Bezpečné heslové manažery — Bitwarden vs 1Password vs Proton Pass

Heslový manažer není nadstavbový luxus, ale základní bezpečnostní hygiena na úrovni antivirového programu nebo zálohování. Pokud v roce 2026 stále píšete varianty stejného hesla do desítek služeb, podstupujete dvojí riziko — credential stuffing útok (kdy únik z jedné služby otevře dveře dalším) a phishing (kdy ručně zadáváte heslo na pozměněné doméně). Bitwarden, 1Password a Proton Pass jsou tři dominantní řešení s odlišnou filozofií. Tento průvodce porovnává všechny tři pro českého uživatele, který hledá dlouhodobý nástroj pro sebe nebo malou firmu.

Proč heslový manažer v roce 2026

Statistika z Have I Been Pwned k jaru 2026 hlásí přes 13 miliard ukradených přihlašovacích kombinací z více než 800 různých úniků. Pravděpodobnost, že vaše současné nebo bývalé heslo už v některém z těchto datasetů figuruje, je pro běžného českého internetového uživatele velmi vysoká — minimálně 30 %, pokud používáte e-mail starší než deset let.

Heslový manažer řeší tři problémy najednou:

1. Unikátnost — pro každou službu generuje náhodné heslo (typicky 16-20 znaků). I kdyby unikla databáze jedné služby, ostatní účty zůstávají bezpečné.
2. Sílu — náhodně generovaná hesla mají entropii, kterou si žádný člověk nedokáže udržet v hlavě (a tedy ani útočník neuhodne).
3. Autofill na správné doméně — drtivá většina phishingu funguje tak, že vás obelstí mírně pozměněnou doménou (microsoffice.com místo microsoft.com). Heslový manažer doplní heslo pouze na URL, kterou si pamatuje. Pokud se autofill nespustí, je to varovný signál.

V roce 2026 přibývá ještě jedna funkce — passkeys (FIDO2 bezpečnostní klíče). Heslový manažer dnes funguje i jako úschovna passkeys, takže nahrazuje hardwarové klíče typu YubiKey pro většinu běžných služeb.

Bitwarden — open-source pragmatika

Bitwarden je projekt založený v roce 2016 Kylem Spearrinem. Od roku 2018 funguje jako firma sídlící v Santa Barbara, ale klienti i server jsou plně open-source pod licencí GPL/AGPL. Auditovaný kód, transparentní release notes, možnost self-hostingu — pro paranoidní uživatele a firmy s vlastní IT to je nejdůvěryhodnější varianta na trhu.

Co Bitwarden nabízí:

• Free tarif — pro jednoho uživatele bez omezení počtu hesel, sync přes mraky Bitwardenu, klienti pro všechny platformy (iOS, Android, Windows, macOS, Linux, browser extensions Chrome/Firefox/Safari/Edge/Brave).
• Premium za 10 USD/rok — TOTP generování přímo v Bitwardenu, 1 GB safe storage, emergency access (přístup důvěryhodné osoby v případě nouze), prioritní podpora.
• Family plán za 40 USD/rok pro 6 členů — výborná cena vzhledem k tomu, že 1Password účtuje dvojnásobek.
• Teams od 4 USD na uživatele/měs, Enterprise od 6 USD na uživatele/měs — pro firmy s pokročilou správou (SCIM, SSO, audit logs).

Vlastní hosting Bitwarden Server (oficiálně přes Docker compose nebo komunitní Vaultwarden v Rustu) běží stabilně, autoupdate funguje, ale vyžaduje sysadmin znalost. Pro freelancera doporučuji cloudovou verzi za 10 USD/rok — neušetříte se vyplatí.

Slabiny Bitwardenu:

• UX není polished jako u 1Password. Browser extension funguje, ale občas potřebujete kliknout dvakrát pro autofill.
• Mobile app je rychlá, ale UI působí staticky a generický.
• Sharing mezi účty existuje jen v placených tarifech.
• Generování passkeys je dostupné, ale méně intuitivní než u 1Password.

1Password — premium polish

1Password je kanadský produkt od roku 2006, dnes vlastněný firmou AgileBits. Mezi všemi heslovými manažery má nejlepší design, nejhladší UX a nejdůslednější interakční vzorce. Za to platíte — neexistuje free tarif, pouze 30denní trial.

Tarify 1Password:

• Individual 36 USD/rok (3 USD/měs).
• Families 60 USD/rok pro 5 členů (5 USD/měs).
• Teams Starter Pack 240 USD/rok pro 10 uživatelů.
• Business 8 USD na uživatele/měs.
• Enterprise custom pricing.

Co dělá 1Password unikátní:

• Travel Mode — vypne vybrané vaulty během cestování, takže pohraniční celník nemůže přinutit zpřístupnit citlivé heslo.
• Watchtower — proaktivně monitoruje vaše uložené weby na úniky, doporučuje změnit hesla u znečištěných služeb.
• Secret Key — 1Password používá dvojí ochranu: vaše master password + Secret Key (34 znaků), který se generuje při založení účtu. I kdyby útočník získal master password, bez Secret Key se k vaultu nedostane.
• Passkey integrace — UX pro správu passkey je v 1Password v roce 2026 nejlepší. Hladce funguje s Google, Microsoft, Apple ID, Github, Amazon.
• Browser extension je výborně optimalizovaná, autofill funguje téměř bezchybně, integrace s biometrikou (Touch ID, Windows Hello) je elegantní.

1Password má též CLI nástroj `op`, který vývojáři milují pro injektování secrets do shell skriptů, GitHub Actions, CI pipelines. Pro DevOps tým je 1Password Business default volba.

Slabiny 1Password:

• Není open-source. Kód uzavřený, ale firma pravidelně publikuje bezpečnostní audity od třetí strany (např. Cure53).
• Cena vyšší než Bitwarden.
• Self-hosting není možný.

Proton Pass — privacy-first nováček

Proton Pass je nejmladší z trojice — vyšel z bety v dubnu 2023. Tvoří součást švýcarské Proton AG suite (Mail, VPN, Drive, Calendar, Pass). Hlavní devíza Proton Passu je integrace do ekosystému Proton a švýcarská jurisdikce s GDPR-přátelskou ochranou dat.

Tarify Proton Pass:

• Free — neomezená hesla, 10 mailových aliasů (Hide My Email), 2 zařízení, integrace s ostatními Proton produkty zdarma. Bez TOTP a omezenými sharing možnostmi.
• Pass Plus 1,99 EUR/měs (cca 50 Kč) — neomezené aliasy, TOTP, sdílení, dark web monitoring, prioritní podpora.
• Proton Unlimited 9,99 EUR/měs — Mail, VPN, Drive, Calendar, Pass v jednom balíčku.

Co dělá Proton Pass unikátní:

• Hide My Email integration — když registrujete účet někde na webu, Proton Pass nabídne vygenerování unikátní e-mailové aliasy (např. `random123@protonmail.com`). Pošta se přeposílá na váš primární mail, ale služba neví váš skutečný e-mail. Skvělá obrana proti spamu a databázovým únikům.
• Native integrace s Proton Mail a Proton VPN — pokud už platíte Proton Unlimited (9,99 EUR/měs za vše), Pass je v ceně.
• Open-source klienti od roku 2023 — server uzavřený, ale apps na GitHubu.
• End-to-end encryption s Curve25519 a XSalsa20-Poly1305 (stejně jako Bitwarden a 1Password používají AES-256-GCM).
• Switzerland-based — silnější právní ochrana dat než US/Kanada.

Slabiny Proton Pass:

• Mladší produkt, méně dospělý UX. Browser extension občas glitchuje (zejména ve Firefox).
• Méně integračních možností (žádný CLI, slabší Enterprise tooling).
• Sdílení mezi účty v rané fázi vývoje.
• Sharing s ne-Proton uživateli zatím komplikované.

Kompaktní srovnání

Funkce	Bitwarden	1Password	Proton Pass
Free tarif	Ano, prakticky neomezený	Ne, jen trial	Ano, omezený
Cena individuální (rok)	10 USD	36 USD	24 EUR
Cena family (rok)	40 USD pro 6	60 USD pro 5	součást Proton Family
Open-source klienti	Ano	Ne	Ano (od 2023)
Open-source server	Ano	Ne	Ne
Self-hosting	Ano	Ne	Ne
Passkey support	Ano	Ano (nejlepší UX)	Ano (omezený)
TOTP generování	Ano (Premium)	Ano	Ano (Plus)
CLI nástroj	Ano	Ano	Ne
Email aliasy	Ne	Ne (placeno přes Fastmail)	Ano (Hide My Email)
Travel mode	Ne	Ano	Ne
Mobile UX	Funkční	Excelentní	Solidní
Jurisdikce	USA	Kanada	Švýcarsko

Migrace ze starého systému

Pokud máte hesla uložená v prohlížeči (Chrome, Firefox, Edge, Safari), všechny tři manažery podporují import. Exportujete hesla z prohlížeče do CSV souboru a importujete přes admin panel manažera.

Pokud přecházíte z jiného password manageru (LastPass — který v roce 2022 utrpěl masivní únik a od té doby ztrácí uživatele, KeePass, Dashlane), všechny tři podporují import z většiny formátů.

Plán migrace pro běžného uživatele:

1. Den 1 — založte účet u vybraného manažera, vytvořte master password (passphrase, ne slovo z slovníku, minimum 20 znaků).
2. Den 1-3 — importujte existující hesla. Nastavte si autofill v browseru i mobilu.
3. Týden 1-2 — projděte 20 nejdůležitějších služeb (banka, e-mail, sociální sítě, cloud), změňte hesla na náhodně generovaná z manažera. Začněte e-mailem — protože když útočník získá e-mail, dostane password reset všeho ostatního.
4. Měsíc 1-3 — postupně proklikávejte všechny ostatní služby. Použijte report manažera (Bitwarden Reports, 1Password Watchtower, Proton Pass Pass Monitor), který vám ukáže duplikované, slabé a uniklé hesla.
5. Měsíc 3+ — nastavte 2FA / passkey na klíčových účtech, uložte recovery kódy do safe storage manažera.

Důležité: nezapomeňte master password. Pokud manažer používá zero-knowledge architekturu (všechny tři ano), žádný technický support vám heslo neresetuje. Ztratíte přístup ke všem heslům. Doporučuji master password zapsat ručně na papír a uložit do trezoru (skutečného, ne digitálního) nebo v bankovním seifu.

Bezpečnostní hygiena nad rámec manažera

Heslový manažer řeší skladování a generování hesel. Nereší ale veškerou bezpečnost. Pro úplnou hygienu doporučuji navíc:

• 2FA na klíčových účtech — minimálně e-mail, banka, sociální sítě. Použijte buď TOTP v manažeru, nebo dedikovaný hardware key (YubiKey, Google Titan). SMS 2FA je lepší než nic, ale zranitelná vůči SIM swapping útoku.
• Pravidelná kontrola Have I Been Pwned — zadejte svůj e-mail jednou za měsíc, podívejte se, zda nepřibyl nový únik.
• Antivirus s phishing ochranou — minimálně Windows Defender, pro firmy zvažte ESET (česká firma, kvalitní produkt) nebo Bitdefender.
• Pravidelné aktualizace OS a prohlížeče — phishing často využívá staré CVE v prohlížečích.

FAQ

Jaký manažer mám zvolit pro rodinu s dětmi?

Bitwarden Family za 40 USD/rok pro 6 osob je výborná cena. Pokud upřednostňujete polished UX a máte rozpočet, 1Password Families. Děti by měly mít vlastní vault, rodič může mít sdílený vault pro společné účty (Netflix, Spotify).

Co když manažer (firma) zkrachuje?

Pro Bitwarden — máte self-hosting možnost, takže ne. Pro 1Password / Proton Pass — všechny tři umožňují export do CSV. Doporučuji jednou za rok udělat export a uložit ho šifrovaný do cloudu (Proton Drive, iCloud, OneDrive) jako pojistku.

Jak velký by měl být master password?

Minimum 16 znaků, ideálně passphrase ze 4-6 nesouvisejících slov (např. „kytara-modrá-balónek-rychle-stůl“). Memorujete snadno, entropie přes 80 bitů.

Mohu manažer používat na cizím počítači (např. kavárna, hotel)?

Riskantní. Cizí počítač může mít keylogger. Pokud nutně potřebujete, použijte webový vault (vault.bitwarden.com), zalogujte se, po dokončení odhlaste, vymažte browser history a cookies. Pro mobil je situace lepší — vlastní zařízení je bezpečnější.

Co když si zapomenu master password?

U zero-knowledge manažeru bohužel ztratíte přístup. Některé manažery nabízejí recovery options — 1Password má Emergency Kit (PDF s Secret Key a QR kódem), Bitwarden nabízí Emergency Access (důvěryhodná osoba dostane přístup po čekací době). Vždy nastavte hned po registraci.

Vyplatí se Proton Pass pro samotného uživatele bez ostatních Proton služeb?

Pokud máte rád ekosystém Proton (Mail, VPN), ano. Pokud používáte Gmail a běžnou VPN, ne — Bitwarden má lepší poměr cena/funkce.

Co se stane při ztrátě telefonu s aplikací?

Aplikace je chráněna biometrikou nebo PINem. Bez ní se nikdo do vaultu nedostane. Při ztrátě telefonu dálkově odhlaste relaci v admin panelu (vault.bitwarden.com → Sessions → Logout) a změňte master password ze záložního zařízení.

Závěr a doporučení

• Pro pragmatika s rozpočtem — Bitwarden Premium (10 USD/rok). Otevřený kód, plná funkčnost, dlouhodobá udržitelnost.
• Pro fanouška premium UX — 1Password (36 USD/rok). Polished, nejlepší passkey UX, Travel Mode.
• Pro privacy-zaměřeného uživatele s Proton suite — Proton Pass v rámci Proton Unlimited (cca 230 Kč/měs). Hide My Email, švýcarská jurisdikce.

Heslový manažer je investice na celý život. Vyberte si jeden a držte se ho. Migrace mezi manažery není složitá, ale je rušivá, takže rozhodnutí stojí za to udělat dobře už napoprvé.

Pokud potřebujete poradit s bezpečnostní strategií pro vaši firmu — zabezpečení e-mailu, password policy, 2FA, audit existujících procesů — ozvěte se nám. Pomůžeme vám sestavit pragmatický plán bez zbytečného navyšování nákladů.