Är autofyll i lösenordshanterare säkert? Phishing-skyddet de flesta användare inte vet att de har
Autofyll är lösenordshanterarens starkaste anti-phishing-funktion: hanterare vägrar att autofylla på fel domän. Här är hur man använder det säkert och de mönster som sätter skyddet ur spel.
Varför autofyll är anti-phishing
Moderna lösenordshanterare lagrar inloggningsuppgifter knutna till ett ursprung (domänen + schemat + porten). När hanteraren autofyller kontrollerar den att det aktuella ursprunget exakt matchar det lagrade ursprunget. En phishing-webbplats på en domän som ser snarlik ut (g00gle-login.com) matchar inte accounts.google.com, så hanteraren autofyller inte. Användarens första signal om att något är fel är att de inloggningsuppgifter de förväntar sig autofyllda inte dyker upp. Detta är en starkare anti-phishing-signal än visuell URL-inspektion eftersom människor missar subtila teckenutbyten och homografattacker; det gör inte hanteraren.
Hur användare sätter skyddet ur spel
Skyddet fungerar bara när användaren litar på hanterarens beteende. Två mönster sätter det ur spel. (1) Manuell kopiering och inklistring: om autofyll inte fungerar kopierar användaren lösenordet från hanterarens valvgränssnitt och klistrar in det i phishing-formuläret. Ursprungskontrollen kringgås. (2) Manuell åsidosättning: de flesta hanterare erbjuder ett gränssnitt för att ”använda inloggningsuppgifter från en annan webbplats” för användare som byter domän (en leverantör byter namn på sin webbplats osv.). Phishing-sidor som liknar en känd webbplats kan förmå användaren att använda hanterarens åsidosättningsflöde. Lösningen är att ta en hanterares vägran att autofylla som en stoppsignal och verifiera URL:en före varje manuell åsidosättning.
Arkitektoniska försvar i de granskade hanterarna
Alla fem hanterare som jämförs i den här webbplatsens pelartabell — Bitwarden, 1Password, Proton Pass, NordPass, KeePassXC — använder ursprungsbundet autofyll. Bitwarden och 1Password kräver en explicit användaråtgärd för att autofylla (klicka på fältet, sedan autofyll); de autofyller inte vid sidladdning. Detta skyddar mot injektionsattacker med osynliga iframes där en illvillig sida bäddar in ett dolt inloggningsformulär för ett högvärdigt ursprung. Äldre versioner av vissa konkurrenter autofyllde vid sidladdning, vilket var sårbart; det mönstret är nu sällsynt bland granskade hanterare.
Metoder som förbättrar phishing-motståndet i verkligheten
(1) Använd webbläsartilläggets autofyll, inte kopiering och inklistring. (2) Om tillägget inte erbjuder inloggningsuppgifter, behandla det som en signal att verifiera URL:en innan du gör något annat. (3) Aktivera 2FA på varje konto som stöder det — även om ett lösenord läcker blockerar den andra faktorn inloggningen. (4) Gå över till passkeys (FIDO2 / WebAuthn) på varje webbplats som stöder dem; passkeys är ursprungsbundna på protokollnivå och kan inte phishas ens vid ett manuellt användarmisstag. Bitwarden, 1Password och Proton Pass lagrar och autofyller alla passkeys 2026.
Källor
Bitwarden-autofyll: bitwarden.com/help/auto-fill-browser. 1Password-autofyll: 1password.com/features. Proton Pass-autofyll: proton.me/pass. WebAuthn- / passkeys-specifikation: w3.org/TR/webauthn-3. Alla URL:er hämtade 2026-04-30.