如果你所有网站都用同一个密码，或者靠浏览器"记住密码"过日子，这篇文章就是写给你的。密码管理器这东西，属于"用之前觉得麻烦，用之后回不去"的工具。而在免费方案里，Bitwarden 是 2025 年综合最优选——开源、跨平台、免费版就够用。
先讲清一个很多人误解的核心问题：**把密码交给 Bitwarden，安不安全？**答案是：比你自己记安全得多。Bitwarden 用的是"零知识加密"架构：你的密码在离开设备之前，就已经用主密码在本地加密好了，服务器上存的永远是一堆密文。Bitwarden 官方自己也看不到你的密码明文，哪怕服务器被攻破，黑客拿到的也只是解不开的乱码。加密算法是 AES-256，密钥派生用 PBKDF2 做几十万次迭代，暴力破解在现实中不可行。
但这套安全有个前提：主密码必须是你唯一记住的、足够强的密码。主密码丢了，Bitwarden 也救不了你——零知识意味着他们没有后门。所以第一步不是注册，而是想一个你忘不掉、别人猜不到的主密码，比如一句歌词的变形加数字符号。
主流密码管理器对比#
| Bitwarden | 1Password | KeePass | |
|---|---|---|---|
| 开源 | 是 | 否 | 是 |
| 免费版 | 功能完整 | 仅试用 | 完全免费 |
| 跨平台同步 | 官方云同步 | 官方云同步 | 需自搭/网盘 |
| 自动填充 | 有 | 有 | 插件实现 |
| 适合人群 | 大多数人 | 愿意付费的 | 极客、本地派 |
结论很直白：不想折腾就 Bitwarden，不想花钱还想要全部功能也是 Bitwarden。1Password 体验确实更顺滑，但个人版一年几十美元；KeePass 完全本地、零信任，但多设备同步要自己想办法。
三步上手#
**第一步：注册。**打开 bitwarden.com，用邮箱注册账号。注意这个邮箱今后用来找回和验证，尽量用常用的。注册后立刻去设置里打开两步验证——密码管理器的账号本身必须上 2FA，这是底线。换手机时验证器迁移是个经典坑，提前看一下验证器换手机的注意事项能省很多事。
**第二步：导入旧密码。**别一个一个手输。Chrome 用户去 设置 → 自动填充 → 密码管理工具 → 导出，拿到 CSV 文件，然后在 Bitwarden 网页版 工具 → 导入 里选 Chrome 格式上传。导完立刻删除那个 CSV 明文文件，它里面可是你所有密码的明文。
**第三步：装好自动填充。**电脑装浏览器扩展，手机装 App；iOS 在 设置 → 通用 → 自动填充与密码 里把 Bitwarden 设为默认，安卓在系统设置的自动填充服务里选 Bitwarden。之后登录任何网站，键盘上方会自动弹出填充建议，点一下就行。
免费版 vs 付费版#
| 功能 | 免费版 | 付费版（约 10 美元/年） |
|---|---|---|
| 无限密码条目 | 有 | 有 |
| 全设备同步 | 有 | 有 |
| TOTP 验证码生成 | 无 | 有 |
| 附件存储 | 无 | 1GB |
| 紧急访问联系人 | 无 | 有 |
免费版对 90% 的人完全够用。唯一值得付费的是内置 TOTP——可以把网站的二次验证码也存在 Bitwarden 里自动填充，省得再开一个验证器 App。Google 账号这类重要账号的二次验证设置，可以参考这篇 Google 登录验证指南。
最后提醒一句：密码管理器解决的是"密码太多记不住"的问题，解决不了"所有密码都用生日"的问题。从今天起，新注册的网站一律用 Bitwarden 的随机密码生成器，20 位全字符，老密码挑重要的（邮箱、支付、社交）逐个换掉。安全这件事，开始永远比完美重要。
主密码：怎么设才算"强"#
主密码是整个体系里唯一需要你记住的密码，设的时候别糊弄。一个好主密码要同时满足：你忘不掉，别人猜不到，长度够。可以试试"密码短语"法：选一句只有你知道的话，比如"2025年我第一次自己装了路由器！"，取首字母、保留数字符号，变成一串谁也猜不到、你却记得住的组合。千万别用生日、手机号、常用网名的变体——这些是撞库和社工的第一目标。
另外，Bitwarden 支持把主密码的提示（hint）设成只有自己看得懂的暗语，真忘了还有一线生机。但别把提示写成密码本身，那就成此地无银了。
进阶用法：组织与安全报告#
密码导进来之后，别止步于"能自动填充"。Bitwarden 有两个免费但好用的功能值得打开：
安全报告：网页版的"报告"页面会扫描你的整个密码库，标出重复使用的密码、弱密码、泄露过的密码（对照公开泄露库）。第一次跑完，多数人会吓一跳：原来自己有 30 个网站在用同一个密码。按报告的优先级逐个改，先改邮箱、支付、社交这三类。
组织（Organization）：和家人或小团队共享部分密码时用。比如家里的宽带密码、视频会员账号，建一个组织放进去共享，各自的私人密码互不干扰。免费版支持 2 人组织，家庭用刚好。
还有个小习惯：浏览器扩展装好后，打开"设置 → 选项"，把"自动填充"和"有可用登录时显示徽章"都打开，顺手程度翻倍。手机端记得允许 Bitwarden 的无障碍/自动填充权限，否则它没法在 App 里弹出填充框。
最后再提醒一次数据安全：定期去设置里"导出"一份加密的 JSON 备份，存到靠谱的地方。云服务再稳，也不如自己手里有一份备份踏实。密码这件事，体系搭起来之后，维护成本几乎为零，安全感却是实打实的。