Lösenordshanterare – så fungerar de och så väljer du

En lösenordshanterare hjälper dig att skapa, spara och fylla i unika lösenord för olika webbplatser. Du behöver då inte komma ihåg ett stort antal krångliga lösenord och slipper återanvända samma inloggning på flera ställen. För många är en inbyggd lösning i telefonen eller webbläsaren tillräcklig, men den som använder flera plattformar kan behöva en fristående hanterare.

Hur fungerar en lösenordshanterare?

Programmet sparar dina inloggningsuppgifter i ett skyddat valv, ofta krypterat så att uppgifterna inte ligger som vanlig läsbar text. När du besöker en webbplats kan hanteraren föreslå rätt konto och fylla i lösenordet åt dig. Många har dessutom en generator som skapar långa slumpmässiga lösenord, en kontroll av återanvända uppgifter och stöd för passkeys.

Det avgörande är att du använder olika lösenord för olika tjänster. Om en webbplats råkar ut för ett dataintrång ska samma lösenord inte kunna användas för att logga in på din e-post, butikskonto eller molntjänst. NIST beskriver i sin vägledning om lösenordshanterare varför unika lösenord och säker autofyllning är användbara.

Inbyggd eller fristående lösenordshanterare?

En inbyggd lösning har fördelen att redan finnas i ditt operativsystem eller din webbläsare. Den kan ofta fylla i lösenord utan extra installation och vara enkel att konfigurera på dina egna enheter. Nackdelen kan vara att den passar sämre om du byter mellan flera ekosystem, behöver dela vissa uppgifter säkert eller vill ha fler kontroller över valv och export.

En fristående hanterare kan ge bredare stöd för Windows, Mac, Android, iPhone och flera webbläsare. Det är dock inte säkert att den är bäst för dig: kontrollera vilka funktioner som faktiskt ingår i den version du tänker använda, hur synkronisering fungerar och vad som händer om tjänsten blir tillfälligt otillgänglig.

Sju saker att jämföra innan du väljer

1. Enhetsstöd: fungerar lösningen på samtliga mobiler, datorer och webbläsare som du använder i vardagen?
2. Skydd av valvet: finns tydlig dokumentation om kryptering, åtkomstskydd och hur leverantören hanterar känsliga uppgifter?
3. Multifaktorautentisering: kan du aktivera ett extra skydd för själva kontot och hanterar du reservkoder på ett bra sätt?
4. Autofyllning: känner programmet igen rätt webbplats och kan det varna för misstänkta adresser i stället för att fylla i okritiskt?
5. Synkronisering och offlineåtkomst: får du tillgång till uppgifterna på olika enheter, och vad fungerar när internet saknas?
6. Export och byte: kan du flytta uppgifterna till en annan lösning utan att bli permanent inlåst i en tjänst?
7. Återställning och kostnad: vad händer om du glömmer huvudlösenordet, och vilka funktioner kräver betalning?

Det finns inget självklart bästa alternativ för alla. En familj med många delade konton kan prioritera säker delning och separata användare. Den som använder bara en telefon kan prioritera enkelhet. För arbete måste även arbetsgivarens regler och hantering av företagskonton vägas in.

Välj ett starkt huvudlösenord

En hanterare är inte säkrare än hur du skyddar dess åtkomst. Om din lösning använder ett huvudlösenord bör du välja en lång, unik lösenfras som inte används någon annanstans. Den ska vara svår att gissa men möjlig för dig att hantera. Använd inte din e-postadress, familjenamn eller en gammal standardfras som enda skydd.

Aktivera flerfaktorsinloggning för valvkontot där det finns. Kontrollera också om lösenordshanteraren har en funktion för säker återställning och var eventuella reservkoder ska förvaras. Förvara inte enda kopian av din återställningskod i ett valv som du riskerar att bli utelåst från.

Så kommer du igång utan att tappa bort något

1. Välj en hanterare som fungerar på dina viktigaste enheter.
2. Skapa kontot, skydda huvudlösenordet och aktivera extra inloggningsskydd.
3. Börja med e-postkontot och dina viktigaste privata konton.
4. Spara befintliga uppgifter och byt återanvända lösenord ett konto i taget.
5. Låt generatorn skapa ett nytt långt, unikt lösenord för varje tjänst som behöver bytas.
6. Testa att logga in från en annan betrodd enhet och kontrollera att synkroniseringen fungerar.
7. Kontrollera återställning och säkerhetskopiering innan du raderar gamla uppgifter.

Var försiktig med exportfiler. En export i CSV-format kan innehålla alla lösenord i klartext. Lämna inte en sådan fil kvar i mappen Hämtade filer, i en okrypterad molnmapp eller i ett mejl. Följ leverantörens instruktioner och radera tillfälliga exportfiler när migreringen är verifierad.

Är autofyllning alltid säker?

Autofyllning minskar risken att skriva lösenord på fel webbplats, eftersom en bra hanterare kopplar inloggningsuppgifterna till rätt adress. Det ersätter ändå inte din egen kontroll. En falsk sida kan likna originalet, och hanterare kan ha olika regler för hur de matchar adresser och fyller i uppgifter.

Om något ser konstigt ut ska du inte tvinga fram autofyllning eller manuellt klistra in lösenordet. Gå i stället till tjänsten via ett eget bokmärke eller genom att skriva adressen själv. Läs också vår guide om SMS-fiske för att känna igen vilseledande meddelanden.

Kan en lösenordshanterare också lagra passkeys?

Många moderna lösningar kan hantera både lösenord och passkeys, men stödet beror på operativsystem, webbläsare och vald hanterare. En passkey fungerar inte som ett vanligt textlösenord: den använder kryptografiska nycklar och godkänns ofta med enhetens skärmlås. Läs vår separata guide om vad passkeys är och hur du använder dem innan du flyttar eller börjar registrera sådana nycklar.

Det är fullt rimligt att använda lösenordshanterare och passkeys parallellt. Vissa tjänster erbjuder endast traditionella lösenord, andra erbjuder passkeys som alternativ. Kontrollera även hur respektive tjänst låter dig återställa kontot om du mister tillgången till valvet.

Vad händer om leverantören drabbas av intrång?

Det finns alltid risker med programvaror som hanterar värdefulla uppgifter. Därför bör du titta på hur leverantören beskriver kryptering, säkerhetsgranskning, incidenthantering och skydd av huvudnycklar. En påstådd ”nollkunskapsmodell” är inte ensam en garanti för att hela systemet är säkert. Ett svagt huvudlösenord eller en infekterad enhet kan fortfarande innebära problem.

Den kanadensiska cybersäkerhetsmyndigheten rekommenderar bland annat multifaktorautentisering, väl skyddade valv och kontroll av återanvända eller läckta lösenord i sin säkerhetsguide för lösenordshanterare. Välj en leverantör med begripliga instruktioner och följ upp kända säkerhetsproblem, men byt inte verktyg enbart på grund av en marknadsföringslista.

Vanliga misstag att undvika

• Att fortsätta återanvända ett gammalt lösenord trots att hanteraren finns.
• Att använda samma korta lösenord både till e-post och till valvet.
• Att sakna tillgång till återställningsmetoder när mobilen försvinner.
• Att lämna exporterade lösenord i okrypterade filer.
• Att godkänna oväntade inloggningsförfrågningar utan kontroll.
• Att spara tjänstekonton tillsammans med privata konton i strid med arbetsgivarens regler.

Vilken lösning är rätt för dig?

Välj i första hand en hanterare som du faktiskt kommer att använda, som har tydlig säkerhetsdokumentation och som fungerar på dina enheter. Börja med att skapa unika lösenord för viktiga konton och testa synkronisering och återställning innan du flyttar alla uppgifter. Behöver du en bredare genomgång av konto- och lösenordsskydd finns vår guide om att skydda lösenord och konton och samlingssidan säkerhet på nätet.