Bitwarden vs 1Password vs KeePass: Qual Gestor para PME em 2026?

✎ Duarte Spínola  |  2026-07-17

Um gestor de passwords deixou de ser uma ferramenta pessoal opcional para se tornar um controlo de segurança obrigatório em qualquer PME que cumpra o NIST SP 800-63B (orientação de 2017, revisada em 2024) ou o RDP de ENISA. As três soluções dominantes em 2026 — Bitwarden, 1Password e KeePass — representam abordagens distintas ao mesmo problema: reutilização de credenciais, partilhas inseguras por email ou mensagens, e impossibilidade de auditar quem acedeu a que senha. O Bitwarden apostou no modelo open-source com opção de self-hosting e em políticas empresariais granulares; o 1Password distingue-se pelo Travel Mode, Watchtower e provisionamento SCIM robusto; o KeePass mantém-se como a opção offline e gratuita, dependendo de plugins para funcionalidades empresariais. A escolha certa depende do cenário de uso, do orçamento, da maturidade da equipa de TI e dos requisitos de auditoria. As referências oficiais estão em Bitwarden Help, 1Password Business e KeePass.

1. Cenários de Uso de Gestor de Passwords em PME

Uma PME típica com 25 a 50 colaboradores tem necessidades de gestão de credenciais que vão muito além do armazenamento individual. Os cinco cenários principais são:

Partilha de credenciais de serviços partilhados. Contas de redes sociais da empresa, portais de fornecedores, credenciais de registos DNS, painéis de hosting e contas SaaS sem SSO precisam de ser partilhadas entre elementos da equipa. O envio por email ou mensagens é a anti-padrão mais comum e a causa mais frequente de incidentes. Um gestor de passwords empresarial permite partilhar credenciais sem revelar o texto da senha, revogar acesso em tempo real e registar quem acedeu e quando.

Onboarding e offboarding de colaboradores. Quando um colaborador sai, o tempo até à revogação de todas as credenciais é crítico. Com SCIM (System for Cross-domain Identity Management) integrado com Entra ID ou Google Workspace, a desactivação da conta de identidade desencadeia automaticamente a revogação no gestor de passwords, eliminando a janela de risco entre a saída formal e a revogação manual.

Auditoria e forense. Numa investigação de incidente, saber quem acedeu à credencial do painel de DNS num determinado período é essencial. O Bitwarden mantém registos de acesso ao vault durante 90 dias (Enterprise) e o 1Password mantém o Item History e relatórios de utilização por item. O KeePass, sem um backend central, não produz registos de acesso.

Viagens internacionais. Colaboradores que atravessam fronteiras podem ser obrigados a entregar dispositivos para inspeção alfandegária. O Travel Mode do 1Password remove temporariamente vaults sensíveis do dispositivo, deixando apenas o vault “para viagem”. Esta é uma funcionalidade única no segmento.

Conformidade regulamentar. RGPD, NIS2 e normas ISO 27001:2022 exigem controlos de acesso documentados. O NIST SP 800-63B recomenda explicitamente o uso de gestores de passwords para gerar e armazenar palavras-passe longas e únicas (secção 5.1.1.2). Um gestor empresarial é a forma mais directa de demonstrar cumprimento deste controlo em auditorias.

2. Bitwarden vs 1Password vs KeePass: Comparação Técnica

Bitwarden

O Bitwarden é um gestor de passwords open-source (licença GPL para o servidor e outras licenças para os clientes) que se tornou a referência no segmento empresarial pelo modelo de preços transparente e pela opção de self-hosting. O servidor Bitwarden pode ser implantado num VPS ou num servidor on-premises, dando à PME controlo total sobre os dados. A autenticação é zero-knowledge: o servidor nunca recebe a chave mestra nem o conteúdo desencriptado dos vaults. Os clientes (Windows, macOS, Linux, iOS, Android, extensões de browser) são code-reviewed pela comunidade. A documentação de administração está em Bitwarden Help.

A grande vantagem do Bitwarden é o custo previsível: o plano Teams Starter custa cerca de 3 USD por utilizador/mês para os primeiros 10 utilizadores, e o plano Business custa cerca de 4 USD por utilizador/mês sem limite mínimo. A desvantagem é a interface web mais funcional que polida, e a dependência de configuração manual para políticas avançadas.

1Password

O 1Password é um gestor de passwords comercial proprietário da AgileBits, com foco na experiência de utilizador e em funcionalidades de segurança activa como o Watchtower (que verifica senhas comprometidas em breaches públicos, reutilização e fraca complexidade) e o Travel Mode. O modelo zero-knowledge do 1Password adiciona uma camada de segurança única: a Secret Key de 34 caracteres gerada por dispositivo e combinada com a Master Password, o que significa que mesmo um ataque ao servidor não permite desencriptar vaults apenas com a senha mestra. Os detalhes técnicos estão em 1Password Business.

A vantagem do 1Password é a maturidade das funcionalidades empresariais: SCIM nativo para Entra ID, Google Workspace e Okta; relatórios de utilização granulares; Watchtower como ferramenta de auditoria contínua. A desvantagem é o custo: 7,99 USD por utilizador/mês no plano Business, sem opção de self-hosting.

KeePass

O KeePass é um gestor de passwords gratuito e open-source (licença GPL) que armazena as credenciais num ficheiro local .kdbx cifrado com AES-256 ou ChaCha20. Não há servidor central nem cloud: a sincronização entre dispositivos é responsabilidade do utilizador, tipicamente via Nextcloud, Syncthing, WebDAV ou um NAS. A segurança é máxima no sentido em que o ficheiro nunca está online num servidor de terceiros, mas o custo operacional de manter sincronização e partilha segura é elevado. A documentação está em KeePass.

A vantagem do KeePass é a independência total e o custo zero. A desvantagem crítica para PME é a ausência de: provisionamento automático (SCIM), registos de auditoria centralizados, SSO integrado, e partilha granular. As funcionalidades empresariais dependem de plugins de terceiros (KeePassXC, KeeShare) que não têm suporte comercial.

3. Bitwarden: Self-Hosted vs Cloud, Teams e Enterprise

O Bitwarden oferece dois modos de implantação com diferenças significativas para PME.

Bitwarden Cloud

A versão cloud é a opção recomendada para a maioria das PME. O servidor é gerido pela Bitwarden Inc. em datacenters certificados (SOC 2 Type 2, ISO 27001), com backup automático e actualizações transparentes. O administrador da organização não tem de gerir infraestrutura, apenas configurar políticas e utilizadores a partir do Admin Portal. A adesão é imediata: criar conta, convidar utilizadores, aplicar políticas.

Bitwarden Self-Hosted

A versão self-hosted é a opção para PME com requisitos de soberania de dados (setor saúde, jurídico, financeiro) ou com infraestrutura existente. O servidor Bitwarden pode ser instalado em Linux via Docker, conforme a documentação de instalação on-premise. O custo da licença self-hosted para PME é o mesmo do cloud (Teams ou Business) mas acresce o custo de infraestrutura, manutenção e backups. A maior armadilha é a actualização: sair de uma versão maior pode requerer migração de base de dados, pelo que um plano de backup testado é obrigatório.

Plano Teams Starter

O Bitwarden Teams Starter custa cerca de 3 USD por utilizador/mês para os primeiros 10 utilizadores, e inclui partilha de vaults, pastas e colecções, políticas básicas (Master Password reset, two-factor obrigatoriedade) e relatórios de Password Health. É o ponto de entrada recomendado para PME até 10 colaboradores.

Plano Business

O Bitwarden Business (cerca de 4 USD/utilizador/mês) adiciona: Single Sign-On (SAML/OIDC), SCIM provisioning, Directory Connector para sincronização com Entra ID/Google Workspace/Active Directory, políticas avançadas (15+ políticas: dois fatores obrigatório, gestão de senhas, URLs permitidos, etc.), Emergency Access e suporte prioritário. Para PME com mais de 10 utilizadores ou requisitos de auditoria, o plano Business é o mínimo recomendado.

Políticas empresariais do Bitwarden

As políticas empresariais são aplicadas a nível de organização e não podem ser contornadas pelo utilizador. A lista completa está em Bitwarden Policies. As mais relevantes para PME:

• Master Password requirements — definir comprimento mínimo, complexidade e rotação
• Two-factor authentication — obrigar MFA em todos os utilizadores
• Single sign-on authentication — obrigar login via SSO em vez de senha mestra
• Personal vault ownership — bloquear vaults pessoais, todo o conteúdo pertence à organização
• Password generator — forçar parâmetros do gerador (comprimento, símbolos, ambíguos)

4. 1Password Business: Travel Mode, Watchtower e Provisioning

O 1Password Business é o plano recomendado da AgileBits para PME, com custo de cerca de 7,99 USD por utilizador/mês. A documentação de implantação está em 1Password Business e o guia de provisionamento em 1Password SCIM.

Travel Mode

O Travel Mode é a funcionalidade distintiva do 1Password. Quando activado pelo administrador ou pelo próprio utilizador, todos os vaults marcados como “para viagem” ficam disponíveis no dispositivo e todos os outros vaults são completamente removidos (não ocultos: apagados localmente, mantendo-se no servidor). Ao regressar, o Travel Mode é desactivado e os vaults voltam a sincronizar. Esta funcionalidade é essencial para colaboradores que viajam para jurisdições com inspecções alfandegárias intrusivas.

Watchtower

O Watchtower é a ferramenta de auditoria contínua do 1Password. Verifica em tempo real:

• Senhas expostas em breaches conhecidos (base de dados do Have I Been Pwned)
• Senhas reutilizadas entre vaults
• Senhas fracas (comprimento/complexidade)
• Sites sem 2FA activado
• Certificados TLS expirados ou fracos nos sites armazenados

Para auditorias de segurança trimestrais, o Watchtower gera relatórios exportáveis por utilizador e por vault. No plano Business, o administrador pode ver agregados da organização.

Provisioning SCIM

O 1Password SCIM é um servidor SCIM integrado que sincroniza utilizadores e grupos a partir de:

• Microsoft Entra ID (via Enterprise Applications, documentação oficial)
• Google Workspace (via Google Admin SDK)
• Okta
• OneLogin
• JumpCloud

A integração com Entra ID cria automaticamente o utilizador no 1Password quando este é criado no Entra ID, atribui grupos consoante a filiação em grupos do Entra, e desactiva o utilizador no 1Password quando a conta é desactivada no Entra. A integração com Google Workspace usa o Google SCIM bridge documentado oficialmente. O SCIM elimina a janela de risco entre o onboarding/offboarding formal e a configuração manual.

1Password vs 1Password Teams

O 1Password Teams (4,99 USD/utilizador/mês) é o plano para equipas pequenas (até 50 utilizadores) e não inclui SCIM nem Travel Mode gerido pelo administrador. O plano Business adiciona Travel Mode centralizado, SCIM, relatórios de auditoria e políticas avançadas. Para PME com requisitos de conformidade, o Business é o plano a considerar.

5. KeePass: Offline, Plugins e Sincronização Manual

O KeePass é o gestor de passwords mais antigo dos três (lançado em 2003) e mantém-se relevante em 2026 pela sua natureza offline e gratuita. O site oficial é keepass.info e o download está em keepass.info/download.html.

Modelo de funcionamento

O KeePass armazena credenciais num ficheiro local com extensão .kdbx, cifrado com AES-256 ou ChaCha20. A chave de cifra é derivada da Master Password (com Argon2 como KDF por defeito). Não há servidor, não há cloud, não há conta. A sincronização entre dispositivos é responsabilidade do utilizador, tipicamente via:

• Nextcloud/ownCloud — sincronização de ficheiro via cliente desktop
• Syncthing — sincronização P2P entre dispositivos
• WebDAV — suporte nativo no KeePass para abrir ficheiro remoto
• NAS — partilha SMB com o ficheiro .kdbx

O risco principal é o conflito de versões: se dois utilizadores editam o ficheiro em simultâneo, uma das alterações perde-se. O KeePass tem um mecanismo de merge básico, mas em ambientes com 5+ utilizadores a editar o mesmo vault, os conflitos tornam-se frequentes.

Plugins e extensões

O KeePass base é limitado, mas o ecossistema de plugins é extenso. A lista oficial está em keepass.info/plugins.html. Os mais relevantes para PME:

• KeePassXC — fork multiplataforma (Windows, macOS, Linux) com melhor integração de browser
• KeeShare — partilha de vaults entre utilizadores com assinatura
• KeePassOTP — geração de códigos TOTP no próprio vault
• Yet Another Favicon Downloader — descarregar favicons para identificação visual
• KeePassRPC + Kee — integração com browsers Firefox e Chromium

Sincronização segura em PME

Para PME, a sincronização manual via Nextcloud ou NAS é viável até cerca de 10 utilizadores. Para além disso, a ausência de auditoria centralizada, de provisionamento e de SSO torna o KeePass inadequado como solução corporativa. O uso típico em 2026 é como complemento: vault offline para credenciais de emergência ou break-glass, enquanto o gestor principal (Bitwarden ou 1Password) cobre o dia-a-dia.

Limitações para PME

• Sem SCIM nem provisionamento automático
• Sem SSO/SAML/OIDC
• Sem registos de auditoria centralizados
• Sem partilha granular por utilizador/grupo
• Sem suporte comercial
• Conflitos de sincronização em equipas com 5+ editores simultâneos

6. Segurança e Compliance: Zero-Knowledge, SSO e SCIM

Zero-knowledge

Os três gestores são zero-knowledge no sentido em que o fornecedor não consegue desencriptar os vaults a partir do servidor. No entanto, há diferenças importantes:

• Bitwarden — a chave mestra é derivada (PBKDF2 ou Argon2id) e nunca sai do dispositivo. O servidor recebe apenas o vault cifrado. A chave de cifra simétrica é gerada aleatoriamente e protegida pela chave mestra.
• 1Password — além da Master Password, existe a Secret Key de 34 caracteres gerada por dispositivo e partilhada fora de banda. Isto significa que mesmo que o servidor seja comprometido, o atacante precisa de Secret Key + Master Password. Esta dupla camada é única no segmento.
• KeePass — o ficheiro .kdbx é cifrado localmente com AES-256 ou ChaCha20, com Argon2 como KDF. A chave nunca sai do dispositivo. O “servidor” é o ficheiro local, pelo que o ataque depende do acesso ao ficheiro.

Single Sign-On (SSO)

O SSO permite que os utilizadores se autentiquem no gestor de passwords usando a identidade corporativa (Entra ID, Google Workspace, Okta), eliminando a Master Password como ponto único de falha. Documentação: Bitwarden SSO e 1Password SSO.

No Bitwarden Business, o SSO SAML ou OIDC é configurado no Admin Portal. O utilizador pode optar por iniciar sessão via SSO ou via Master Password. Com a política “Single sign-on authentication” activa, o SSO torna-se obrigatório.

No 1Password Business, o SSO está disponível no plano Business e superior. A integração com Entra ID usa o SAML 2.0 nativo. Importante: mesmo com SSO, o 1Password mantém a Secret Key por dispositivo, pelo que o SSO não substitui completamente a cifra zero-knowledge.

O KeePass não suporta SSO nativamente. Há plugins experimentais mas sem suporte comercial.

SCIM provisioning

O SCIM (System for Cross-domain Identity Management) é o padrão que permite criar, actualizar e desactivar utilizadores automaticamente entre o IdP e o gestor de passwords. Documentação: Bitwarden SCIM e 1Password SCIM.

Auditoria

A auditoria é o controlo que mais distingue as soluções empresariais das pessoais:

• Bitwarden Enterprise — regista eventos de vault (acesso, modificação, partilha) durante 90 dias. Exportável para SIEM via API.
• 1Password Business — Item History (histórico de versões por item), relatórios de utilização por utilizador, eventos de acesso por vault. Retenção configurável.
• KeePass — sem registos de auditoria central. A auditoria depende do filesystem (timestamps do .kdbx) que é trivial de manipular.

Conformidade NIST SP 800-63B

O NIST SP 800-63B recomenda (secção 5.1.1.2) que os utilizadores armazenem palavras-passe num gestor de passwords para permitir o uso de palavras-passe longas e únicas. Os três gestores cumprem esta recomendação, mas apenas o Bitwarden e o 1Password produzem relatórios que demonstram cumprimento em auditorias (comprimento médio de senhas, reutilização, breached passwords).

7. Implantação PME: Políticas, Partilha Segura e Auditoria

Definir a hierarquia de vaults

Antes de convidar o primeiro utilizador, definir a hierarquia de vaults e colecções. Exemplo para uma PME de 25 colaboradores:

No Bitwarden, esta hierarquia implementa-se com colecções dentro de uma organização. No 1Password, com vaults partilhados e grupos. A regra prática: nenhum utilizador deve ter acesso a vaults fora do seu âmbito de trabalho (least privilege).

Aplicar políticas

Configurar no mínimo as seguintes políticas, em ambos os gestores empresariais:

No Bitwarden estas políticas estão em Bitwarden Policies. No 1Password, as políticas são aplicadas via Admin Console e via políticas de dispositivo (MDM).

Partilha segura de credenciais

Para partilhar uma credencial com um externo (fornecedor, consultor) sem o adicionar ao gestor de passwords:

• Bitwarden Send — partilha temporária cifrada, com data de expiração e limite de acessos. Documentação em Bitwarden Send.
• 1Password Item Share — link partilhado com expiração e proteção por palavra-passe única.

Nunca partilhar credenciais por email, mesmo cifradas. O envio por email fica no histórico do destinatário e do servidor de email, e é a causa mais frequente de fugas.

Auditoria contínua

Rever mensalmente os relatórios:

• Password Health (Bitwarden) — senhas fracas, reutilizadas, expostas em breaches
• Watchtower (1Password) — mesmo conceito, com notificação contínua
• Event Log — aceder à lista de eventos de vault; investigar acessos fora de horário ou de IPs desconhecidos
• Utilizadores inactivos — identificar contas sem login há mais de 30 dias e desactivar

Integração com Entra ID e Google Workspace

Bitwarden com Entra ID

A integração do Bitwarden Business com Microsoft Entra ID pode ser feita por SSO (SAML 2.0) e por SCIM:

A documentação de SSO do Bitwarden está em Bitwarden SSO.

Bitwarden com Google Workspace

O Bitwarden oferece o Directory Connector que sincroniza utilizadores e grupos do Google Workspace para o Bitwarden, permitindo onboarding e offboarding automáticos. O SSO via Google Workspace pode ser configurado via SAML 2.0, com o Google como IdP.

1Password com Entra ID

O 1Password Business integra-se com Entra ID via SCIM e SSO:

• SCIM — o 1Password SCIM bridge corre como serviço (Docker ou Azure) e comunica com o Entra ID para provisionar utilizadores e grupos. A configuração detalhada está em 1Password SCIM.
• SSO — SAML 2.0 nativo, configurado no Admin Console do 1Password e no Entra ID Enterprise Application.

1Password com Google Workspace

A integração do 1Password com Google Workspace via SCIM usa o Google SCIM bridge. A autenticação SSO via Google Workspace usa SAML 2.0, com o Google como IdP e o 1Password como SP.

Comparação de integrações

8. Migração Entre Gestores de Passwords

A migração entre gestores é um passo crítico que deve ser feito de forma controlada. Os formatos de exportação/importação variam, mas o CSV é o denominador comum aceito por todos.

De LastPass para Bitwarden/1Password

O LastPass permite exportar para CSV. O Bitwarden e o 1Password importam directamente CSV do LastPass. Passos:

De Bitwarden para 1Password

O Bitwarden exporta para JSON (recomendado) ou CSV. O 1Password importa JSON do Bitwarden:

Após importar no 1Password (Settings → Import → Bitwarden), validar o número de itens e testar login em 3-5 sites críticos antes de desactivar o Bitwarden.

De 1Password para Bitwarden

O 1Password exporta para .1pux (formato proprietário 1PUX) ou CSV. O Bitwarden importa ambos. Recomenda-se .1pux por preservar metadados (URIs, notas, categorias).

De KeePass para Bitwarden/1Password

O KeePass exporta para XML ou CSV. O Bitwarden importa XML do KeePass directamente; o 1Password requer CSV.

Migração em massa para PME

Para PME com 25+ utilizadores, a migração em massa deve ser faseada:

1. Piloto com 3-5 utilizadores durante 2 semanas — validar fluxo, identificar problemas de importação
2. Migração por departamento — um departamento de cada vez, com janela de suporte
3. Formação de 30 minutos por departamento antes da migração — demonstrar extensão de browser, criação de senha, partilha
4. Período de coexistência de 30 dias — manter gestor antigo activo em modo só-leitura para referenciação
5. Desactivar o gestor antigo após confirmação de migração completa

Riscos da migração

• Exportação em texto claro — o CSV exportado contém todas as senhas em texto. Tratar como ficheiro sensível, apagar após importação.
• Perda de metadados — alguns gestores não preservam URIs, notas ou categorias. Validar após importação.
• Duplicados — a importação pode criar duplicados se já houver itens no destino. Limpar antes de importar.
• Senhas não importadas — alguns gestores não exportam senhas TOTP ou ficheiros anexos. Migrar manualmente.

9. Outras Causas de Problemas com Gestores de Passwords

Nem todos os problemas com gestores de passwords vêm de má configuração. Outras causas frequentes:

• Extensão de browser desactualizada: A extensão antiga pode não detectar campos de password em sites com layouts recentes. Actualizar a extensão manualmente se o auto-update falhar.
• Sync conflict no KeePass: Quando a base de dados KeePass é aberta em dois dispositivos simultaneamente, o último a gravar sobrescreve o outro. Usar Nextcloud ou Syncthing com conflict resolution activado.
• Master Password esquecida sem Emergency Access: Sem recovery configurado, a perda da Master Password significa perda permanente do vault. Configurar Emergency Access (Bitwarden) ou Recovery (1Password Teams+) antes de precisar.
• SCIM desactiva utilizador mas não apaga vault: O SCIM provisioffboarding desactiva o utilizador mas o vault pessoal pode reter dados. Configurar política de “personal vault ownership = organisation” antes do onboarding.

10. Como Evitar Problemas no Futuro

Práticas para manter um gestor de passwords empresarial saudável:

• Auditoria trimestral: Rever utilizadores inactivos, vaults órfãos e relatórios de Password Health/Watchtower.
• Rotação de Master Password: Embora não seja obrigatória, uma rotação anual de Master Password em administradores reduz o risco de compromisso a longo prazo.
• Política de offboarding automatizada: SCIM + política de “personal vault ownership = organisation” garante que nenhum dado sai com o utilizador.
• Backup do vault empresarial: Bitwarden self-hosted precisa de backup PostgreSQL; 1Password e KeePass precisam de exportação periódica encriptada.
• Formação contínua: 30 minutos por departamento no onboarding, refresher trimestral com novos casos de phishing.
• Monitorizar breaches: Activar Watchtower (1Password) ou Password Health (Bitwarden) e agir imediatamente sobre credenciais comprometidas.

11. Custos para PME com 25 Utilizadores

A análise de custo deve considerar licença, MFA hardware (se aplicável), suporte e custo de administração ao longo de 3 anos. Cenário: PME com 25 utilizadores, 5 vaults partilhados, SCIM com Entra ID, Travel Mode não necessário.

Opção A: Bitwarden Business (cloud)

Opção B: 1Password Business

Opção C: KeePass + Nextcloud (self-hosted)

Comparação TCO 3 anos

Nota: Os preços indicados são estimativas para meados de 2026, em USD convertidos a ~0,93 EUR. O custo de administração do KeePass é a variável dominante: sem SCIM nem auditoria, a carga operacional cresce com o número de utilizadores. Para PME com requisitos de conformidade, o Bitwarden oferece o melhor rácio custo/funcionalidade; o 1Password justifica o custo superior pelo Watchtower contínuo e Travel Mode.

Guia de Decisão por Cenário

12. Checklist Pré-Produção

Antes de colocar um gestor de passwords empresarial em produção para 25 utilizadores, verificar:

• [ ] Seleccionar gestor alinhado com os requisitos de compliance (NIS2, ISO 27001, RGPD)
• [ ] Configurar SSO SAML com Entra ID ou Google Workspace antes de convidar utilizadores
• [ ] Configurar SCIM provisioning para onboarding/offboarding automáticos
• [ ] Aplicar política de Master Password: mínimo 14 caracteres, complexidade alta
• [ ] Activar two-factor authentication obrigatório (Duo, YubiKey ou TOTP)
• [ ] Desactivar personal vault ownership — todo o conteúdo pertence à organização
• [ ] Configurar política de Password Generator: 20 caracteres com símbolos
• [ ] Definir hierarquia de vaults por departamento (Admin, Financeiro, TI, Marketing)
• [ ] Configurar Emergency Access para pelo menos 2 administradores
• [ ] Testar Travel Mode (se aplicável) antes de viagem internacional
• [ ] Validar que o SCIM desactiva utilizadores automaticamente (teste com conta de demonstração)
• [ ] Exportar relatório de Password Health/Watchtower antes do go-live (baseline)
• [ ] Formar utilizadores: 30 minutos por departamento, demonstrar extensão de browser e partilha
• [ ] Documentar: vaults, grupos, políticas, contactos de suporte, procedimento de offboarding
• [ ] Agendar revisão trimestral de Password Health/Watchtower e de utilizadores inactivos
• [ ] Testar migração em piloto de 3-5 utilizadores antes de migração em massa
• [ ] Verificar que o CSV de migração foi apagado de forma segura após importação
• [ ] Configurar notificações de email para eventos críticos (login de admin, exportação, alteração de política)
• [ ] Para Bitwarden self-hosted: testar backup/restauro da base de dados antes de carregar vaults reais
• [ ] Para KeePass: definir regra de sincronização (Nextcloud/Syncthing) e responsável por resolução de conflitos

Artigos Relacionados

• Definir Palavra-passe Segura
• Gestor de Palavras-passe
• Passkeys, FIDO2 e WebAuthn: Substituir Passwords em 2026
• MFA FIDO2 Phishing-Resistente no Microsoft 365 e Google Workspace

Fontes:

• Bitwarden Help — bitwarden.com/help
• Bitwarden Pricing Business — bitwarden.com/pricing/business
• Bitwarden SSO — bitwarden.com/help/about-sso
• Bitwarden Login with SSO — bitwarden.com/help/login-with-sso
• Bitwarden SCIM — bitwarden.com/help/about-scim
• Bitwarden Policies — bitwarden.com/help/policies
• Bitwarden Install On-Premise — bitwarden.com/help/install-on-premise
• Bitwarden Admin Portal — bitwarden.com/help/admin-portal
• Bitwarden Directory Connector — bitwarden.com/help/directory-connector
• Bitwarden Send — bitwarden.com/help/send
• Bitwarden Emergency Access — bitwarden.com/help/emergency-access
• Bitwarden Products Enterprise — bitwarden.com/products/enterprise
• 1Password Business — 1password.com/business
• 1Password Business Pricing — 1password.com/business/pricing
• 1Password Teams — 1password.com/teams
• 1Password Travel Mode — support.1password.com/travel-mode
• 1Password SCIM — support.1password.com/scim
• 1Password SCIM Google Workspace — support.1password.com/scim-google-workspace
• 1Password SSO — support.1password.com/sso
• 1Password Deploy — support.1password.com/deploy-1password
• KeePass — keepass.info
• KeePass Download — keepass.info/download.html
• KeePass Plugins — keepass.info/plugins.html
• KeePass Help — keepass.info/help
• NIST SP 800-63B (HTML) — pages.nist.gov/800-63-3/sp800-63b.html
• NIST SP 800-63B (PDF) — nvlpubs.nist.gov/…/NIST.SP.800-63b.pdf