KeePassXC 2.8: password aziendali offline, GPO e sync per le PMI

Cosa cambia con la versione 2.8

KeePassXC è un gestore di password desktop per Windows, macOS e Linux che salva tutte le credenziali in un unico file cifrato in formato KDBX, compatibile con l'ecosistema KeePass. Non c'è un server da installare: il file può stare sul PC, su una cartella di rete o su un NAS aziendale. Secondo l'annuncio ufficiale del progetto e le note di rilascio su GitHub, la 2.8 passa alla libreria grafica Qt6 (la Qt5 non è più supportata), introduce la sincronizzazione e l'importazione di archivi remoti tramite strumenti esterni, scorciatoie da tastiera configurabili, la generazione di chiavi SSH direttamente dal programma, il riempimento automatico dei campi su Linux con Wayland e le prime build native per i PC Windows con processore ARM. Aggiunta dopo la fase beta, c'è la possibilità per gli amministratori Windows di forzare alcune impostazioni utente con override globali dei criteri di gruppo; le note non elencano però quali impostazioni siano coperte.

Sul fronte sicurezza, la versione corregge cinque vulnerabilità segnalate durante la beta, giudicate dal progetto di gravità bassa o moderata, tra cui un problema nell'importazione di vecchi file KDB (CVE-2026-69150) e alcuni difetti nella comunicazione con l'estensione del browser. Il progetto precisa che non toccano la crittografia né le funzioni di base, ma raccomanda di aggiornare: per un'azienda significa pianificare il passaggio di tutte le postazioni alla 2.8, non lasciarlo alla buona volontà dei singoli. La notizia è stata ripresa anche da LWN.net.

Cosa significa per una PMI

Molti piccoli uffici e studi professionali usano già KeePassXC, spesso in modo informale: un archivio condiviso sul server con le credenziali dei portali, della PEC, dei fornitori e dei router. Con la 2.8 questo uso diventa un po' più ordinato. I criteri di gruppo permettono a chi gestisce i PC Windows di uniformare il comportamento del programma sulle postazioni, mentre la sincronizzazione con strumenti esterni consente di tenere allineato l'archivio anche quando non è su una cartella di rete raggiungibile direttamente, per esempio su un server remoto. Resta disponibile KeeShare, la funzione già presente da alcune versioni che permette di condividere solo alcuni gruppi di voci con altri archivi, utile per separare le password dell'amministrazione da quelle del reparto tecnico.

Il modello è diverso da quello dei gestori con server centrale come Bitwarden o la sua implementazione alternativa Vaultwarden, di cui abbiamo parlato a proposito del cambio di licenza delle app Bitwarden. Con KeePassXC non ci sono account per utente, né revoca centralizzata dei permessi, né registro di chi ha consultato cosa: chi ha il file e la chiave principale vede tutto il contenuto di quell'archivio. Per due o tre persone è spesso sufficiente e molto semplice; oltre una decina di utenti, o quando servono permessi diversi e tracciabilità per esigenze di NIS2 o di audit, conviene valutare una soluzione con server.

Limiti e costi reali

Il programma si scarica senza licenze da pagare, ma non è gratis da gestire. Il progetto è sostenuto da volontari e donazioni e non vende contratti di assistenza: in caso di problemi ci si affida alla documentazione (in inglese), al forum e al proprio tecnico o integratore. Vanno messi a budget il tempo per installare e aggiornare le postazioni (esistono pacchetti MSI per Windows e canali come Microsoft Store e Flathub), la definizione dei criteri di gruppo, una procedura di backup dell'archivio cifrato con copie fuori sede, la gestione sicura della chiave principale e di eventuali file chiave, e un minimo di formazione agli utenti. Chi ha già scritto script o procedure per la versione 2.7 dovrà verificarli: cambiano alcune scorciatoie e, su Linux, la posizione dei file di stato del programma.

Il commento di PINET

KeePassXC non sostituisce un gestore di password aziendale con server, ma per le piccole realtà che oggi tengono le password in un foglio di calcolo o in un quaderno è un passo avanti enorme a costo di licenza nullo. La 2.8 non cambia la natura del prodotto, però i criteri di gruppo e la sincronizzazione remota vanno nella direzione giusta per chi lo usa in ufficio. Il consiglio pratico è doppio: aggiornare subito tutte le postazioni per chiudere le vulnerabilità corrette e, già che ci si mette mano, mettere per iscritto chi custodisce la chiave principale e come si recupera l'archivio se quella persona non è disponibile.

Scheda