Gratis en opensource wachtwoordmanager
2Secret bewaart je wachtwoorden, passen en documenten versleuteld op je apparaat. Je kluis blijft bij jou: op één apparaat, of op een server die je zelf beheert. Geen abonnement, geen tracking.
Gratis voor macOS, Windows, Linux, BSD en Android. De iOS-app kost eenmalig een klein bedrag.
Two-Secret Key Derivation
Je kluis zit op slot met twee geheimen: één die je onthoudt en één die je apparaat maakt. Een dief heeft ze allebei nodig, en de server heeft er geen van beide.
Je hoofdwachtwoord wordt versterkt met Argon2id: een bewust traag proces dat veel geheugen vraagt (64 MiB, 3 rondes). Daardoor wordt raden heel duur. Het moet minstens 12 tekens lang zijn en als ‘goed’ beoordeeld worden.
Op je apparaat wordt een willekeurige geheime sleutel van 130 bits gemaakt, die nooit naar de server gaat. Hij ziet eruit als 2S-XXXXXX-XXXXX-… en staat op je noodkit.
De twee geheimen worden samen een ontgrendelsleutel die je apparaat nooit verlaat. Elke kluis krijgt een eigen sleutel van 256 bits, en elk item wordt met XChaCha20-Poly1305 versleuteld voordat het ergens heen gaat.
Synchroniseer je, dan krijgt je server alleen versleutelde gegevens. Zelfs een complete kopie van de database is waardeloos om je wachtwoord te raden, want de geheime sleutel zit er niet in.
Je hoofdwachtwoord gaat door Argon2id (64 MiB geheugen, 3 rondes) en wordt gecombineerd met de geheime sleutel van 130 bits. Het resultaat wordt gesplitst in een ontgrendelsleutel, die je apparaat nooit verlaat, en een authenticatiesleutel. De server bewaart alleen een Argon2id-hash van die authenticatiesleutel. Zo kan hij controleren dat jij het bent, zonder iets te weten te komen waarmee je data te ontsleutelen is.
Apps leiden geen sleutels af, en servers bewaren geen accounts, met Argon2id-instellingen onder 19 MiB geheugen en 2 rondes. Een kwaadwillende server kan je app dus niet overhalen tot een zwakke sleutelafleiding.
Wat je krijgt
Apps voor elk platform, allemaal gebouwd uit één opensource codebase.
Logins, passen, identiteiten, bankrekeningen, SSH-sleutels, documenten en meer, met eigen velden, labels en versleutelde bijlagen.
Vindt zwakke, hergebruikte en oude wachtwoorden, http-websites en verlopende passen, met een optionele controle bij Have I Been Pwned.
Vult alleen in als jij klikt, controleert eerst de pagina, en bewaart en gebruikt passkeys.
Offline-first synchroniseren via je eigen server, en kluizen die je deelt als kijker, bewerker of beheerder.
2secret read, run en inject houden geheimen uit configuratiebestanden en CI.
Importeer uit Bitwarden, LastPass, je browser, KeePass, Dashlane en andere wachtwoordmanagers.
Jij bent eigenaar van je data
Het 2Secret-project bewaart van niemand de kluis. Jij kiest waar die van jou staat, en je kunt later nog van gedachten veranderen.
Je kluis staat op één apparaat. Er is helemaal geen server, en je kluis verlaat je apparaat nooit.
Draai de 2Secret-server in Docker op een Raspberry Pi, NAS, Proxmox of VPS. Je apparaten synchroniseren via die server, en hij ziet alleen versleutelde data.
Gratis & opensource
2Secret is gratis en opensource onder de MIT- of Apache 2.0-licentie, naar keuze. Elke regel code is openbaar. Iedereen kan dus controleren wat het doet, en niemand kan stilletjes de regels veranderen.
Alleen de iOS-app in de App Store kost geld: eenmalig een klein bedrag voor Apples ontwikkelaarsaccount en hosting. Ook die app is opensource en kun je zelf bouwen. Donaties helpen de overige kosten te dekken.
Cijfers van GitHub, regelmatig ververst.
Download 2Secret gratis en neem je wachtwoorden in een paar minuten mee uit je huidige wachtwoordmanager of browser.