Passbolt для командного хранения и обмена паролями

Что такое Passbolt

Passbolt Community Edition — менеджер секретов для команды. Сотрудники сохраняют пароли, распределяют доступ между людьми и группами, используют браузерное расширение для входа на сайты и официальные мобильные приложения. Главная задача внедрения — не собрать все пароли в одном месте, а установить понятные права и способ восстановления доступа.

Как работает команда

Секреты лежат в папках, доступны назначенным пользователям и могут содержать пароль, заметку и другие поддерживаемые типы данных. При выдаче доступа система шифрует секрет для получателя. Группы упрощают совместную работу, но не заменяют регулярный пересмотр: после смены роли сотрудника нужно обновить права и, когда требуется, сам пароль во внешней системе.

Расширение и мобильные приложения

Для основного сценария в браузере нужно официальное расширение: оно участвует в работе с ключом и автозаполнении. Официальные приложения Android и iOS подключаются к тому же серверу по HTTPS. Первую учётную запись на телефоне настраивают после браузерной регистрации; мобильный клиент не заменяет исходный комплект восстановления.

Ключи, MFA и восстановление

У каждого пользователя есть приватный OpenPGP-ключ и парольная фраза. Запасной комплект с ключом необходимо сохранить в защищённом месте: без него и парольной фразы перенос на новое устройство или восстановление после потери браузера не пройдут. В Community доступен TOTP как дополнительный фактор. Управляемая организационная программа восстановления потерянных ключей — функция Pro и не включена в эту страницу.

Граница Community Edition

Здесь рассматривается свободная Community Edition с самостоятельным размещением. Возможности Pro, включая организационное account recovery и отдельные административные политики, не считаются частью CE. Если требуется обязательная централизованная процедура возврата доступа без пользовательского комплекта, выбор редакции нужно решить до переноса секретов.

Размещение и данные

Passbolt API работает на PHP, использует базу MariaDB/MySQL и GnuPG, а для доступа нужен HTTPS. Рабочая почта необходима для приглашений и служебных уведомлений. Официальный минимум виртуальной машины — 2 ядра, 2 GB RAM и 20 GB диска; для постоянной работы нагрузку проверяют по числу пользователей, секретов и активности.

Как переносить пароли

Начинают с карты команд и систем: кто владелец секрета, кому он нужен и кто отвечает за смену. В пилоте импортируют небольшой набор записей, проверяют права на папки, автозаполнение, мобильный вход, TOTP и увольнение пользователя. Массовый перенос проводят после очистки дублей и старых учётных записей.

Эксплуатация и стоимость

Администратор следит за состоянием API, TLS, почтой, базой и сроками обновлений. В копию включают базу, конфигурацию, серверные ключи и секреты; пользовательские приватные ключи резервируются пользователями отдельно. После восстановления проверяют вход и расшифровку тестовой записи. Стоимость CE складывается из сервера, почты, обучения и регулярного контроля прав.