave, um coprocessador dedicado presente em todos os iPhones e Macs modernos.
A Google segue uma abordagem diferente por omissão. Segundo a documentação da própria empresa, as senhas e passkeys guardados são encriptados, mas a chave de acesso normal é guardada de forma segura dentro da Conta Google, o que facilita a recuperação em caso de perda de acesso mas também significa que a arquitetura não é, por omissão, de conhecimento zero. A Google disponibiliza uma funcionalidade chamada encriptação no dispositivo, que cria uma chave adicional só desbloqueável com a senha da conta ou o bloqueio de ecrã de um dispositivo já configurado, aproximando o modelo do da Apple, mas só para quem a ativa manualmente nas definições. Esta distinção não é uma opinião subjetiva: é a razão central pela qual analistas de segurança independentes continuam a apontar o dedo à configuração por omissão da Google. Uma análise da PCMag resume o argumento central de forma direta, ao notar que o gestor de senhas da Google carece de encriptação de conhecimento zero por omissão.
O KeePass resolve esta questão de forma radical: não existe conhecimento zero para discutir porque não existe um terceiro a guardar nada. O ficheiro .kdbx fica inteiramente sob controlo do utilizador, protegido por AES-256 ou ChaCha20 ao nível do ficheiro, com a derivação da chave feita por Argon2d, o mesmo algoritmo vencedor da Password Hashing Competition, hoje recomendado para proteger senhas mestras contra ataques de força bruta com hardware especializado. A contrapartida é evidente: se o ficheiro for perdido sem cópia de segurança, não há “recuperar conta” possível, porque não há conta.
Passkeys em 2026: quem vai mais avançado em cada plataforma
Os passkeys deixaram de ser uma novidade experimental e tornaram-se o principal argumento de venda dos três produtos analisados. Um inquérito da FIDO Alliance realizado junto de 1.389 adultos nos Estados Unidos, Reino Unido, China, Coreia do Sul e Japão, a 13 e 14 de abril de 2025, encontrou que 74% dos consumidores já conheciam os passkeys e que 69% já tinham ativado um passkey em pelo menos uma conta. Entre quem já usa passkeys, 38% afirma ativá-los sempre que possível. Dos que estão familiarizados com o conceito, 53% considera os passkeys mais seguros do que as senhas tradicionais e 54% considera-os mais convenientes. Esse mesmo estudo da FIDO Alliance apurou que 48% dos cem sites mais visitados do mundo já suportavam passkeys em 2025.
Dados mais granulares vêm do Passkey Index, publicado em outubro de 2025 pela FIDO Alliance com base numa amostra confidencial de nove organizações membro que já tinham implementado passkeys entre um e três anos, incluindo Amazon, Google, Microsoft, PayPal, Target e TikTok. Em média, 93% das contas dessas organizações eram elegíveis para usar passkeys, mas apenas 36% das contas tinham efetivamente um passkey registado, e só 26% de todos os acessos usavam passkeys em vez de senha. A taxa de sucesso no login com passkey foi de 93%, claramente superior aos 63% registados com outros métodos de autenticação, um argumento forte a favor da tecnologia, mesmo que a adoção ainda esteja longe de ser universal.
Nesta corrida, a Google e a Apple partem com vantagem estrutural: ambas controlam o sistema operativo e o navegador onde os passkeys são criados e usados, e por isso o suporte está ativado por omissão em qualquer conta Google ou Apple recente. A Apple vai um passo mais além ao permitir que empresas implementem passkeys para Contas Apple Geridas, sincronizando-os automaticamente para iPhone, iPad e Mac dos funcionários. O KeePass clássico não tem suporte nativo para criar ou usar passkeys, não implementa WebAuthn/FIDO2 diretamente. É a KeePassXC que fecha esta lacuna, através da integração com o navegador: ao ativar a opção de suporte a passkeys na extensão KeePassXC-Browser e ligar uma base de dados, é possível criar e usar passkeys guardados localmente, uma opção relevante para quem quer todas as vantagens dos passkeys sem depender da nuvem de uma grande tecnológica.
Sincronização multiplataforma: onde cada um falha
Na prática do dia a dia, a sincronização é muitas vezes o fator decisivo. O Google Password Manager funciona de forma consistente em qualquer dispositivo com Chrome ou Android, incluindo Windows, macOS, Linux, iOS e ChromeOS, o que o torna a opção mais verdadeiramente multiplataforma dos três sem configuração adicional. O iCloud Keychain está desenhado para o oposto: sincroniza de forma impecável entre iPhone, iPad, Mac, Apple Watch e Apple Vision Pro, mas não tem equivalente nativo em Windows ou Android, para além de uma extensão limitada do Safari para Windows. Quem vive num agregado familiar misto, com um Mac, um telemóvel Android e um portátil Windows, sente esta limitação rapidamente.
O KeePass e a KeePassXC não sincronizam nada por padrão, e isto é tanto a maior força como a maior fraqueza do ecossistema. A força é que o utilizador decide exatamente onde o ficheiro .kdbx fica guardado e através de que canal viaja, seja uma pasta Dropbox, um servidor Nextcloud pessoal ou uma pasta Syncthing sem qualquer intermediário comercial. A fraqueza é que isto exige configuração manual e cuidado com conflitos de ficheiro quando duas aplicações tentam gravar a mesma base de dados ao mesmo tempo, um problema que praticamente não existe nos modelos centralizados da Google e da Apple.
Histórico de segurança: auditorias, CVEs e confiança
Nenhum software é imune a vulnerabilidades, e o histórico recente mostra isso nos três casos. Em 2023, o KeePass foi afetado pela vulnerabilidade identificada como CVE-2023-32784, que permitia, em certas condições, recuperar fragmentos da senha mestra a partir de despejos de memória do processo. O problema foi corrigido em atualizações subsequentes do projeto, e o episódio reforçou uma lição válida para qualquer gestor de senhas local: manter a aplicação sempre atualizada é tão importante como escolher um algoritmo de encriptação forte.
Do lado da validação externa, a KeePassXC tem um argumento concreto que nem a Google nem a Apple apresentam da mesma forma para os seus gestores de senhas: a versão 2.7.9 recebeu o Visa de segurança da ANSSI, a Agência Nacional de Segurança dos Sistemas de Informação da França, um organismo público responsável por avaliar formalmente produtos de segurança. Este tipo de certificação independente é relativamente raro no mundo dos gestores de senhas gratuitos e dá à comunidade de código aberto um ponto de prova que vai além da simples transparência do código-fonte.
A Google e a Apple, por serem empresas com equipas de segurança internas robustas e programas de recompensa por vulnerabilidades (bug bounty), também investem fortemente na robustez dos seus gestores de senhas, mas fazem-no sobretudo através de documentação de arquitetura e processos internos, sem publicar relatórios de auditoria externa específicos para o Password Manager ou o Keychain enquanto produtos isolados. Isto não significa que sejam menos seguros, significa apenas que o tipo de prova disponível ao público é diferente: documentação de arquitetura por parte das grandes tecnológicas, versus certificação formal de terceiros por parte do projeto de código aberto.
Para equipas de TI que avaliam qual gestor recomendar a uma organização inteira, esta diferença de modelo de confiança pesa tanto quanto qualquer número de desempenho. Uma empresa que já gere os seus dispositivos através de Contas Apple Geridas tem um caminho relativamente direto para estender o iCloud Keychain a toda a equipa, incluindo a distribuição automática de passkeys corporativos. Uma empresa assente em Google Workspace tende a preferir o Password Manager pela mesma razão de integração nativa com a infraestrutura já existente. Já organizações que lidam com informação particularmente sensível, como escritórios de advogados, equipas de segurança ou redações jornalísticas, tendem a preferir soluções baseadas em KeePassXC precisamente porque elimina a necessidade de confiar a gestão das chaves de encriptação a um fornecedor externo, trocando conveniência por controlo total sobre onde e como os segredos são guardados.
Benchmarks e dados de adoção no mundo real
Além dos números de passkeys já citados, há outros dados que ajudam a situar estes três produtos no contexto mais amplo da segurança de contas em 2026. O inquérito empresarial da FIDO Alliance, com 400 responsáveis por decisões em organizações com mais de 500 trabalhadores nos Estados Unidos e no Reino Unido, com trabalho de campo em setembro de 2024 e publicação em fevereiro de 2025, encontrou que 87% das empresas já tinham implementado passkeys ou estavam em processo de o fazer. Entre as que já implementaram, 47% usa uma combinação de passkeys vinculados ao dispositivo e passkeys sincronizados. Os benefícios reportados foram substanciais: 90% assinalou melhoria de segurança moderada a forte, 82% melhoria na experiência do utilizador, 77% redução de chamadas ao apoio técnico e 73% ganhos de produtividade.
Do lado técnico, a documentação do formato KDBX4 do KeePass, disponível no site oficial keepass.info, confirma que a escolha entre AES-256 e ChaCha20 para encriptar o ficheiro, bem como entre Argon2d e AES-KDF para derivar a chave a partir da senha mestra, é configurável pelo próprio utilizador, uma flexibilidade que nem o Google Password Manager nem o iCloud Keychain oferecem, já que ambos definem a arquitetura de encriptação de forma fixa e não editável pelo utilizador final. Esta é uma vantagem relevante para equipas técnicas e profissionais de segurança que preferem controlar explicitamente os parâmetros de proteção dos seus próprios segredos.
Comparando os três de forma direta num mesmo critério, a taxa de sucesso de autenticação, os dados do Passkey Index da FIDO Alliance já citados acima (93% de sucesso com passkey versus 63% com outros métodos) aplicam-se de igual forma a qualquer um dos três produtos, uma vez que todos implementam o mesmo protocolo WebAuthn subjacente quando usam passkeys. A diferença prática entre eles não está, portanto, na tecnologia de autenticação em si, mas na facilidade com que cada um a disponibiliza por omissão aos seus utilizadores.
Quanto custam (mesmo sendo “grátis”): tabela de preços
Nenhum dos três gestores de senhas cobra diretamente pelas suas funcionalidades principais, mas “grátis” não significa necessariamente “sem qualquer custo indireto”. A tabela seguinte detalha os custos escondidos mais comuns.
| Produto | Preço base | Armazenamento incluído | Onde pode aparecer um custo |
|---|---|---|---|
| Google Password Manager | Grátis, incluído em qualquer Conta Google | Ilimitado para senhas e passkeys; não usa a quota de armazenamento geral da conta | Nenhum custo diretamente ligado ao gestor; o Google One só é necessário se faltar espaço no Drive, Gmail ou Fotos |
| Apple iCloud Keychain | Grátis, incluído em qualquer Apple ID | 5 GB gratuitos de iCloud, partilhados com fotos e cópias de segurança | iCloud+ a partir de valores simbólicos mensais apenas se a conta exceder os 5 GB gratuitos; o Keychain em si ocupa poucos kilobytes |
| KeePass (núcleo) | Grátis e de código aberto, sem conta associada | Ilimitado, limitado apenas pelo disco local | Depende exclusivamente do serviço de sincronização escolhido pelo utilizador, por exemplo um plano gratuito de Dropbox ou um servidor Nextcloud pessoal |
| KeePassXC | Grátis e de código aberto, incluindo a extensão de navegador | Ilimitado, limitado apenas pelo disco local | Igual ao KeePass: o custo, se existir, vem do serviço de sincronização externo escolhido, não da aplicação |
O que dizem a Google, a Apple e os especialistas independentes
Heather Adkins, vice-presidente de Engenharia de Segurança da Google, defendeu publicamente a aposta da empresa nos passkeys, descrevendo-os como fáceis de usar e resistentes a phishing, dependendo apenas de uma impressão digital, de um reconhecimento facial ou de um código PIN, o que os torna cerca de 50% mais rápidos de usar do que as senhas tradicionais. Adkins acrescentou ainda que a Google quer dar aos utilizadores mais escolha sobre onde guardar os seus passkeys, numa referência direta à interoperabilidade entre gestores de senhas independentes através de APIs de gestão de passkeys, um ponto relevante para quem não quer ficar preso a um único fornecedor.
Do lado da Apple, a documentação oficial do iCloud Keychain resume a proposta de valor do produto ao afirmar que permite manter as senhas e outra informação segura atualizada em todos os dispositivos e partilhada com as pessoas de confiança do utilizador, reforçando noutro ponto da mesma documentação que o Keychain é protegido com encriptação AES de 256 bits durante o armazenamento e a transmissão, sem que os seus dados possam ser lidos pela própria empresa.
Nem todas as avaliações são favoráveis às grandes tecnológicas, no entanto. Numa análise independente publicada pela PCMag, o especialista em segurança e privacidade Dylan Lurey resumiu a principal crítica ao produto da Google de forma direta, ao afirmar que o gestor de senhas da Google carece de encriptação de conhecimento zero, uma observação que reforça o ponto já detalhado na secção de encriptação deste artigo: a proteção mais forte da Google não é a predefinição, é uma opção que o utilizador tem de ativar manualmente.
Cinco cenários reais: qual gestor escolher em cada caso
Os números técnicos só ganham sentido quando aplicados a situações concretas. Estes cinco exemplos cobrem os perfis mais comuns de utilizadores em Portugal e ajudam a decidir qual dos três produtos se encaixa melhor em cada rotina.
- Freelancer que trabalha só com Chrome e Android: quem passa o dia entre o telemóvel Android e um portátil com Chrome, sem nenhum dispositivo Apple, tira o máximo proveito do Google Password Manager, porque a sincronização entre os dois ambientes já vem pronta, sem configuração adicional.
- Família inteiramente equipada com produtos Apple: um agregado com iPhones, iPads e um Mac a partilhar Wi-Fi, cartões e senhas entre todos através da função de pessoas de confiança do iCloud Keychain tem na Apple a opção mais fluida, incluindo a fiabilidade de a Apple garantir não conseguir ler os dados sincronizados.
- Agregado familiar misto, com Windows, Android e iPhone ao mesmo tempo: este é o cenário onde nem a Google nem a Apple oferecem uma experiência perfeita isoladamente. Muitas destas famílias acabam por combinar o Google Password Manager como camada principal, com um gestor dedicado como complemento nos dispositivos onde a sincronização nativa falha.
- Entusiasta de privacidade ou profissional de tecnologia: quem quer controlo total sobre onde os dados ficam guardados, sem depender de nenhuma grande tecnológica, encontra na KeePassXC combinada com um serviço de sincronização próprio, como o Syncthing ou um Nextcloud auto-hospedado, a opção mais alinhada com um modelo verdadeiramente de conhecimento zero.
- Jornalista ou ativista em contexto de maior risco: para quem prioriza não ter absolutamente nenhuma dependência de servidores de terceiros, mesmo que isso signifique perder a comodidade da sincronização automática, uma base de dados KeePass puramente local, sem qualquer sincronização na nuvem, elimina uma superfície de ataque inteira, a de um fornecedor de serviço ser alvo de um pedido legal ou de uma intrusão.
Recomendações por tipo de utilizador
Resumindo os cenários anteriores em recomendações diretas, estas são as situações em que cada um dos três produtos faz mais sentido como escolha principal.
- Se vive quase exclusivamente dentro do ecossistema Google, com Android e Chrome como centro da vida digital, o Google Password Manager já oferece tudo o que precisa, desde que recorde ativar a encriptação no dispositivo nas definições de segurança da conta.
- Se vive quase exclusivamente dentro do ecossistema Apple, o iCloud Keychain é a escolha natural, sobretudo pela garantia explícita da Apple de que não consegue ler os dados sincronizados.
- Se gere uma pequena empresa com equipas em múltiplos sistemas operativos, vale a pena avaliar as Contas Apple Geridas para os dispositivos Apple e manter o Google Password Manager como camada comum para o resto, em vez de forçar uma plataforma única sobre toda a equipa.
- Se é um profissional de tecnologia, de segurança ou simplesmente prefere código aberto e controlo total, a KeePassXC com uma solução de sincronização própria entrega o nível mais alto de transparência e de personalização dos parâmetros de encriptação.
- Se precisa de minimizar ao máximo a dependência de qualquer fornecedor externo, por motivos de risco pessoal ou profissional, uma base de dados KeePass totalmente offline, sem sincronização nenhuma, continua a ser a opção com a menor superfície de ataque possível.
- Se já usa um dos gestores dedicados mais conhecidos, como o NordPass, o Dashlane ou o LastPass, vale a pena comparar as funcionalidades de partilha familiar e de monitorização de fugas de dados antes de trocar por qualquer uma das três opções gratuitas aqui analisadas, porque essas funcionalidades avançadas continuam a ser um diferencial dos produtos pagos.
Guia de migração entre gestores de senhas
Trocar de gestor de senhas é uma operação simples em teoria, mas que exige cuidado prático para não deixar ficheiros com senhas em texto simples espalhados pelo computador. Estes são os passos recomendados para migrar entre qualquer um dos três produtos analisados.
- Antes de mais nada, faça uma cópia de segurança da base de dados ou da conta de origem, para garantir que nada se perde durante a transição.
- No Google Password Manager, aceda às definições de senhas do Chrome ou da Conta Google e procure a opção de exportar senhas, que gera um ficheiro no formato CSV.
- No iCloud Keychain, use a aplicação Senhas no iPhone, iPad ou Mac para exportar todas as entradas, também habitualmente num ficheiro CSV protegido por senha de exportação.
- No KeePass ou na KeePassXC, use a função de importação para ler diretamente ficheiros CSV exportados de outros gestores, mapeando as colunas de nome de utilizador, senha e URL durante o processo.
- Para o caminho inverso, a KeePassXC também permite exportar a base de dados completa para CSV através do menu de base de dados, pronta a ser importada noutro produto.
- Reative manualmente qualquer passkey criado no gestor anterior, já que os passkeys não costumam migrar automaticamente através de ficheiros CSV e normalmente precisam de ser recriados no site de destino.
- Depois de confirmar que todas as entradas foram importadas corretamente no novo gestor, elimine de forma permanente e segura o ficheiro CSV temporário, uma vez que este fica sempre em texto simples e é o elo mais fraco de qualquer migração.
- Por fim, revise as senhas mais antigas ou reutilizadas durante o processo de migração, aproveitando a mudança de gestor como uma oportunidade natural para gerar senhas novas e únicas para as contas mais sensíveis.
Vantagens e desvantagens de cada plataforma
Depois de todos os dados técnicos, de adoção e de contexto, vale a pena resumir os prós e contras de cada produto de forma direta.
- Google Password Manager: vantagens: cobertura multiplataforma real em Android, Windows, macOS e Linux; integração nativa com a Verificação de Senhas e deteção de credenciais comprometidas; suporte completo a passkeys por omissão.
- Google Password Manager: desvantagens: por omissão não é de conhecimento zero, segundo a documentação da própria empresa; a chave de acesso principal fica guardada dentro da Conta Google, o que torna a segurança da conta Google o elo mais crítico de toda a cadeia.
- Apple iCloud Keychain: vantagens: a Apple afirma explicitamente não conseguir ler os dados sincronizados; usa duas chaves AES-256-GCM separadas com validação pelo Secure Enclave; integração perfeita entre todos os dispositivos Apple, incluindo para empresas com Contas Apple Geridas.
- Apple iCloud Keychain: desvantagens: praticamente inutilizável fora do ecossistema Apple; sem monitorização nativa de fugas de dados na dark web; qualquer agregado com um único dispositivo Android ou Windows sente a lacuna de sincronização.
- KeePass/KeePassXC: vantagens: código totalmente aberto e auditável por qualquer pessoa; conhecimento zero por construção, sem depender da confiança numa empresa; a KeePassXC 2.7.9 tem o Visa de segurança da ANSSI; flexibilidade total sobre os parâmetros de encriptação e derivação de chave.
- KeePass/KeePassXC: desvantagens: sem sincronização nativa, exigindo configuração manual de um serviço externo; sem suporte a passkeys na aplicação KeePass clássica; curva de aprendizagem mais alta para utilizadores menos técnicos; perder o ficheiro sem cópia de segurança significa perder tudo, sem opção de recuperação por parte de nenhuma empresa.
Veredicto final: qual vence com os dados na mão
Não há um vencedor único entre o Google Password Manager, o Apple iCloud Keychain e o KeePass/KeePassXC, porque os três resolvem problemas diferentes com arquiteturas de confiança diferentes. Para a maioria absoluta das pessoas, que já vive dentro de um dos dois grandes ecossistemas, a opção pré-instalada no sistema que já usam continua a ser, com os dados de 2026 na mão, claramente melhor do que não usar gestor nenhum: os 69% de adoção de passkeys reportados pela FIDO Alliance e a taxa de sucesso de 93% no login com passkey, contra apenas 63% com métodos tradicionais, mostram que a fricção de configurar qualquer um destes três produtos vale largamente a pena face ao risco de reutilizar senhas.
Entre o Google Password Manager e o iCloud Keychain, a vantagem de segurança teórica pende para a Apple, que garante publicamente não conseguir ler os dados do Keychain, enquanto a Google oferece essa garantia apenas como opção manual. Mas essa vantagem só compensa plenamente dentro de um ecossistema fechado em dispositivos Apple; para quem usa Android ou Windows no dia a dia, a cobertura multiplataforma do produto da Google acaba por pesar mais na prática do que a diferença teórica de arquitetura. Já para quem quer o padrão de segurança mais rigoroso possível, sem depender da política de privacidade de nenhuma empresa, a combinação KeePassXC com o Visa de segurança da ANSSI e um serviço de sincronização próprio continua a ser, dos três, a única opção verdadeiramente de conhecimento zero por construção, ao custo de ter de gerir manualmente tudo o que a Google e a Apple automatizam.
Perguntas frequentes
O Google Password Manager é seguro para guardar senhas importantes?
É seguro para a maioria dos utilizadores, sobretudo se a autenticação de dois fatores da Conta Google estiver ativa, mas por omissão não é de conhecimento zero. Quem quer o nível de proteção mais alto deve ativar manualmente a opção de encriptação no dispositivo nas definições de segurança da conta.
Qual a principal diferença entre o Apple iCloud Keychain e o KeePass?
O Keychain é um serviço de nuvem gerido pela Apple, com sincronização automática entre dispositivos Apple e a garantia da empresa de que não consegue ler os dados. O KeePass é um ficheiro local, sem nenhuma empresa envolvida, em que o próprio utilizador decide se e como sincroniza entre dispositivos.
O KeePass suporta passkeys?
A aplicação KeePass clássica não implementa nativamente a criação ou utilização de passkeys. É a KeePassXC, através da extensão de navegador KeePassXC-Browser com a opção de suporte a passkeys ativada, que permite guardar e usar passkeys ligados a uma base de dados local.
Posso usar o Google Password Manager num iPhone?
Sim, através da aplicação Google ou da extensão do Chrome no iOS, ainda que a integração não seja tão profunda ao nível do sistema como a oferecida nativamente pelo iCloud Keychain nos dispositivos Apple.
O que foi a vulnerabilidade CVE-2023-32784 do KeePass?
Foi uma falha que, em determinadas condições, permitia recuperar fragmentos da senha mestra a partir de despejos de memória do processo em execução. Foi corrigida em atualizações posteriores do projeto, e reforça a importância de manter sempre a aplicação atualizada para a versão mais recente disponível.
Vale a pena pagar por um gestor de senhas dedicado em vez de usar um destes três gratuitos?
Depende das necessidades. Gestores pagos como o Bitwarden ou o 1Password costumam oferecer monitorização de fugas de dados mais avançada, partilha familiar mais flexível e suporte multiplataforma mais consistente do que qualquer uma das três opções gratuitas analisadas aqui, especialmente para quem já não vive dentro de um único ecossistema.
Como posso migrar as minhas senhas entre estes gestores?
O caminho mais comum é exportar as senhas do gestor de origem para um ficheiro CSV, importar esse ficheiro no gestor de destino e depois eliminar de forma permanente o ficheiro CSV temporário, que fica sempre em texto simples durante o processo.
Qual dos três é mais seguro em 2026?
Em termos de arquitetura pura, a KeePassXC, com o seu modelo de conhecimento zero por construção e o Visa de segurança da ANSSI para a versão 2.7.9, tem o argumento técnico mais forte. Na prática do dia a dia para a maioria das pessoas, a segurança “mais forte no papel” só é tão boa quanto a disciplina do utilizador em manter cópias de segurança e atualizações em dia, algo que o Google Password Manager e o iCloud Keychain automatizam por si.