Jsou hesla uložená v prohlížeči v bezpečí?

Co vlastně chrání uložená hesla?

Hesla v prohlížeči nejsou automaticky obyčejný čitelný seznam na disku. Konkrétní ochrana záleží na prohlížeči, operačním systému a nastavení účtu. Google u Chrome popisuje šifrování uložených údajů a ochranu při kontrole kompromitovaných přihlášení. Z toho ovšem neplyne, že jsou hesla nedostupná člověku, který právě používá váš odemčený počítač.

Správce musí za určitých okolností heslo zpřístupnit, aby vás přihlásil. Bezpečnost proto posuzujte podle situace: kdo může odemknout zařízení, kdo zná systémový PIN a zda se před vyplněním vyžaduje potvrzení. Ochrana souboru na vypnutém notebooku a ochrana před kolegou u odemčené obrazovky řeší jiný problém.

Navíc může být účet už přihlášený. Otevřený e-mail nepotřebuje znovu vyplnit heslo jen proto, že jste u správce zapnuli biometrické ověření. Zámek hesel neodhlásí existující relace, tedy přihlášení, která si web uchovává. Proto při odchodu od počítače zamykejte celý systém.

Kdy vestavěný správce stačí a kdy zvolit jiný?

Vlastní notebook a telefon se stejným účtem

Pokud používáte jednu rodinu prohlížečů, máte zařízení jen pro sebe a umíte obnovit synchronizační účet, není nutné měnit správce jen kvůli tomu, že je vestavěný. Větší praktický přínos může mít výměna opakovaných hesel a zapnutí dalšího faktoru u hlavní pošty.

Ověřte si však celý běžný den: funguje vyplňování na notebooku, v telefonu i v aplikacích, které používáte? Jestli kvůli nepohodlí hesla kopírujete do poznámek, přeposíláte si je nebo používáte pořád stejné, zvolené řešení neplní svůj účel.

Počítač, který střídá více lidí

Používejte samostatné systémové účty. Pouhé přepnutí profilu Chrome není bezpečnostní hranice: člověk se stejným přístupem do počítače může otevřít i jiný profil. Google na toto omezení výslovně upozorňuje v nápovědě k profilům.

Na půjčeném nebo veřejném zařízení neukládejte osobní hesla a nezapínejte synchronizaci svého trezoru. Anonymní okno omezuje místní stopy po zavření, ale nedělá z cizího počítače důvěryhodné zařízení. Pro citlivé přihlášení použijte raději vlastní telefon.

Více prohlížečů nebo oddělený pracovní a osobní provoz

Samostatný správce dává smysl, pokud chcete stejný trezor v několika podporovaných prohlížečích, vlastní pravidla zamykání nebo konkrétní způsob sdílení přístupů. Vyberte podle těchto potřeb, nikoli podle obecné představy, že rozšíření je vždy bezpečnější než vestavěná funkce. Rozdíly rozebírá srovnání správců hesel.

U pracovního počítače se řiďte pravidly zaměstnavatele. Osobní synchronizační účet není vhodné úložiště firemních přístupů, pokud organizace vyžaduje vlastní spravovaný trezor.

Co zkontrolovat v Chrome na Windows 11?

Následující kontrola platí pro desktopový Chrome na Windows 11. Názvy voleb mohou být přeložené podle jazyka aplikace. U spravovaného pracovního zařízení je může omezovat firemní politika.

1. Otevřete správce hesel. V nabídce tří teček zvolte Hesla a automatické vyplňování → Správce hesel Google.
2. Ověřte místo ukládání. Na druhém vlastním zařízení otevřete správce hesel se stejným Google účtem a vyhledejte konkrétní uložené přihlášení. Ověřte jeho dostupnost a funkčnost, nikoli jen stejný avatar účtu. Pokud položka chybí, nepovažujte ji za dostupnou mimo původní zařízení; může být uložená pouze místně nebo se ještě nesynchronizovala.
3. Zapněte ověření při vyplňování. V nastavení správce hledejte Používat Windows Hello při vyplňování hesel. Dokončete systémové potvrzení.
4. Spusťte kontrolu hesel. V části Kontrola projděte upozornění na kompromitovaná a slabá hesla.
5. Vyzkoušejte výsledek. U méně důležité služby s dostupnou obnovou se odhlaste a znovu vyvolejte vyplnění hesla. Zkontrolujte, zda systém skutečně požaduje nastavené ověření.

Pokud volbu Windows Hello nevidíte, nepovažujte ochranu za automaticky aktivní. Zkontrolujte aktualizace, nastavení přihlášení ve Windows a případná omezení správce zařízení.

Upozornění na uniklé heslo řešte změnou přímo u dané služby. Úprava textu v uložené položce sama nic nemění na serveru. Ani výsledek bez varování nepotvrzuje, že účet nemůže být napadený; podrobnosti vysvětluje kontrola uniklých hesel.

Co mění synchronizace hesel?

Místní uložení znamená, že hesla zůstávají na konkrétním zařízení. Uložení do účtu umožňuje jejich použití také jinde, ale přidává další důležitou věc k ochraně: účet, přes který se k nim dostáváte.

U Google účtu zkontrolujte obnovovací kontakty, přihlášená zařízení a zabezpečení přihlášení. Pokud stejný účet používáte i pro poštu, projděte zabezpečení hlavního e-mailu. Rozmyslete si také, jak se přihlásíte na novém telefonu, když nemáte k dispozici ten starý. Obnovovací prostředek dostupný pouze uvnitř zamčeného účtu by vás mohl nechat bez použitelné cesty zpět.

Synchronizace není nezávislá archivní záloha. Slouží k udržování aktuálních údajů napříč zařízeními, takže se mohou přenášet i změny a mazání. Nezkoušejte ji hromadným odstraněním položek na jednom zařízení.

Funguje ochrana stejně ve Firefoxu a na Macu?

Ne. Chrome na Macu nabízí potvrzení pomocí zámku obrazovky; nejde o volbu Windows Hello. Návod pro jeden systém proto nelze mechanicky použít na druhý.

Firefox nabízí hlavní heslo, které chrání přístup k místně uloženým přihlášením. Po jeho nastavení ho zadáváte při prvním použití uložených hesel v dané relaci Firefoxu. Nezaměňujte ho s heslem k účtu Mozilla používanému pro synchronizaci. A stejně jako jinde nechrání obsah účtu, který už je otevřený a přihlášený.

Při změně prohlížeče proto nezačínejte otázkou „má uložená hesla?“. Ověřte, jak je odemyká, kde je ukládá a jak se k nim dostanete na druhém zařízení. Stejné tlačítko pro uložení může zakrývat odlišné možnosti obnovy.

Vyřeší samostatný správce napadený počítač?

Ne. Přesun hesel do jiné aplikace neodstraní škodlivý program. Ten může zneužít údaje při používání nebo ukrást již přihlášenou relaci. Napadené zařízení potřebuje vlastní nápravu.

Při podezření na napadení použijte důvěryhodné zařízení a postup pro napadený účet. Běžný přechod k samostatnému správci řešte teprve v bezpečném prostředí. Pak stačí postupný převod účtů, kontrola přihlášení a vypnutí duplicitních nabídek ukládání.

Často kladené otázky