Pracownik odszedł, hasła zostały w jego sejfie: co w Bitwardenie i 1Password włącza się wcześniej

Włączenie polityki odzyskiwania kont w dniu, w którym pracownik składa wypowiedzenie, nie da firmie dostępu do jego sejfu z hasłami. W jednym z dwóch najpopularniejszych menedżerów haseł dla zespołów trzeba to przygotować tygodnie wcześniej i objąć nią konkretne osoby, w drugim jest to zwykłe uprawnienie administratora. Ta różnica w mechanice decyduje o tym, co się stanie w piątek, kiedy ktoś oddaje laptopa — i nie widać jej w żadnej tabelce funkcji.

Druga rzecz tej samej klasy: region, w którym leży sejf, wybiera się na ekranie rejestracji i obaj producenci nie pozwalają go potem zmienić. Pozostałe pozycje — logowanie przez dostawcę tożsamości, synchronizacja z katalogiem, język interfejsu, numer VAT na fakturze i rachunek za zespół — dają się dokupić, dokonfigurować albo przeżyć. Poniżej są wszystkie, w kolejności od tych, których cofnąć się nie da.

Pracownik odszedł w piątek. Kto wejdzie do jego sejfu?

Oba produkty rozwiązują to inaczej na poziomie mechaniki, nie na poziomie planu taryfowego, i w obu przypadkach liczy się to, co zostało ustawione przed odejściem pracownika, a nie to, co administrator kliknie po.

W Bitwardenie odzyskanie konta pracownika wymaga dwóch rzeczy spełnionych zawczasu: włączonej polityki odzyskiwania kont i zapisania tego konkretnego użytkownika do odzyskiwania. Dokumentacja podaje, że użytkownicy już należący do organizacji nie zostaną zapisani wstecznie po włączeniu polityki i muszą zapisać się sami, a automatyczne zapisanie dotyczy osób, które przyjmują zaproszenie po jej włączeniu. Włączenie polityki w dniu, w którym ktoś składa wypowiedzenie, nie da więc dostępu do jego sejfu. Osoba zapisana automatycznie nie może się z odzyskiwania wypisać, każde odzyskanie trafia do dziennika zdarzeń, a sama procedura nie obchodzi drugiego składnika logowania ani SSO.

W 1Password odzyskiwanie jest uprawnieniem administracyjnym, nie zgodą pracownika: procedurę zaczyna właściciel, administrator albo członek grupy z uprawnieniem „Recover Accounts”, z listy osób w panelu, a pracownik otrzymuje nowy klucz tajny i ustawia nowe hasło, zachowując dostęp do danych; przy tej operacji resetuje się też drugi składnik logowania. Producent zaleca, by co najmniej dwie osoby w zespole miały prawo odzyskiwania kont — po to, żeby zablokowanie się jednego administratora nie zatrzymało całej firmy.

Żadna z tych procedur nie jest „odblokowaniem sejfu po odejściu pracownika” w sensie, w jakim rozumie to zarząd. Obie wymagają udziału osoby, której konto odzyskujemy, albo wcześniejszego przygotowania. Dlatego hasła do systemów firmowych trzymane wyłącznie w prywatnym sejfie pracownika są problemem organizacyjnym, nie problemem licencji: rozwiązuje go wspólna kolekcja albo sejf zespołowy, do którego dostęp ma więcej niż jedna osoba, a nie wyższy plan.

Gdzie leżą dane i dlaczego regionu nie zmienisz po rejestracji?

To jedyna decyzja z całego zakupu, której praktycznie nie da się cofnąć, a podejmuje się ją w trzydziestej sekundzie zakładania konta. Bitwarden prowadzi dwa rozłączne regiony, amerykański i unijny; unijny sejf ma adres vault.bitwarden.eu, amerykański vault.bitwarden.com, a region wybiera się z listy na ekranie rejestracji. Dokumentacja producenta mówi wprost, że konto nie może zmienić serwera po utworzeniu i że producent nie przenosi kont między regionami — przeniesienie to założenie nowego konta i import sejfu, a dla organizacji osobny skrypt migracyjny i kontakt z obsługą w sprawie subskrypcji.

U 1Password mechanika jest taka sama, tylko regionów jest trzy: strona pomocy producenta podaje, że 1Password.com przechowuje dane w Stanach Zjednoczonych, 1Password.ca w Kanadzie, a 1Password.eu w Unii Europejskiej, dane zostają w wybranym regionie i nie są przenoszone automatycznie. Zmiana regionu również oznacza nowe konto i migrację, a nie przełącznik w ustawieniach.

Praktyczny wniosek dla firmy, która ma w umowach z klientami zapis o przetwarzaniu danych w EOG: adres, pod którym zakładacie konto, jest częścią tego zobowiązania. Osoba, która klika „załóż organizację” w piątek po południu, przesądza o tym, czy za rok trzeba będzie robić migrację sejfu firmowego. Nazwa domeny w adresie logowania to dziś najszybszy sposób sprawdzenia, czy kolega z zespołu wybrał ten region, o którym mówiliście. Przy okazji: lokalizacja serwera to tylko jedna warstwa, a przy narzędziach, które przetwarzają treść dokumentów, osobno sprawdza się retencję i ustawienia trenowania modeli.

Ile wychodzi rocznie przy 12 osobach?

Oba cenniki są publikowane w dolarach i bez podatku — taki rachunek dostaje też polski nabywca. Kwoty pochodzą z cenników producentów sprawdzonych 14 października 2026 i dotyczą rozliczenia rocznego, bo w obu przypadkach stawka miesięczna jest podana jako cena przy płatności za rok z góry. Dwunastoosobowa firma zapłaci za Bitwarden Teams 576 dolarów rocznie, a za 1Password Business 1294,56 dolara, przy identycznym zadaniu do wykonania.

Przelicznik jest prosty, ale wynik zaskakuje: najdroższy i najtańszy wariant różnią się trzykrotnie, mimo że oba obsłużą dwanaście osób.

Rachunek za 12 osób nie jest ceną z cennika, tylko przeliczeniem: stawki katalogowe pochodzą ze stron producentów, mnożenie przez liczbę osób i dwanaście miesięcy to już arytmetyka. Kwoty są bez podatku — oba cenniki podają je jako „taxes not included”. W przeliczeniu na złotówki dochodzi kurs z dnia obciążenia karty i prowizja banku za transakcję walutową, więc stała cena w PLN po prostu nie istnieje; jeżeli budżet ma być zamknięty w złotówkach, trzeba przyjąć zapas na wahanie kursu.

Starter Pack jest najtańszy, dopóki zespół nie urośnie

Ryczałt 1Password dla małych zespołów wygląda jak oczywisty wybór — 299,40 dolara rocznie za dziesięć osób to mniej niż jakikolwiek plan liczony od użytkownika. Haczyki są dwa. Pierwszy: każda osoba powyżej dziesiątej kosztuje 4,99 dolara miesięcznie, czyli dwunastoosobowy zespół płaci już 419 dolarów, a nie 299. Drugi, ważniejszy: cennik opisuje ten plan jako rozwiązanie dla zespołów do 20 osób, więc przy dalszym wzroście przejście na plan Business jest nieuniknione, a wtedy rachunek skacze z kilkuset dolarów na ponad tysiąc. Starter Pack jest dostępny też w euro — 21,95 euro miesięcznie, 263,40 euro rocznie, dodatkowe miejsce 4,49 euro — co dla firmy prowadzącej księgi w złotówkach bywa wygodniejsze niż dolar, bo kurs euro jest mniej zmienny.

Co dostajesz za 6 dolarów zamiast 4, a czego nie ma w żadnym z nich?

Różnica rzędu 700 dolarów rocznie między planami obu producentów nie bierze się z liczby pozycji w tabelce funkcji, tylko z trzech rzeczy, które albo są w danej firmie potrzebne, albo nie: logowania przez dostawcę tożsamości, wariantu na własnym serwerze i polityk organizacyjnych.

Granica między planami Bitwardena nie przebiega tam, gdzie większość kupujących jej szuka. Plan Teams ma synchronizację z katalogiem użytkowników i automatyczne zakładanie kont przez SCIM, czyli to, co w codziennej obsłudze zespołu robi największą różnicę. Logowanie przez dostawcę tożsamości — czyli to, co pracownik rozumie jako „wchodzę tym samym kontem, co do poczty” — jest dopiero w planie Enterprise, razem z politykami organizacyjnymi, wariantem na własnym serwerze i darmowym planem rodzinnym dla każdego pracownika.

U konkurenta ten podział jest inny: integracje z Okta, Entra ID, OneLogin i Duo oraz raporty o aktywności kont są przypisane do planu Business, a zakładanie kont z Azure AD, Google Workspace, Okta, OneLogin, Rippling i JumpCloud opisane jest jako jego element. Darmowe konto rodzinne dla pracownika jest po obu stronach i nie powinno być argumentem w decyzji — to dodatek do pensji, nie funkcja bezpieczeństwa firmy.

Synchronizacja z katalogiem i SCIM brzmią jak funkcje dla korporacji, ale ich sens mierzy się liczbą zmian osobowych w roku, nie liczbą pracowników. Przy zespole, w którym w ciągu roku dochodzą dwie osoby i odchodzi jedna, zaproszenia wysyłane ręcznie zajmują kwadrans rocznie — płacenie wyższej stawki za automatyzację tego kwadransa jest kosztem bez pokrycia. Ta sama funkcja zmienia postać tam, gdzie rotacja jest wysoka albo gdzie konto w menedżerze haseł ma znikać w tej samej godzinie, w której znika konto w poczcie: wtedy automatyczne wyłączanie dostępu po stronie katalogu jest jedynym mechanizmem, który nie zależy od tego, czy ktoś pamiętał o odhaczeniu pozycji na liście zadań przy odejściu pracownika.

Druga rzecz, której nie widać w cennikach: dziennik zdarzeń. Oba produkty logują operacje administracyjne w planach firmowych, ale to, czy ten dziennik da się wyeksportować i jak długo jest trzymany, decyduje o tym, czy przyda się przy audycie, czy tylko przy wyjaśnianiu wczorajszej awarii. Jeśli ktokolwiek wymaga od Was dowodu, kto i kiedy miał dostęp do danego hasła, sprawdźcie zakres dziennika w okresie próbnym, a nie po podpisaniu rocznej umowy.

Czego nie ma: w cenniku 1Password nie występuje wariant instalowany na własnej infrastrukturze. Jeżeli wymóg „dane tylko na naszym serwerze” pochodzi z audytu albo z umowy z klientem, wybór sprowadza się do Bitwardena Enterprise i porównanie kończy się w tym miejscu.

Czy jest po polsku?

Bitwarden — tak. Lista języków w dokumentacji producenta zawiera polski (pl), tłumaczenia prowadzone są w Crowdinie przez społeczność, a język zmienia się w ustawieniach wyglądu sejfu w przeglądarce. Dokumentacja zaznacza przy tym, że nie każdy język jest dostępny w każdej aplikacji klienckiej, więc interfejs w przeglądarce może być po polsku, a wtyczka albo aplikacja mobilna nie.

1Password — nie ma potwierdzenia. Producent nie publikuje listy obsługiwanych języków interfejsu, a w jego własnym forum odpowiedzi pracowników opisują polski jako zgłoszone życzenie użytkowników przekazane do zespołu, nie jako funkcję; najnowszy wpis w tym wątku, z sierpnia 2026, to pytanie użytkownika o postępy. Traktujcie to jako brak polskiego interfejsu do czasu, aż producent ogłosi inaczej, i sprawdźcie listę języków bezpośrednio w aplikacji w trakcie darmowego okresu próbnego.

Dla zespołu technicznego to detal. Dla firmy, w której menedżer haseł ma używać administracja, księgowość i magazyn, brak polskiego interfejsu jest realnym kosztem wdrożenia — płaconym w pytaniach do działu IT, nie w licencji.

Faktura w dolarach, NIP i co z podatkiem?

Obaj producenci przewidują podanie numeru VAT firmy, ale robi się to w różny sposób. Bitwarden pozwala podać numer podatkowy przy zakupie albo później w panelu administracyjnym, w sekcji płatności, i opisuje subskrypcje firmowe jako podlegające stawce VAT według kraju rozliczeniowego, z podatkiem jako osobną pozycją na fakturze. 1Password wymienia Unię Europejską wśród obszarów, gdzie do ceny może dojść VAT, pokazuje stawkę na stronie rozliczeń i wskazuje numer VAT jako dokument potrzebny do zwolnienia, a odpowiedzi obsługi w forum producenta kierują z dodaniem numeru do kontaktu mailowego, bo weryfikacja jest ręczna.

Dwie rzeczy do sprawdzenia u siebie, zanim księgowość zobaczy pierwszą fakturę: czy numer VAT UE wpisany w panelu faktycznie zdjął podatek z kolejnego rachunku (widać to w pozycjach faktury), oraz jak Wasze biuro rachunkowe rozlicza zakup usługi od dostawcy spoza Polski. Reguły zależą od statusu nabywcy i miejsca siedziby sprzedawcy — to pytanie do księgowego, nie do działu IT, i lepiej zadać je przed zakupem rocznej subskrypcji dla dwunastu osób niż po.

Obaj producenci dają na to 14 dni okresu próbnego, 1Password bez podawania karty, a to przy rocznej umowie dla dwunastu osób jedyna okazja, żeby sprawdzić rzeczy, których cennik nie opisuje. Lista poniżej jest ułożona według tego, co najczęściej wraca jako problem po wdrożeniu, a nie według kolejności z materiałów producenta.

Punkt o eksporcie wygląda na przesadę przy zakupie, ale to on decyduje, czy po roku macie wybór. Menedżer haseł trzyma dostęp do wszystkiego, co firma ma w sieci, więc koszt zmiany dostawcy rośnie z każdym miesiącem — dobrze wiedzieć na starcie, ile wynosi.

Który wybrać i kiedy żaden z tych dwóch

Kolejność decyzji, która zamyka temat w kwadrans:

• Wymóg własnego serwera albo polskiego interfejsu dla całej firmy — Bitwarden Enterprise, 864 dolary rocznie przy 12 osobach. Reszta porównania jest wtedy bez znaczenia.
• Logowanie przez dostawcę tożsamości, bo zespół ma już Entra ID albo Google Workspace — Bitwarden Enterprise lub 1Password Business; różnica 430 dolarów rocznie przy 12 osobach idzie po stronie konkurenta na dojrzalszy interfejs i raporty, po stronie Bitwardena zostaje w budżecie.
• Zespół do 10–15 osób, bez SSO i bez audytu — Starter Pack 1Password wychodzi najtaniej, ale planujcie wyjście z niego przy 20 osobach; Bitwarden Teams za 576 dolarów rocznie nie ma tego limitu.
• Trzy osoby i wspólne hasło do jednego systemu — żaden z tych planów. Darmowe warianty obu producentów albo osobne konta w systemie, do którego i tak płacicie za licencje, rozwiążą to bez nowej umowy.
• Region danych — ustalcie go przed rejestracją i zapiszcie w notatce wdrożeniowej. To jedyna pozycja z tej listy, której zmiana oznacza migrację, a nie kliknięcie.

Jeżeli nie potraficie wskazać, który z tych pięciu punktów opisuje Waszą firmę, to znaczy, że wybór narzędzia nie jest tu pierwszą decyzją. Pierwszą jest spis systemów, do których hasła dziś krążą w wiadomościach i prywatnych sejfach — bez niego wyższy plan kupuje funkcje, których nikt nie włączy. Taki spis zajmuje jedno popołudnie i robi dla bezpieczeństwa więcej niż różnica między planem za 4 i za 9 dolarów.