Jak wyświetlić zapisane hasła w Firefox (komputer i urządzenia mobilne)

Wbudowany Menedżer haseł Firefox przechowuje dane logowania lokalnie w zaszyfrowanej bazie danych SQLite (logins.json i key4.db) w katalogu profilu Firefox. Aby wyświetlić zapisane hasło, wpisz about:logins w pasku adresu, wybierz żądany wpis z listy i kliknij ikonę oka obok pola hasła, aby je ujawnić. Na urządzeniach mobilnych odpowiednia ścieżka to Ustawienia > Loginy i hasła > Zapisane loginy.

Ten przewodnik omawia wszystkie metody uzyskiwania dostępu do danych uwierzytelniających zapisanych w Firefox, zarządzania nimi i ich zabezpieczania — na komputerach stacjonarnych (Windows, macOS, Linux), Android i iOS — w tym podstawową architekturę przechowywania, szyfrowanie hasłem głównym oraz sytuacje, w których natywny menedżer Firefox jest niewystarczający dla środowisk produkcyjnych lub wieloużytkownikowych.

Jak Firefox przechowuje hasła wewnętrznie

Zanim przejdziemy do kroków w interfejsie użytkownika, zrozumienie warstwy przechowywania pomoże Ci podejmować świadome decyzje dotyczące bezpieczeństwa.

Firefox zapisuje dane uwierzytelniające w dwóch plikach wewnątrz folderu profilu:

• logins.json — przechowuje zaszyfrowane nazwy użytkowników, hasła, nazwy hostów i metadane
• key4.db — baza danych kluczy NSS (Network Security Services), która przechowuje klucze szyfrowania używane do ochrony logins.json

Domyślne szyfrowanie używa 3DES (starsze profile) lub AES-256-CBC (nowoczesne profile), opakowanego kluczem pochodnym od logowania do systemu operacyjnego lub, jeśli jest ustawione, hasłem głównym za pomocą PBKDF2-SHA256.

Lokalizacje katalogu profilu według systemu operacyjnego:

Jeśli kiedykolwiek będziesz musiał migrować dane uwierzytelniające, skopiowanie zarówno logins.json, jak i key4.db do nowego profilu jest wystarczające — żaden z plików nie jest użyteczny bez drugiego.

Wyświetlanie zapisanych haseł w Firefox na komputerze

Krok 1: Otwórz Menedżera haseł

Istnieją dwa sposoby dotarcia do Menedżera haseł:

Metoda A — bezpośredni URL (najszybsza):

Wpisz poniższe bezpośrednio w pasku adresu i naciśnij Enter:

about:logins

Metoda B — nawigacja przez menu:

1. Kliknij menu hamburgera (trzy poziome linie) w prawym górnym rogu.
2. Wybierz Hasła z menu rozwijanego.

Obie metody otwierają ten sam interfejs about:logins.

Krok 2: Znajdź wpis z danymi uwierzytelniającymi

Lewy panel wyświetla wszystkie zapisane loginy posortowane alfabetycznie według nazwy hosta. Użyj paska wyszukiwania na górze panelu, aby filtrować według nazwy domeny, nazwy użytkownika lub dowolnego częściowego ciągu znaków. Firefox wykonuje dopasowanie podciągu w czasie rzeczywistym we wszystkich polach.

Wskazówka: Jeśli masz setki wpisów, użyj opcji sortowania (według nazwy, ostatniego użycia, ostatniej zmiany lub statusu alertu o naruszeniu), aby efektywnie zawęzić wyniki.

Krok 3: Ujawnij hasło

Kliknij dowolny wpis, aby rozwinąć panel szczegółów po prawej stronie. Pole hasła domyślnie wyświetla zamaskowane znaki. Kliknij ikonę oka po prawej stronie pola hasła, aby przełączyć widoczność.

Ważne: Jeśli skonfigurowano hasło główne (patrz sekcja dotycząca bezpieczeństwa poniżej), Firefox wyświetli monit o jego wprowadzenie przed ujawnieniem jakichkolwiek danych uwierzytelniających. Jest to zamierzone i stanowi jedną z najskuteczniejszych dostępnych lokalnych zabezpieczeń.

Krok 4: Skopiuj lub edytuj dane uwierzytelniające

• Kliknij ikonę kopiowania obok pola nazwy użytkownika lub hasła, aby skopiować dowolną wartość do schowka.
• Kliknij Edytuj, aby zmodyfikować zapisaną nazwę użytkownika lub hasło bezpośrednio w menedżerze.
• Kliknij Usuń, aby trwale usunąć wpis.

Przypadek szczególny — zduplikowane wpisy: Firefox może przechowywać wiele danych uwierzytelniających dla jednej domeny. Jeśli widzisz zduplikowane nazwy hostów, dzieje się tak zazwyczaj, gdy witryna zmieniła adres URL logowania lub zapisałeś dane uwierzytelniające zarówno dla wariantów http://, jak i https://. Wyczyść je ręcznie, aby uniknąć zamieszania przy logowaniu.

Eksportowanie wszystkich zapisanych haseł

Firefox umożliwia masowy eksport do celów migracji lub tworzenia kopii zapasowych:

1. W about:logins kliknij menu z trzema kropkami (w prawym górnym rogu strony).
2. Wybierz Eksportuj loginy.
3. Potwierdź ostrzeżenie — eksport tworzy plik CSV w postaci zwykłego tekstu ze wszystkimi niezaszyfrowanymi danymi uwierzytelniającymi.

"url","username","password","httpRealm","formActionOrigin","guid","timeCreated","timeLastUsed","timePasswordChanged"
"https://example.com","user@example.com","MyPassword123","","https://example.com","..."

Krytyczne ostrzeżenie: Ten plik CSV jest całkowicie niezaszyfrowany. Przechowuj go tylko na zaszyfrowanym woluminie lub w archiwum chronionym hasłem. Usuń go natychmiast po użyciu. Nigdy nie przechowuj go na współdzielonym hostingu ani w niezaszyfrowanej pamięci w chmurze.

Wyświetlanie zapisanych haseł w Firefox na Androidzie

1. Otwórz Firefox na Androidzie.
2. Dotknij menu z trzema kropkami w prawym górnym rogu.
3. Wybierz Ustawienia.
4. Dotknij Loginy i hasła.
5. Dotknij Zapisane loginy.
6. Użyj paska wyszukiwania, aby filtrować wpisy, a następnie dotknij dowolnego wpisu.
7. Dotknij ikony oka obok pola hasła.

Firefox na Androidzie wymaga uwierzytelnienia biometrycznego lub kodem PIN urządzenia przed ujawnieniem haseł, jeśli urządzenie ma skonfigurowaną blokadę ekranu. Jest to kontrolowane przez API BiometricPrompt Androida i nie można tego obejść bez dostępu na poziomie urządzenia.

Wyświetlanie zapisanych haseł w Firefox na iOS

1. Otwórz Firefox na iOS.
2. Dotknij menu hamburgera (trzy poziome linie) w prawym dolnym rogu.
3. Wybierz Ustawienia.
4. Dotknij Loginy i hasła.
5. Dotknij Zapisane loginy.
6. Uwierzytelnij się za pomocą Face ID, Touch ID lub kodu dostępu urządzenia, gdy zostaniesz o to poproszony.
7. Dotknij dowolnego wpisu, a następnie dotknij ikony oka, aby ujawnić hasło.

Na iOS Firefox integruje się z systemowym frameworkiem LocalAuthentication, co oznacza, że dostęp do danych uwierzytelniających jest kontrolowany przez ten sam system biometryczny, który służy do odblokowywania urządzenia.

Wzmacnianie bezpieczeństwa: ochrona haseł zapisanych w Firefox

Ustaw hasło główne (dawniej hasło nadrzędne)

Hasło główne szyfruje bazę danych kluczy key4.db wybranym hasłem, czyniąc przechowywane dane uwierzytelniające niedostępnymi bez niego — nawet jeśli ktoś skopiuje katalog profilu.

Aby je włączyć:

1. Otwórz menu Firefox i przejdź do Ustawień.
2. Przejdź do zakładki Prywatność i bezpieczeństwo.
3. Przewiń do sekcji Loginy i hasła.
4. Zaznacz Użyj hasła głównego.
5. Wprowadź i potwierdź silne hasło.

Uwaga techniczna: Bez hasła głównego Firefox używa domyślnie pustego ciągu znaków jako klucza szyfrowania, co oznacza, że logins.json jest technicznie zaszyfrowany, ale trywialnie deszyfrowany przez każde narzędzie, które odczytuje key4.db. Ustawienie silnego hasła głównego to najważniejszy lokalny środek bezpieczeństwa, jaki możesz podjąć.

Włącz uwierzytelnianie dwuskładnikowe na kontach Firefox

Jeśli używasz Firefox Sync do synchronizacji haseł między urządzeniami, Twoje konto Firefox staje się cennym celem. Włącz 2FA:

1. Odwiedź accounts.firefox.com.
2. Przejdź do Bezpieczeństwa w ustawieniach konta.
3. Włącz uwierzytelnianie dwuetapowe za pomocą aplikacji uwierzytelniającej (TOTP).

Chroni to warstwę synchronizacji, ale nie zastępuje hasła głównego dla ochrony lokalnego przechowywania — oba powinny być aktywne jednocześnie.

Aktualizuj Firefox na bieżąco

Firefox wydaje poprawki bezpieczeństwa w regularnych odstępach czasu. Przestarzałe wersje mogą być podatne na exploity, które mogą wyodrębnić dane uwierzytelniające z pamięci lub plików profilu. Włącz automatyczne aktualizacje w Ustawienia > Ogólne > Aktualizacje Firefox.

Sprawdzaj dane uwierzytelniające pod kątem naruszeń

Firefox integruje się z Mozilla Monitor (dawniej Firefox Monitor), który sprawdza zapisane dane uwierzytelniające w bazie danych Have I Been Pwned. Wpisy oznaczone ikoną alertu o naruszeniu w about:logins należy traktować jako skompromitowane i natychmiast je zmienić.

Menedżer haseł Firefox a dedykowane menedżery haseł

Wbudowany menedżer Firefox jest wygodny, ale ma ograniczenia architektoniczne w kontekstach korporacyjnych, wieloużytkownikowych lub po stronie serwera.

Do użytku osobistego na jednym urządzeniu menedżer Firefox jest wystarczający, gdy skonfigurowano silne hasło główne i 2FA na koncie Firefox. Dla zespołów, programistów zarządzających wieloma środowiskami lub osób prowadzących infrastrukturę serwerową, rozwiązanie self-hosted na VPS zapewnia znacznie większą kontrolę i możliwości audytu.

Uruchamianie self-hosted menedżera haseł na VPS

Jeśli zarządzasz danymi uwierzytelniającymi dla zespołu, potoku deweloperskiego lub wielu środowisk klientów, hostowanie rozwiązania takiego jak Vaultwarden (lekki serwer kompatybilny z Bitwarden napisany w Rust) na VPS całkowicie eliminuje zależność od infrastruktury synchronizacji firm trzecich.

Minimalne wdrożenie na Linux VPS wygląda następująco:

# Install Docker and Docker Compose if not already present
apt update && apt install -y docker.io docker-compose

# Create a directory for Vaultwarden data
mkdir -p /opt/vaultwarden/data

# Create a Docker Compose file
cat > /opt/vaultwarden/docker-compose.yml <<EOF
version: "3"
services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    volumes:
      - ./data:/data
    environment:
      WEBSOCKET_ENABLED: "true"
      SIGNUPS_ALLOWED: "false"
    ports:
      - "127.0.0.1:8080:80"
EOF

# Start the service
cd /opt/vaultwarden && docker-compose up -d

Umieść to za odwrotnym proxy Nginx z ważnym certyfikatem TLS. Połączenie tego z certyfikatem SSL zapewnia szyfrowanie całego ruchu z danymi uwierzytelniającymi podczas transmisji. Dla zespołów wymagających izolowanych środowisk dla każdego projektu, serwery dedykowane zapewniają izolację na poziomie sprzętowym, której nie może zagwarantować współdzielona infrastruktura.

Jeśli wolisz zarządzany panel sterowania do obsługi konfiguracji serwera WWW, VPS z cPanel upraszcza zarządzanie wirtualnymi hostami i SSL bez ręcznej konfiguracji Nginx.

Odzyskiwanie haseł, gdy Firefox nie uruchamia się

Jeśli Firefox ulega awarii lub zostaje uszkodzony, możesz wyodrębnić dane uwierzytelniające bezpośrednio z plików profilu za pomocą narzędzia Python firefox_decrypt:

# Clone the tool
git clone https://github.com/unode/firefox_decrypt.git
cd firefox_decrypt

# Point it at your profile directory
python3 firefox_decrypt.py ~/.mozilla/firefox/<your-profile>

Zostaniesz poproszony o podanie hasła głównego, jeśli jest ustawione. Narzędzie wyświetla dane uwierzytelniające w postaci zwykłego tekstu na stdout — używaj ostrożnie:

python3 firefox_decrypt.py ~/.mozilla/firefox/<your-profile> > /tmp/recovered_creds.txt

Zaszyfruj lub usuń /tmp/recovered_creds.txt natychmiast po użyciu. To podejście jest również przydatne do audytów forensycznych na serwerach Linux, gdzie profil Firefox bez interfejsu graficznego był używany do automatycznego testowania przeglądarki.

Praktyczna macierz decyzyjna

Użyj tej listy kontrolnej, aby określić właściwe podejście do zarządzania danymi uwierzytelniającymi w swojej sytuacji:

• Jeden użytkownik, urządzenie osobiste, konta niskiego ryzyka — Menedżer haseł Firefox z hasłem głównym i 2FA na koncie Firefox jest wystarczający.
• Jeden użytkownik, konta wysokiej wartości (bankowość, infrastruktura) — Użyj dedykowanego menedżera haseł (lokalny skarbiec KeePass lub Bitwarden w chmurze) jako uzupełnienie lub zamiast menedżera Firefox.
• Programista zarządzający wieloma środowiskami serwerowymi — Hostuj Vaultwarden na VPS z TLS i listą dozwolonych IP. Używaj Bitwarden CLI do skryptowego pobierania danych uwierzytelniających.
• Mały zespół współdzielący dane uwierzytelniające — Vaultwarden ze skarbcami organizacji, hostowany na VPS z codziennymi zaszyfrowanymi kopiami zapasowymi do zewnętrznego przechowywania.
• Środowisko korporacyjne lub regulowane przez przepisy — Dedykowane zarządzanie sekretami (HashiCorp Vault, AWS Secrets Manager) z pełnym rejestrowaniem audytu; menedżer Firefox nie jest odpowiedni dla tego przypadku użycia.
• Dane uwierzytelniające poczty e-mail w szczególności — Rozważ hosting poczty e-mail z wymuszonym 2FA na poziomie dostawcy, niezależnie od haseł przechowywanych w przeglądarce.

FAQ

Czy do zapisanych haseł Firefox można uzyskać dostęp bez hasła głównego?

Tak, jeśli nie ustawiono hasła głównego, klucz szyfrowania jest pochodną pustego ciągu znaków i każde narzędzie, które odczytuje key4.db wraz z logins.json, może odszyfrować wszystkie przechowywane dane uwierzytelniające bez interakcji użytkownika. Ustawienie silnego hasła głównego jest obowiązkowe, jeśli lokalne bezpieczeństwo danych uwierzytelniających ma znaczenie.

Gdzie dokładnie są przechowywane hasła Firefox na Linux?

Są przechowywane w dwóch plikach — logins.json i key4.db — wewnątrz katalogu profilu pod ścieżką ~/.mozilla/firefox/<profile-id>/. Oba pliki muszą być obecne razem, aby deszyfrowanie działało.

Czy Firefox Sync szyfruje hasła przed wysłaniem ich na serwery Mozilla?

Tak. Firefox Sync używa modelu szyfrowania po stronie klienta, gdzie dane są szyfrowane lokalnie za pomocą kluczy pochodnych od hasła konta przed transmisją. Serwery Mozilla przechowują tylko zaszyfrowany tekst. Jednak nie jest to architektura zero-knowledge w ścisłym sensie, ponieważ wyprowadzanie kluczy obejmuje dane uwierzytelniające konta, które Mozilla uwierzytelnia.

Dlaczego ikona oka nie pojawia się dla niektórych wpisów haseł?

Dzieje się tak zazwyczaj, gdy wpis został zapisany bez wartości hasła (wpisy tylko z nazwą użytkownika) lub gdy wpis jest oznaczony jako naruszenie i Firefox tymczasowo ograniczył wyświetlanie. Sprawdź szczegóły wpisu i zweryfikuj, czy pole hasła nie jest puste.

Czy bezpieczne jest używanie menedżera haseł Firefox na współdzielonym lub publicznym komputerze?

Nie. Na każdym współdzielonym komputerze zapisane hasła są dostępne dla każdego, kto ma dostęp na poziomie systemu operacyjnego do Twojego profilu użytkownika, niezależnie od tego, czy ustawiono hasło główne — ponieważ hasło główne chroni klucz szyfrowania, ale sam katalog profilu jest czytelny przez konto użytkownika systemu operacyjnego. Zawsze używaj trybu przeglądania prywatnego i nigdy nie zapisuj haseł na współdzielonym sprzęcie.