Passwork vs 1Password: Qual o melhor gestor de palavras-passe empresarial na UE?

Escolher um gestor de credenciais para uma empresa europeia em 2026 é tanto uma decisão de conformidade como uma decisão de produto. 

O abuso de credenciais continua a ser uma das vias de entrada mais comuns nos ambientes empresariais. O Data Breach Investigations Report de 2026 da Verizon confirma que 50 % das vítimas de ransomware registaram um evento de credenciais ou de infostealer nos 95 dias anteriores ao ataque. 

Ao mesmo tempo, a aplicação do RGPD tem consequências reais. Em abril de 2026, o Garante italiano multou a empresa de consultoria Ambrosetti em 85 000 euros por armazenar palavras-passe como texto em claro e recorrer a hashing MD5, invocando expressamente o artigo 32.º do RGPD como fundamento. A NIS2 deixou de ser um projeto: 23 dos 27 Estados-Membros da UE já a transpuseram para o direito nacional, segundo o rastreador de transposição da ECSO. 

Ao avaliar soluções como o Passwork e o 1Password, os fatores que vão além das funcionalidades começam a ter peso. Este artigo compara ambos os produtos nessa perspetiva: jurisdição, soberania de dados, flexibilidade de implementação, preparação para auditorias, conformidade a longo prazo com o RGPD e a NIS2, bem como custo total de propriedade.

Pontos principais

• Ambas as plataformas oferecem gestão de palavras-passe empresarial, mas seguem abordagens arquitetónicas diferentes. O 1Password é um serviço baseado na cloud, assente no seu modelo de segurança Secret Key, enquanto o Passwork oferece implementação autoalojada com cifragem AES-256 do lado do cliente.
• O modelo de implementação determina quem controla a infraestrutura e quem é responsável por ela. Numa implementação autoalojada, a organização gere o ambiente. Num serviço SaaS, o fornecedor opera a infraestrutura e permanece sujeito às leis da sua própria jurisdição.
• A residência de dados e a soberania de dados abordam aspetos diferentes da governação de dados. Escolher um centro de dados na UE determina onde os dados são armazenados. Por si só, isso não determina a legislação de que país pode aplicar-se ao fornecedor do serviço.
• O RGPD e a NIS2 centram-se na forma como as organizações protegem e gerem o acesso às credenciais. As organizações devem ser capazes de demonstrar controlos técnicos adequados, gestão de acessos, registo de eventos e provas de auditoria.
• Com 100 utilizadores, a licença padrão do Passwork custa 3600 €/ano, contra cerca de 9588 USD/ano do 1Password Business. O Passwork custa 3 €/utilizador/mês (licença padrão) ou 4,5 €/utilizador/mês (licença avançada). O 1Password Business custa 7,99 USD/utilizador/mês. Os escalões Enterprise têm preço sob consulta em ambos os casos.
• Escolher o 1Password se a equipa privilegia a conveniência operacional e uma experiência cloud cuidada em detrimento de uma soberania de dados estrita. Escolher o Passwork se a organização está sujeita ao RGPD, à NIS2 ou ao DORA e precisa de demonstrar que os dados de credenciais nunca saem da sua própria infraestrutura.

O campo de batalha da conformidade: Residência de dados vs. soberania de dados

As organizações europeias que avaliam gestores de palavras-passe têm de distinguir entre residência de dados e soberania de dados. A residência de dados define onde os dados são armazenados. A soberania de dados define o sistema jurídico que os rege. Uma solução baseada na cloud pode oferecer residência de dados na UE e, ainda assim, estar sujeita a uma jurisdição fora da UE. As soluções autoalojadas eliminam essa lacuna ao manter os dados de credenciais inteiramente dentro da infraestrutura da própria organização, sob um único quadro jurídico previsível.

1Password oferece residência de dados na UE: os clientes podem selecionar uma região de alojamento europeia e os dados dos cofres ficam em servidores na UE. No entanto, por si só, isso não resolve todas as preocupações jurisdicionais das organizações com requisitos rigorosos de soberania.

O que significa o acesso transfronteiriço a dados para os fornecedores de cloud

Quando um gestor de credenciais baseado na cloud é operado por uma empresa fora da UE, a questão de conformidade essencial não é onde se localizam os servidores, mas que sistema jurídico pode obrigar essa empresa a divulgar dados.

Qualquer fornecedor fora da UE pode receber pedidos legais das autoridades da sua jurisdição de origem. A lei aplicável depende do local onde o fornecedor está constituído, e não do local onde os dados são armazenados.

O U.S. CLOUD Act (2018) é o exemplo mais conhecido. Permite que as autoridades policiais dos EUA exijam que os fornecedores constituídos nos EUA forneçam dados armazenados em qualquer parte do mundo.

1Password não é uma empresa dos EUA. A AgileBits Inc. está constituída no Canadá, pelo que o CLOUD Act não se aplica da mesma forma que aos fornecedores norte-americanos. No entanto, o Canadá participa em quadros internacionais de cooperação entre autoridades policiais, como o Five Eyes, o que significa que os pedidos legais transfronteiriços continuam a ser um fator a ter em conta.

Artigo 48.º do RGPD estabelece que uma decisão judicial estrangeira, por si só, não constitui base jurídica válida para a transferência de dados pessoais a partir da UE. Essa restrição aplica-se sobretudo à organização enquanto responsável pelo tratamento de dados.

Tal como qualquer gestor de credenciais baseado na cloud operado por uma entidade fora da UE, o 1Password introduz uma camada de complexidade jurisdicional que uma implementação autoalojada não tem.

Como a implementação on-premise elimina esta lacuna

Passwork baseia-se num modelo autoalojado: nenhum terceiro detém os dados de credenciais da organização. Quando implementado na infraestrutura própria, dentro da jurisdição da UE, o conteúdo dos cofres nunca sai do ambiente da organização. Nenhuma empresa externa pode receber uma ordem de um governo estrangeiro relativa a dados a que não tem acesso. As leis que regem os dados são as da jurisdição onde se encontram os servidores.

O Passwork está disponível como solução autoalojada e numa cloud soberana na UE, o que dá à organização controlo total sobre os dados e a infraestrutura. Conhecer as opções de implementação: passwork.pro

Comparação de funcionalidades: Passwork vs 1Password

Passwork e o 1Password no escalão Business partilham uma base comum: cifragem AES-256, controlo de acesso baseado em funções (RBAC), SSO e ferramentas para programadores. As diferenças surgem ao nível da arquitetura. A implementação autoalojada do Passwork dá à organização controlo direto sobre as chaves de cifragem, os registos de auditoria e o perímetro de administração, sem dependência da infraestrutura do fornecedor nem de ligação de saída a serviços externos.

Arquitetura de segurança

A arquitetura Secret Key do 1Password exige uma chave de 128 bits codificada como uma cadeia de 34 carateres, gerada na configuração do dispositivo, que é combinada com a palavra-passe mestra para derivar a chave de cifragem. Mesmo que os servidores do 1Password fossem comprometidos, seria computacionalmente inviável decifrar os cofres cifrados sem a Secret Key. É um modelo de segurança cloud bem concebido.

O Passwork utiliza cifragem zero-knowledge do lado do cliente numa instância autoalojada. A cifragem e a decifragem ocorrem no cliente (dispositivo do utilizador). O servidor armazena apenas texto cifrado. Como a plataforma é alojada pela própria organização, esta mantém controlo total sobre o servidor de aplicação, as chaves de cifragem e os registos de auditoria. Esta implementação garante um ambiente isolado, sem infraestrutura partilhada, riscos de ambientes multi-tenant nem dependência da gestão de chaves do fornecedor.

Administração empresarial: RBAC, AD/LDAP e SSO

Ambas as plataformas cobrem as funcionalidades de administração empresarial que as equipas de TI esperam.

O 1Password Business inclui aprovisionamento SCIM, integração SSO através do Okta e do Azure AD e uma consola de administração madura. O produto Extended Access Management (disponível como módulo adicional com licença separada) alarga o controlo de confiança no dispositivo e de acesso a aplicações para além do próprio cofre de palavras-passe.

O Passwork oferece RBAC granular, integração nativa com Active Directory e LDAP para aprovisionamento de utilizadores e sincronização de grupos, e SSO SAML. Para simplificar a gestão em grande escala, o Passwork separa o acesso aos dados dos privilégios administrativos através de dois mecanismos distintos:

• Os grupos de utilizadores controlam o acesso aos dados: os administradores atribuem permissões a cofres e pastas ao nível do grupo. Quando os utilizadores são adicionados a um grupo, herdam automaticamente o acesso às palavras-passe e credenciais correspondentes. 
• As funções definem os privilégios do sistema: as funções predefinidas e personalizadas gerem o acesso às definições do sistema, aos diretórios de utilizadores e aos registos de auditoria. Assim, os utilizadores comuns interagem apenas com os cofres que lhes foram atribuídos, enquanto os administradores gerem a infraestrutura sem acesso às palavras-passe propriamente ditas, graças ao modelo Zero-Knowledge.

Para as organizações que utilizam infraestrutura de identidade baseada em AD (a maioria das empresas europeias), a ligação ao LDAP faz com que a integração e a saída de colaboradores sigam os fluxos de trabalho do diretório já existentes. Os grupos de segurança sincronizam-se automaticamente, o que garante que as permissões dos cofres e as funções administrativas permanecem alinhadas com o diretório central da organização.

Uma diferença prática que merece destaque: como o Passwork é autoalojado, a consola de administração, os registos de auditoria e o diretório de utilizadores situam-se todos dentro do perímetro da rede da própria organização. As operações administrativas não dependem do SLA de disponibilidade de um fornecedor.

DevOps e gestão de segredos

O 1Password investiu fortemente em ferramentas para programadores. A sua CLI (op), o Secrets Automation e as integrações nativas com GitHub Actions, Kubernetes e pipelines de CI/CD fazem dele um gestor de segredos competente para equipas cloud-native. A experiência do programador é cuidada.

O Passwork disponibiliza uma REST API completa e ferramentas CLI para fluxos de trabalho DevOps: injeção de segredos em pipelines, rotação programática de credenciais, gestão de chaves de API e de credenciais de bases de dados juntamente com as palavras-passe de utilizadores humanos, num cofre unificado.

Para equipas que operam em ambientes com isolamento físico (air gap) ou em ambientes com perímetro estritamente controlado, a diferença de arquitetura é relevante. O 1Password oferece, de facto, um Connect Server autoalojado que mantém os segredos em cache local e reduz a dependência da API do 1Password, mas a configuração inicial e a sincronização periódica continuam a exigir ligação de saída à infraestrutura cloud do 1Password. 

O Passwork não exige tal dependência em nenhuma fase: todo o conjunto de componentes funciona dentro do perímetro da própria empresa desde o primeiro dia, sem chamadas a serviços externos. Para as organizações em que o tráfego de saída para a cloud de um fornecedor não é permitido por política ou por arquitetura, essa distinção é um requisito obrigatório.

Preparar o futuro: A NIS2 e o mandato pós-quântico de 2027

A NIS2 introduziu uma cláusula que os fornecedores preferiam que passasse despercebida

Artigo 21.º da NIS2 inclui a segurança dos fornecedores de serviços de TIC no registo de riscos da organização. Um gestor de palavras-passe baseado na cloud é um fornecedor de serviços de TIC. Ao abrigo da NIS2, a organização é responsável por avaliar se a postura de segurança desse fornecedor (incluindo a sua jurisdição legal e as obrigações de resposta a incidentes) cumpre o limiar de risco definido.

Se uma violação no fornecedor do gestor de palavras-passe expuser as credenciais da organização, podem ser acionadas do seu lado as obrigações de notificação de incidentes da NIS2: notificação inicial no prazo de 24 horas e relatório detalhado no prazo de 72 horas.

A implementação de uma solução autoalojada altera esse perfil de risco. A superfície de ataque é a infraestrutura da própria organização, regida pelos seus controlos de segurança e auditada pela sua equipa. As avaliações de risco da cadeia de abastecimento exigidas pela NIS2 tornam-se substancialmente mais simples quando a «cadeia de abastecimento» do armazenamento de credenciais é interna.

O mandato da ANSSI para 2027: Resistência à computação quântica

A agência nacional de cibersegurança de França, a ANSSI, anunciou que deixará de certificar produtos de segurança (incluindo gestores de palavras-passe) sem cifragem resistente à computação quântica a partir de 2027. Até 2030, a ANSSI prevê que todas as aquisições empresariais exijam criptografia resistente à computação quântica. Para as organizações em França e em toda a UE, isto cria um prazo de certificação inadiável nos próximos 12–18 meses.

A questão relevante para as equipas de aquisição não é apenas se um fornecedor é compatível com a criptografia pós-quântica (PQC), mas se a organização controla quando e como essa transição ocorre.

Num gestor de palavras-passe baseado na cloud, a migração da camada de cifragem dos cofres ocorre segundo o calendário do fornecedor, numa infraestrutura partilhada. Numa implementação autoalojada, a organização aplica as atualizações criptográficas (incluindo os algoritmos PQC normalizados pelo NIST) ao seu próprio ritmo, sem depender do ciclo de lançamentos de um fornecedor.

Preços e custo total de propriedade

Preços de referência

O 1Password Business custa 7,99 USD por utilizador por mês (com faturação anual). O plano Teams custa 4,99 USD/utilizador/mês. O preço do plano Enterprise é fornecido mediante orçamento personalizado.

Os preços do Passwork estão estruturados para os compradores europeus:

Com 100 utilizadores, a licença padrão do Passwork custa 3600 €/ano, contra cerca de 9588 USD/ano do 1Password Business. A diferença aumenta com a escala.

TCO para além do preço da licença

A implementação on-premise (nas instalações da organização) exige infraestrutura de servidores, manutenção e esforço operacional interno. Para as organizações que já operam infraestrutura própria (a maioria das empresas europeias em setores regulados), o custo marginal de acrescentar uma instância autoalojada do Passwork é baixo. Para as organizações sem presença on-premise, o esforço de infraestrutura é uma consideração real e deve ser dimensionado com realismo antes de se assinar o contrato.

O cálculo do custo total de propriedade (TCO) tem também de incluir uma linha para o risco de conformidade. Uma violação que envolva um repositório de credenciais baseado na cloud pode desencadear as coimas previstas no artigo 83.º do RGPD de até 10 milhões de euros ou 2 % do volume de negócios anual mundial em caso de violação dos requisitos de segurança previstos no artigo 32.º. As coimas do RGPD já ultrapassaram, em termos acumulados, 6,31 mil milhões de euros até 2026. O caso Ambrosetti (85 000 euros por palavras-passe protegidas com hash MD5) ilustra que as autoridades de proteção de dados já auditam diretamente a implementação criptográfica, e não apenas os prazos de notificação de violações.

Veredicto: Que gestor de palavras-passe se adequa a uma organização sediada na UE

A escolha de um gestor de palavras-passe para uso empresarial resume-se a uma pergunta: onde termina o perímetro de conformidade da organização? As equipas cloud-native com ambientes de identidade modernos encontrarão um ajuste natural nas integrações profundas com o ecossistema e numa experiência de utilização multiplataforma. As organizações sujeitas ao RGPD, à NIS2 ou ao DORA têm um requisito adicional e inegociável: o controlo jurisdicional sobre o local onde as credenciais são armazenadas e tratadas. 

Escolher o 1Password Business se:

• A equipa está distribuída globalmente e é cloud-native
• A equipa dá prioridade à experiência do programador e à experiência de utilização multiplataforma em detrimento da arquitetura de conformidade
• O ambiente regulamentar não exige uma soberania de dados estrita
• A organização precisa do Extended Access Management ou de uma integração profunda com um ambiente moderno de identidade na cloud

Escolher o Passwork se:

• A organização está sujeita ao RGPD, à NIS2 ou ao DORA e precisa de demonstrar soberania de dados
• A organização opera em infraestruturas críticas, serviços financeiros, saúde ou setor público
• A organização precisa de integração nativa com AD/LDAP num ambiente de identidade on-premise existente
• A organização prepara-se para a certificação ANSSI ou para a contratação pública na UE
• A equipa de segurança precisa de controlo total sobre a camada de cifragem, os registos de auditoria e a gestão de chaves

Para as empresas europeias em setores regulados, a arquitetura que responde «sim» a todos os cinco critérios é autoalojada, on-premise e livre de conflitos jurisdicionais. 

O Passwork oferece às equipas de TI europeias um cofre de credenciais autoalojado, preparado para o RGPD, com registo de auditoria completo, integração AD/LDAP e cifragem zero-knowledge, tudo dentro da infraestrutura própria. Solicitar uma demonstração ou consultar o guia de implementação autoalojada: passwork.pro

Perguntas frequentes