Resposta curta

A escolha se decide em dois pontos práticos, verificáveis em cerca de dez minutos no site do fabricante: o serviço publica relatórios de auditoria independente e o que acontece com os seus dados se você quiser sair — se dá para exportar e em que formato. Os dois são decisão de segurança e de liberdade. Lista de recursos não decide nada, porque quase todos os serviços já entregam o mesmo conjunto básico.

Os critérios, em ordem de impacto real: auditoria, exportação, recuperação, cobertura de dispositivos e preço. Comece pelos três primeiros.

Como isso funciona, na medida em que muda a escolha

Todos os serviços sérios partem do mesmo desenho: o cofre é cifrado no seu aparelho e o fabricante guarda o arquivo sem ter a chave. É o que explica por que ele não consegue ler nem devolver a sua senha principal. Esse mecanismo já foi tratado em outro artigo deste site, sobre se vale a pena usar um gerenciador, e não é o que separa um serviço do outro.

O que separa é o que vem depois. Como a criptografia não pode ser conferida por quem usa, só por quem examina o código e a infraestrutura, a auditoria de terceiros é o único caminho pelo qual você sabe que o desenho declarado corresponde ao que está no ar. Serviço sem auditoria publicada não é, por isso, inseguro — é apenas um serviço sobre o qual você não tem como confirmar nada além da própria promessa, e essa incerteza entra na conta.

A exportação tem outra lógica. O cofre fechado prende os seus dados tanto quanto os protege, e a forma de o fabricante ganhar dinheiro é você não querer ir embora. Serviço que exporta em formato aberto aceita ser trocado. É também a sua única cópia de segurança fora da nuvem do fabricante.

Já a recuperação decide o que acontece no pior dia. Como o fabricante não tem a chave, ele também não tem como devolver o acesso: quem perde a senha principal e o material de recuperação fica sem o cofre. Serviços que oferecem um caminho pré-arranjado — um contato de confiança, um kit impresso, a recuperação por um organizador da família — transformam uma perda total em um procedimento.

O que olhar primeiro, em ordem de impacto

1. Auditoria independente publicada

Procure o relatório, não a menção a ele. A Bitwarden mantém uma página de conformidade e auditorias com os relatórios anuais e descreve auditorias regulares feitas por empresas de segurança externas, incluindo avaliações de código-fonte e testes de invasão em servidores e aplicações web, além da certificação ISO 27001. A 1Password reúne as avaliações independentes na própria página de auditorias e mantém certificações ISO 27001, 27017, 27018 e 27701, além de SOC 2 tipo 2. Serviços de código aberto oferecem um segundo caminho de verificação, porque o código pode ser examinado por qualquer pessoa.

Critério prático: relatório publicado, com data recente e escopo que inclua os aplicativos que você vai usar, não apenas o site institucional. Sem isso, a avaliação de segurança do serviço fica sendo a palavra do próprio fabricante.

2. Exportação dos dados

Abra a página de documentação sobre exportar antes de criar a conta, e confira o formato oferecido. A Bitwarden exporta em JSON, CSV, JSON criptografado e ZIP com anexos, e a própria documentação alerta que a exportação sem criptografia é texto legível. A 1Password exporta para 1PUX (o formato sem criptografia da própria empresa) e CSV, este com campos limitados. O Kaspersky Password Manager exporta logins, senhas e notas para um arquivo TXT. Formatos abertos garantem a saída; formatos próprios dependem de quem os lê.

Exporte uma vez antes de levar a vida para dentro do serviço.

3. Recuperação e acesso de emergência

Descubra o caminho antes de precisar dele. A 1Password depende de uma chave secreta guardada no Emergency Kit, que fica junto do cofre fechado; sem ela nem o suporte recupera o acesso, e quem está em uma conta de família ou equipe pode pedir a recuperação a um organizador ou administrador. Serviços que oferecem acesso de emergência deixam você nomear contatos de confiança que podem pedir acesso ao cofre, em níveis diferentes — o mais comum é visualizar ou assumir o cofre, criando uma nova senha principal e derrubando os métodos de verificação em duas etapas anteriores.

Pergunte também sobre a conta em si: onde ficam os códigos de recuperação da verificação em duas etapas do próprio gerenciador, que é a conta mais valiosa que você terá.

4. Cobertura de dispositivos

Vale como requisito, não como diferencial: o aplicativo precisa existir no sistema que você usa. Se você mistura Windows, Android e navegador, confirme a extensão e o aplicativo antes de assinar.

5. Preço e gratuidade

Por último, porque é a parte mais fácil de comparar e a menos decisiva. Um serviço que passa nos três primeiros critérios e tem plano gratuito suficiente costuma bastar. Preço só deve pesar depois de auditoria, exportação e recuperação estarem resolvidas.

O que costuma ser irrelevante

Boa parte do que aparece nas comparações de gerenciadores não muda a decisão. São listas de recursos em que todos se parecem, apresentadas como se fossem diferenciais:

  • contagem de recursos premium e quantidade de campos por item;
  • opções do gerador de senhas e presets de comprimento;
  • monitor de vazamento e relatórios de senhas fracas — úteis, mas não resolvem auditoria, exportação nem recuperação;
  • VPN ou antivírus incluídos no mesmo pacote;
  • aparência do aplicativo e número de temas;
  • comparações de preço por usuário em planos de família, quando o seu caso é uma pessoa só.

Nada disso é defeito. Só não é critério de escolha entre serviços que já entregam o básico.

Erros comuns

  • Comparar generosidade do plano gratuito. A gratuidade é o critério mais visível e o menos importante a longo prazo. Auditoria, exportação e recuperação pesam mais, e não mudam com o tamanho do plano.
  • Nunca testar a exportação. Só se sabe que a saída funciona quando ela é usada. Faça o teste antes de migrar tudo.
  • Escolher por número de usuários ou nota em loja de aplicativos. Popularidade não diz nada sobre auditoria nem sobre o que acontece com os seus dados.
  • Presumir que todo serviço tem recuperação. Boa parte não tem, e os que têm oferecem caminhos diferentes entre si. Descobrir isso depois de perder o acesso é tarde.
  • Tratar o material de recuperação como detalhe. Chave secreta, kit de emergência e contato de confiança exigem uma decisão sua, tomada com calma, não no dia em que o acesso já se perdeu.

Como fica a comparação

Serviço Auditoria publicada Exportação Recuperação de acesso
Bitwarden Disponível: relatórios anuais na página de conformidade e auditorias, com testes de invasão e avaliação de código por empresas externas, e ISO 27001 Disponível: JSON e CSV em texto legível, JSON criptografado e ZIP com anexos Não é o critério do fabricante: a documentação trata da recuperação da senha mestra, não da transferência do cofre para terceiros
1Password Disponível: avaliações independentes reunidas na página de auditorias, ISO 27001 e SOC 2 tipo 2 Disponível com limites: 1PUX (formato próprio, sem criptografia) e CSV com campos reduzidos Disponível com limites: chave secreta no Emergency Kit; sem ela o suporte não recupera; recuperação por organizador em contas de família ou equipe
Proton Pass Varia conforme o recurso: relatórios de auditoria anunciados pelo fabricante; conferir escopo e data do mais recente Disponível: ZIP com JSON cifrado por PGP, ZIP sem criptografia ou CSV Não documentado nas fontes consultadas: conferir a página de suporte antes de decidir por esse critério
Kaspersky Password Manager Não documentado nas fontes consultadas: a página brasileira descreve AES-256 e verificação de vazamento, sem relatórios independentes publicados Disponível com limites: exportação para TXT, sem opção de arquivo criptografado Não documentado nas fontes consultadas: a página brasileira afirma que a senha mestra não é armazenada e não pode ser recuperada
Gerenciadores embutidos no navegador e no sistema Varia conforme o recurso: sem relatórios de auditoria específicos para o gerenciador Disponível com limites: exportação em CSV, o que já permite sair Varia conforme o recurso: dependem da recuperação da conta que os hospeda

Os estados desta tabela descrevem o que está publicado na documentação oficial de cada fabricante. "Não documentado" significa que não encontramos o material, não que o recurso não exista.

Preço para quem está no Brasil

Verificamos as páginas oficiais em 12 de setembro de 2026. Os serviços internacionais consultados cobram em dólar, inclusive nas páginas em português: a Bitwarden lista o Premium a US$ 1,65 por mês e o plano Famílias a US$ 3,99 por mês na cobrança anual (US$ 19,80 e US$ 47,88 por ano). A página do Proton Pass oferece apenas USD e EUR no seletor de moeda. A 1Password trabalha com USD, CAD e EUR. Não há preço oficial em reais nesses serviços.

Isso não é detalhe de formatação: sem preço em reais, o valor que chega na sua fatura é definido pela conversão da operadora do cartão, com o câmbio do dia e os encargos da compra internacional. Não fazemos conversão para reais, porque o número que resultaria dela não seria o que você paga. O Kaspersky Password Manager mantém loja brasileira, mas o preço é carregado por JavaScript e não pôde ser lido; se preço em reais for decisivo para você, confira o valor no site oficial brasileiro.

A rota gratuita continua disponível sem custo: os gerenciadores embutidos no Android, no Chrome, no iPhone e no Mac exportam em CSV — vale testar a exportação deles pelo mesmo motivo.

Próximo passo concreto

Monte uma lista de dois ou três candidatos e faça a mesma verificação em todos, no mesmo dia:

  • encontre o relatório de auditoria mais recente e veja a data e o que ele cobriu;
  • leia a página de exportação e anote os formatos oferecidos;
  • descubra como se recupera o acesso se a senha principal se perder;
  • só então olhe o preço e se o plano gratuito cobre o seu uso.

O teste que fecha a escolha cabe em uma semana: crie a conta, guarde cinco senhas, exporte e importe em outro gerenciador. Se a importação funcionar e o cofre continuar completo, você tem uma saída. Se não funcionar, descobriu isso com cinco senhas em jogo, não com todas.

Procure um serviço que passe nos três primeiros critérios e use o plano gratuito se ele bastar. Pague quando precisar de compartilhamento, de administração de outras pessoas ou de um recurso que você realmente vá usar. Evite assinar antes de testar a exportação e evite escolher pelo preço: o que está em jogo não é o valor mensal, é onde ficam as chaves da sua vida digital e o que acontece no dia em que você quiser mudar de ideia.