告别1Password：自托管密码管理器全方案对比

为什么越来越多人考虑迁移出1Password

近日，Reddit自托管社区（r/selfhosted）上一则关于寻找1Password替代方案的讨论引发广泛关注。发帖者坦言，1Password近期的一项商业决策让他难以继续支持这款产品，尽管迁移的难度让人望而生畏。

这位用户的处境颇具代表性：家庭中的配偶也在深度使用1Password，密码库已经与日常生活紧密交织——从密码存储到Passkey（通行密钥）、2FA（双因素认证），几乎所有功能都依赖它运转。正因如此，任何替代方案不仅要功能对等，还要能顺畅地覆盖整个家庭的使用场景。

这引出了一个自托管圈子里长期存在但又不断演进的话题：在密码管理这个高度敏感的领域，开源自托管方案是否已经成熟到可以完全替代商业产品？

主流自托管密码管理器替代方案盘点

原帖提到了几个候选项，我们逐一分析它们的能力边界。

Vaultwarden + Bitwarden：最接近的开箱即用方案

在自托管密码管理领域，Vaultwarden 几乎是绕不开的名字。它是Bitwarden服务端的轻量级第三方实现，用Rust编写，资源占用极低，可以轻松跑在树莓派或小型NAS上。

关键在于，Vaultwarden完全兼容官方Bitwarden的客户端生态——浏览器插件、桌面App、移动端应用都可以直接连接你自建的服务器。这意味着你既享受了自托管的数据主权，又能获得成熟的跨平台体验。

从功能对等的角度看，Vaultwarden + Bitwarden客户端能够覆盖原帖提到的绝大部分需求：

• Passkey/通行密钥：Bitwarden已经支持存储和使用Passkey
• 2FA/TOTP：内置验证器功能，可生成一次性验证码
• 家庭共享：支持组织（Organization）和共享文件夹，适合夫妻共用
• 附件与安全笔记：满足敏感信息存储需求

对于希望「无痛迁移」的家庭用户来说，这通常是首选方案。

Vaultwarden之所以能完全兼容官方Bitwarden客户端，是因为它完整实现了Bitwarden的服务端API协议。官方Bitwarden服务端基于C#/.NET，而Vaultwarden用Rust重写后内存占用从数百MB降低至约10MB左右，数据库从SQL Server改用SQLite，使得它可以运行在内存仅512MB的设备上。需要注意的是，Vaultwarden属于非官方的第三方实现，在新版API特性的跟进上可能略有滞后，但其GitHub仓库活跃度较高，社区维护积极，目前仍被普遍认为是可信赖的选择。部署方式通常通过Docker完成，配合Nginx或Caddy作为反向代理提供HTTPS，整个过程对有基础Linux运维经验的用户并不复杂。

PassBolt：面向团队协作的密码管理选择

PassBolt 定位更偏向团队和企业协作，采用基于OpenPGP的端到端加密架构。它的权限管理和审计能力更强，适合有多人协作、需要精细化权限控制的场景。

不过对于普通家庭用户而言，PassBolt的部署和使用门槛相对更高，移动端体验和Passkey支持也不如Bitwarden生态成熟。它更适合那些看重协作审计而非纯粹家庭使用的用户。

OpenPGP（Pretty Good Privacy）是一种广泛使用的公钥加密标准。PassBolt基于此架构意味着每个用户拥有独立的密钥对，密码数据在服务端始终以加密形式存储，即便服务器被攻破，攻击者也无法直接读取明文密码。这与Bitwarden的加密方式（客户端AES-256加密后上传）在安全理念上各有侧重：前者更强调密钥分离与用户自主持有，后者在跨设备易用性上更占优势。对于家庭用户，OpenPGP密钥的生成与备份增加了额外的操作复杂度，一旦私钥丢失将无法恢复数据，这也是PassBolt对普通用户门槛较高的根本原因。

AliasVault：新兴的邮箱别名整合方案

AliasVault 是相对较新的项目，它的独特之处在于将密码管理与邮箱别名（email alias）功能整合。这对于注重隐私、希望为每个注册服务生成独立邮箱地址的用户很有吸引力。但作为较年轻的项目，其功能完整度和生态成熟度仍需观察，尤其在Passkey这类前沿功能上可能存在缺口。

KeePass：经典但略显陈旧的本地方案

原帖提到曾经使用过 KeePass，并认为它「即便在当时也显得过时」。这个评价有一定道理——KeePass基于本地加密数据库文件，跨设备同步需要借助第三方云盘，多端协作和现代化功能（如Passkey、便捷共享）的支持不够原生。不过通过KeePassXC等分支和各类插件，它依然是极简主义者和纯本地控制爱好者的可靠选择。

从1Password迁移的核心考量

综合来看，如果目标是功能对等且能全家平滑迁移，Vaultwarden + Bitwarden 客户端是当前呼声最高、也最务实的答案。它在Passkey、2FA、家庭共享这三大关键需求上都有成熟支持。

但迁移前有几个现实问题值得思考：

迁移的真实成本

1Password提供导出功能，Bitwarden也支持从1Password导入，因此数据迁移本身技术上可行。真正的挑战往往在于：

• 家庭成员的接受度：配偶已经习惯并喜欢1Password的体验，切换到新工具需要重新适应
• 自托管的运维责任：一旦自建服务器，备份、更新、安全加固都变成你自己的责任。密码库一旦丢失或被攻破，后果远比丢失其他数据严重
• Passkey迁移的复杂性：Passkey本身设计上并不总是可导出的，部分通行密钥可能需要在新工具中重新注册

自托管密码管理的双刃剑

自托管带来了数据主权和摆脱商业公司决策影响的自由，但也把安全的最后防线交到了自己手中。对于密码这种「一旦泄露即全盘皆输」的数据，Vaultwarden虽然轻量，但需要配合HTTPS、防火墙、离线备份等一整套安全实践，才能达到与商业方案相当的安全水位。

自托管密码管理器的安全加固通常需要覆盖几个关键层面：首先是传输层安全，必须通过有效SSL/TLS证书提供HTTPS访问，可使用Let's Encrypt免费获取；其次是访问控制，建议将Vaultwarden限制在VPN或Tailscale等私有网络内访问，避免直接暴露在公网；第三是备份策略，应定期对数据库文件（默认为db.sqlite3）进行加密异地备份，建议至少遵循3-2-1原则（3份拷贝、2种介质、1份离线）；最后是及时更新，跟进Vaultwarden的安全补丁至关重要。相比商业方案由专业安全团队兜底，自托管用户需要自行承担这一整套安全运营的责任。

结语：没有完美方案，只有最适合的取舍

这场关于1Password替代的讨论，本质上反映了用户对产品背后价值观与技术可控性日益增长的关注。当一款商业产品的决策与用户的价值取向产生冲突时，自托管社区提供了一条「用脚投票」的技术路径。

对于绝大多数希望完整迁移的家庭用户，Vaultwarden 搭配官方 Bitwarden 客户端是兼顾功能、体验和自托管理念的最优解。而PassBolt、AliasVault、KeePass则分别在团队协作、隐私别名、极简本地化等细分场景中各有所长。

最终的选择，取决于你愿意为「数据自由」付出多少运维精力，以及你的家人是否愿意一起踏上这段迁移之旅。