Password Manager क्या है: क्या आपको चाहिए, कितना safe है, और 15 मिनट में setup

आपने भी शायद ऐसा किया होगा। नाम और जन्म का साल, फिर "@123" क्योंकि site ने symbol माँगा था, और वही password email, Amazon, Instagram और cab app पर भी। याद रखना आसान है, और यही सबसे बड़ी कमज़ोरी है।

इस guide में password manager क्या है, आपको ज़रूरत है या नहीं, सब कुछ एक जगह रखना safe है या नहीं, free बनाम paid, Google बनाम dedicated app, 15 मिनट का setup, और UPI व banking में क्या कभी नहीं रखना है, सब है।

हर जगह एक ही password रखना असली खतरा क्यों है

Attackers आम तौर पर आपका password अंदाज़े से नहीं तोड़ते। वे एक आसान तरीका इस्तेमाल करते हैं, जिसे credential stuffing कहते हैं:

1. आपने सालों पहले जिस site पर account बनाया था (कोई shopping site, forum या छोटा app), वह breach हो जाती है और उसके emails और passwords की list online पहुँच जाती है।
2. अपराधी वह list एक program में डालते हैं, जो वही email-password Gmail, Amazon, banking sites और Instagram पर हज़ारों की संख्या में आज़माता है।
3. अगर आपने वही password दोहराया था, तो कोई एक कोशिश चल जाती है। सबसे बड़ा निशाना आपका email होता है, क्योंकि बाकी हर account का "Forgot password" email से ही होता है।

यानी दिक्कत यह नहीं कि आपका password कमज़ोर है। दिक्कत यह है कि एक leaked site बाकी सब कुछ खोल सकती है। हर account का अलग password नुकसान को सिर्फ उसी एक account तक रोक देता है।

पचास मज़बूत passwords कोई याद नहीं रख सकता। यही काम password manager करता है।

Password manager असल में करता क्या है

• बनाता है: हर account के लिए लंबा random password (जैसे tR7!kq-Vb2mZ_xP9), ताकि आपको खुद सोचना न पड़े।
• संभालता है: सब कुछ एक encrypted vault में, जो एक master password से और आम तौर पर फोन पर fingerprint या face से खुलता है।
• भर देता है: सही site या app पर password अपने आप भर देता है। नकली bank page जिसका address अलग हो, उस पर autofill नहीं चलेगा, और यह phishing से एक चुपचाप मिलने वाली सुरक्षा है।
• Sync और चेतावनी: devices के बीच sync करता है और दोहराए या leak हुए passwords बताता है।

Built-in option या dedicated app

Google Password Manager Chrome और Android में पहले से है। यह free है, आपके Android फोन और जहाँ भी आप Chrome में signed in हैं वहाँ passwords भरता है, passkeys चलाता है, और दोहराए या leak हुए passwords की चेतावनी देता है। यह आपके Google account पर टिका है, इसलिए उसे अच्छे से lock रखिए।

Apple Passwords (iOS 18 और उसके बाद अलग app है; पुराने versions में यह Settings में iCloud Keychain के अंदर है) iPhone, iPad और Mac पर यही काम करता है। यह free है, पर Apple के दायरे में रहने पर ही सबसे आरामदायक है।

Dedicated app (Bitwarden, Dashlane, 1Password वगैरह) किसी भी phone, browser और computer पर चलने के लिए बने हैं और आम तौर पर secure notes, आसान sharing और emergency access जोड़ते हैं। एक paid option जिसे लोग देखते हैं, वह है Dashlane। यह एक अच्छा विकल्प है, इकलौता नहीं, इसलिए पैसे देने से पहले मौजूदा plans की तुलना कीजिए।

मोटा नियम: सिर्फ एक Android फोन और ज़्यादातर Chrome, या सिर्फ iPhone और Mac, तो built-in option ठीक है। अगर devices मिले-जुले हैं (जैसे Android के साथ Windows laptop) या family के साथ logins share करते हैं, तो dedicated app फ़ायदा देने लगता है।

Free या paid: असल में क्या मिलता है

अच्छे free options हैं, और कई लोगों के लिए free ही सही जवाब है। Google और Apple के options कुछ नहीं लेते। Bitwarden का free tier एक जाना-माना dedicated option है, जिसमें unlimited passwords रखे जा सकते हैं और devices के बीच sync होता है। Plans बदलते हैं, इसलिए आज क्या मिलता है खुद देख लीजिए।

Paid plan कुछ जगहों पर पैसा वसूल करता है:

• Family sharing: हर इंसान का अपना private vault, और साझा logins के लिए एक shared vault।
• Emergency access: आपको कुछ हो जाए तो कोई भरोसेमंद इंसान अंदर आ सके।
• Breach alerts: आपका email या password किसी जाने-पहचाने leak में दिखे तो खबर।

सिर्फ अपने लिए सुरक्षा चाहिए तो free काफ़ी है। Paid तब लीजिए जब इस list की कोई ज़रूरत आपकी हो।

क्या सारे passwords एक जगह रखना safe है?

ज़्यादातर लोगों के लिए हाँ, और बाकी तरीकों से ज़्यादा safe।

Vault encrypted होता है। आपका data एक key से scramble होता है जो आपके master password से बनती है। अच्छे design में company के पास वह key नहीं होती और वह आपके passwords पढ़ नहीं सकती। इसे "zero-knowledge" कहते हैं।

अगर company पर breach हो जाए? Attackers encrypted vaults की copy निकाल सकते हैं, पर खोलने के लिए उन्हें आपका master password तोड़ना पड़ेगा। लंबा random passphrase इसे बहुत मुश्किल कर देता है। छोटा, अंदाज़े वाला password इसे आसान बना देता है। कम से कम एक जाने-माने provider के encrypted vaults पहले कॉपी हो चुके हैं, और जिनके master password कमज़ोर थे वही सबसे ज़्यादा खतरे में रहे। इसीलिए master password इतना मायने रखता है।

ईमानदार सीमाएँ। Password manager आपको नहीं बचाएगा अगर:

• आपके phone या laptop में पहले से malware है, जैसे कोई fake APK जो आपकी screen पढ़ता है। इसके लिए हमारी phone hack है या नहीं जाँचने वाली guide देखिए।
• आप master password किसी phishing page में डाल दें या call पर बोल दें।
• Master password कमज़ोर है, दोहराया हुआ है, या monitor पर sticky note में चिपका है।

VPN अलग काम का अलग tool है; उसके बारे में हमारी VPN guide पढ़िए।

Master password कैसे चुनें और याद रखें

"एक capital letter, एक number, एक symbol" वाली तरकीबें छोड़िए। चालाकी से ज़्यादा लंबाई काम करती है।

4 या उससे ज़्यादा random, आपस में बेमेल शब्दों का passphrase रखिए, जैसे lantern-gravel-oyster-fabric-meadow। शब्द सच में random चुनिए (manager का generator या dictionary में उँगली रखकर), गाने की लाइन या अपने बारे में वाक्य नहीं। 5-6 शब्द और बेहतर हैं।

पहले हफ्ते रोज़ इसे type कीजिए और शब्दों को जोड़कर एक छोटी तस्वीर बना लीजिए। इसे एक बार कागज़ पर लिखकर घर में ज़रूरी कागज़ों के साथ रखिए, फोन या wallet में नहीं, और कहीं और इस्तेमाल मत कीजिए।

Two-factor चालू कीजिए, और बेहतर वाला चुनिए

Two-factor (two-step verification) का मतलब है कि चोरी हुआ password अकेला काफ़ी नहीं।

• SMS OTP कुछ न होने से बेहतर है और ज़्यादातर banks और UPI यही देते हैं। इसकी कमज़ोरी यह है कि यह phone network से आता है, इसलिए SIM-swap fraud या कोई malicious app इसे पकड़ सकता है।
• Authenticator apps, जिनके codes हर 30 सेकंड में बदलते हैं, SMS से मज़बूत हैं क्योंकि वे आपके SIM पर निर्भर नहीं।
• Passkeys से आप password की जगह fingerprint, face या phone PIN से sign in करते हैं, और इन्हें आम तरीके से phish नहीं किया जा सकता। जहाँ Google, Apple या कोई shopping site दे, वहाँ इस्तेमाल कीजिए।

शुरुआत email, Google या Apple ID और manager के अपने account से कीजिए। एक बात ध्यान रखिए: अगर authenticator codes उसी vault में हैं जहाँ passwords हैं, तो vault में घुसने वाले को दोनों मिल जाते हैं, इसलिए email और banking के लिए authenticator अलग रखने पर सोचिए।

15 मिनट का setup checklist

1. एक चुनिए और install कीजिए (3 मिनट)। Built-in option, या आधिकारिक Play Store या App Store से dedicated app।
2. Master password बनाइए (2 मिनट)। Passphrase रखिए, कागज़ पर लिखिए और कागज़ संभालकर रख दीजिए।
3. Biometric unlock और auto-lock चालू कीजिए (1 मिनट)। Fingerprint या face से रोज़ का इस्तेमाल आसान रहता है, और restart के बाद master password फिर भी माँगा जाता है।
4. Browser में पहले से saved passwords import कीजिए (3 मिनट)। Chrome में saved passwords का page खोलिए, file में export कीजिए, नए manager में import कीजिए, फिर वह file तुरंत delete कर दीजिए। Export की file encrypted नहीं होती, जो खोले वह सब पढ़ सकता है।
5. सबसे पहले टॉप 10 accounts ठीक कीजिए (शुरू करने के लिए 6 मिनट)। हर एक खोलिए, manager से नया password बनवाइए और save कीजिए:
   1. Email (Gmail या Outlook), सबसे पहले
   2. Google या Apple ID
   3. Net banking और bank का app
   4. UPI app का login (उसका PIN नहीं, नीचे देखिए)
   5. Amazon और Flipkart
   6. Instagram, Facebook और X
   7. WhatsApp का two-step verification PIN, जो फोन के PIN से अलग होता है
   8. Telegram
   9. मोबाइल operator का account (Jio, Airtel, Vi)
   10. Office या college का email
6. जब नए vault पर भरोसा हो जाए, तब browser से saved passwords हटा दीजिए।

आज दस कर लीजिए और two-factor भी उन्हीं पर साथ-साथ चालू कर दीजिए। बाकी तब बदलिए जब अगली बार login करें।

Password manager में क्या कभी नहीं रखना है

• UPI PIN। इसे याद रखिए। कहीं save मत कीजिए।
• ATM और debit card के PIN।
• Card का CVV। App card number रख भी सके, तब भी हर बार CVV खुद type करना एक काम की सावधानी है।
• OTP, Aadhaar से जुड़े मोबाइल नंबर पर आने वाले OTP भी। OTP एक काम के लिए एक बार का code है। इसे save, screenshot या किसी को पढ़कर मत सुनाइए। असली bank कभी इसे नहीं माँगता।
• Master password किसी note या खुद को भेजे message में।

कुछ banking apps autofill रोक देते हैं। कोई बात नहीं: manager से password copy करके डाल दीजिए, या type कर दीजिए। Manager आपका net banking login रख सकता है, पर payment approve करने वाला PIN आपके दिमाग में रहता है। अगर कोई caller इनमें से कुछ भी माँग रहा है, तो हमारी UPI और OTP scam वाली guide पढ़िए।

Family, emergency access और साझा logins

Apple अपने account के लिए Legacy Contact देता है और Google के पास Inactive Account Manager है। Dedicated managers में अक्सर emergency access होता है, जिसमें भरोसेमंद इंसान इंतज़ार की अवधि के बाद vault खोलने की request कर सकता है। यह आम तौर पर paid है, इसलिए भरोसा करने से पहले जाँच लीजिए।

माँ-पापा, भाई-बहन या partner के लिए family plan या shared vault, WhatsApp पर passwords forward करने से कहीं बेहतर है। अगर कोई blackmailer या अनजान इंसान आपके accounts में घुसने की कोशिश कर रहा है, तो हमारी sextortion वाली guide में passwords बदलना भी एक कदम है, और manager के साथ वह weekend की जगह कुछ मिनट का काम रह जाता है।

Master password भूल गए तो

ज़्यादातर managers इसे recover नहीं कर सकते, यह इरादतन है क्योंकि उनके पास यह कभी था ही नहीं। इस क्रम में देखिए:

1. अगर आप अब भी किसी phone या laptop पर signed in हैं, तो logout मत कीजिए। वहाँ से master password बदला जा सकता है।
2. Setup के समय save की हुई recovery key या emergency kit ढूँढिए।
3. घर में रखा कागज़ देखिए।
4. कुछ न चले तो नया, खाली vault बनाना पड़ सकता है, और फिर "Forgot password" पहले email पर, फिर bank पर, फिर बाकी पर। झंझट है पर हो जाता है, क्योंकि उन accounts पर आपका हक़ आपके email और फोन नंबर से अब भी बना हुआ है।

एक आम मिथक

"मैं इतना important नहीं कि कोई मुझे निशाना बनाए।" Credential stuffing अपने आप चलता है और उसे फ़र्क नहीं पड़ता कि आप कौन हैं। उसे बस एक दोहराया हुआ password चाहिए।

आखिरी बात

अपने फोन के हिसाब से free option से शुरू कीजिए, या सभी devices पर एक tool चाहिए तो Bitwarden का free tier। चार शब्दों का passphrase चुनिए, two-factor चालू कीजिए और पहले अपना email ठीक कीजिए। UPI PIN, card PIN, CVV और OTP इसमें बिल्कुल मत रखिए। लक्ष्य सीधा है: एक leaked website कभी आपकी बाकी ज़िंदगी का ताला न खोल पाए।