De KeePass para Passwork: exportar, importar e verificar

O logótipo do cadeado preto do KeePass num círculo azul, com uma seta a apontar para a direita até ao logótipo da chave azul do Passwork num quadrado branco arredondado, ilustrando a migração do KeePass para o Passwork sobre um fundo azul.

Uma migração do KeePass para o Passwork decide onde deve ficar cada palavra-passe, quem lhe pode aceder e como provar que o resultado funciona, antes de alguém desativar o fluxo de trabalho antigo. Para quem ainda está a avaliar se deve mudar, Gestão de palavras-passe e de acessos para PME: o KeePass é suficiente? aborda essa questão. Este guia parte do princípio de que a decisão já foi tomada e explica a mecânica do processo.

Pontos principais

Exportar o KeePass para um ficheiro XML ou CSV controlado, nunca para um local não gerido
Escolher o formato de forma deliberada: XML para hierarquia, CSV para dados planos e mapeados
Manter a origem do KeePass até a migração passar num teste de aceitação documentado

Planear a migração do KeePass para o Passwork antes de exportar

Confirme o cofre de destino, o responsável, o modelo de acesso e o ponto de rollback antes de exportar o KeePass. O ponto de rollback é a base de dados de origem intacta, mantida até a aceitação ser formalmente aprovada. Sem este passo, uma migração de credenciais transforma-se numa transferência de ficheiros descontrolada, sem responsável e sem forma de retroceder.

Antes de utilizar a função de exportação, percorra estes passos:

Construir um inventário de origem com grupos, número de entradas e quaisquer anexos ou campos personalizados
Atribuir um responsável para cada credencial partilhada, especialmente contas de TI e contas de serviço
Assinalar entradas obsoletas ou duplicadas para exclusão, em vez de importar dados sem utilidade
Confirmar quem está autorizado a executar a exportação e a importação
Elaborar o plano de cofres e pastas de destino no Passwork antes de mover quaisquer dados
Definir uma janela de manutenção, caso as credenciais em causa afetem sistemas de produção

A autorização merece atenção redobrada quando está envolvido um contratante ou um prestador de serviços geridos. O envolvimento de terceiros foi responsável por 48 % das violações, face a 30 % no ano anterior, segundo o Verizon 2026 Data Breach Investigations Report. Se uma parte externa realizar a exportação ou a importação, aplique a mesma aprovação, o mesmo acesso de privilégio mínimo e o mesmo limite de tempo que aplicaria a um administrador interno.

Planeie o acesso no Passwork antes da importação. Uma exportação do KeePass, por si só, não define os utilizadores, os grupos ou os direitos que devem reger o destino. Mapeie os responsáveis e o acesso necessário de forma deliberada, e configure os direitos de acesso a cofres e pastas antes de disponibilizar os registos aos utilizadores.

Uma migração deve preservar ou melhorar deliberadamente o acesso, porque o Passwork atribui direitos de cofre e de pasta de forma explícita, em vez de os derivar de uma exportação do KeePass.

Escolher XML ou CSV do KeePass antes de exportar

Utilize o XML do KeePass quando preservar a hierarquia for importante. Utilize o CSV apenas quando uma tabela plana e um mapeamento manual de campos forem aceitáveis. Cada gestor de palavras-passe utiliza a sua própria estrutura de base de dados — a própria documentação do KeePass é explícita quanto à inexistência de um padrão comum em que se possa confiar. Nem o CSV nem o XML garantem que outro produto interprete os campos ou a hierarquia da mesma forma. Valide a exportação antes de a importar.

Escolha	Quando é adequado	Verificar antes de importar	Principal cuidado
XML do KeePass	As pastas e os grupos são importantes e o destino suporta XML do KeePass.	Caminhos de pastas, número de entradas, título, nome de utilizador, palavra-passe, URL, notas e quaisquer campos especiais.	A portabilidade do XML continua a depender de quantos campos o destino realmente lê.
CSV	Uma importação plana é aceitável, ou os dados exigem mapeamento explícito de colunas.	Delimitador, linha de cabeçalho, codificação, mapeamento de colunas para campos e uma amostra de dados não ASCII.	A especificação CSV documentada pelo KeePass abrange apenas título, nome de utilizador, palavra-passe, URL e notas; anexos e outros metadados ficam de fora.

Nenhum dos dois formatos garante que todos os anexos, campos personalizados, entradas de histórico ou permissões sejam transferidos. Crie um registo de exceções desde cedo, para que estes itens sejam revistos antes da transição.

Exportar o KeePass sem criar um segredo não controlado

Trate a exportação como um conjunto de credenciais temporário, não como um documento comum. Crie-a apenas numa estação de trabalho de administrador aprovada. Mantenha-a num local local restrito e conserve-a apenas o tempo necessário para importar e verificar os dados.

Mantenha a exportação fora do e-mail, do chat e do armazenamento pessoal na cloud. A política de tratamento de dados da sua organização, e não uma recomendação de ferramenta específica, deve determinar como e quando o ficheiro é eliminado.

Uma sequência funcional tem este aspeto:

Faça uma cópia de segurança e abra a base de dados de origem do KeePass
Exporte o formato escolhido (XML ou CSV) para o caminho local restrito
Dê ao ficheiro um nome com data e âmbito, mas sem segredos no próprio nome do ficheiro
Registe a localização do ficheiro e o operador que o criou
Confirme que o ficheiro não foi partilhado ou sincronizado acidentalmente em lado nenhum
Importe-o prontamente, em vez de o deixar parado

Combine palavras-passe fortes e únicas com MFA resistente a phishing, e torne um gestor de palavras-passe parte dos seus controlos de credenciais habituais. Uma exportação temporária pode ficar fora dos controlos de acesso normais do cofre de origem. Mantenha-a numa estação de trabalho de administrador aprovada e remova-a depois da importação e das verificações de aceitação.

Preparar o destino no Passwork e importar os dados

Crie o cofre de destino e o respetivo modelo de acesso previsto antes de carregar um ficheiro. A ferramenta de importação do Passwork aceita JSON, XML do KeePass e CSV num cofre, numa pasta ou no diretório raiz à escolha.

Exemplo da funcionalidade de importação do Passwork

As importações XML podem preservar ou simplificar a estrutura de origem, e as importações CSV incluem um passo de pré-visualização com controlos de delimitador e de mapeamento de campos.

Percorra a importação por esta ordem:

Crie ou selecione o cofre de destino.
Decida se vai preservar ou ignorar a estrutura de pastas de origem.
Configure os direitos de acesso a cofres e pastas antes de convidar alguém a utilizá-los.
Escolha Importar dados e carregue o ficheiro exportado.
Para CSV, defina o delimitador e reveja a pré-visualização com atenção.
Mapeie cada coluna ou campo de origem para o campo correto do cartão de palavra-passe do Passwork.
Antes de uma importação em produção, utilize a pré-visualização para confirmar o destino, o delimitador e o mapeamento de campos.
Para um âmbito alargado ou crítico para o negócio, execute um piloto numa instância de teste separada ou num cofre de teste isolado, sem acesso de utilizadores normais. Confirme ali o mapeamento e o processo de exceções antes de importar para o cofre de produção.
Conclua a importação em produção assim que o piloto for validado.

O Passwork documenta cinco níveis de acesso: Proibido, Só de leitura, Ler e editar, Acesso total e Administrador. Tem também uma opção separada, «Connect without access» (ligar sem acesso), para utilizadores associados a um cofre sem direitos diretos. Aplique o princípio do menor privilégio por predefinição e alargue o acesso apenas quando uma função específica o exigir.

Realizar o Teste de Aceitação de Migração KeePass-Passwork

Uma importação bem-sucedida prova que os registos foram criados. Uma migração bem-sucedida prova que os registos, a estrutura, o acesso e as evidências cumprem um padrão de aceitação acordado. O Teste de Aceitação de Migração KeePass-Passwork é uma lista de verificação de seis controlos que transforma «a importação terminou» num resultado documentado e pronto para aprovação formal.

Controlo	O que testar	Condição de aprovação
1. Contagem de registos	Comparar o número previsto de entradas do KeePass com os registos importados, tendo em conta as exclusões documentadas.	Qualquer diferença tem um responsável e uma justificação por escrito.
2. Hierarquia	Comparar um conjunto representativo de caminhos de grupos de origem com os caminhos de cofres e pastas do Passwork.	As pastas exigidas existem na estrutura de destino escolhida.
3. Amostragem de credenciais	Abrir uma amostra baseada em risco: contas privilegiadas, contas de TI partilhadas, entradas com carateres Unicode, URLs e notas longas.	O título, o nome de utilizador, a palavra-passe, o URL e as notas estão corretos, sem truncamento inesperado.
4. Registo de exceções	Rever anexos, campos personalizados, histórico e tipos de registo não suportados.	Cada exceção é migrada manualmente, transformada, aceite como excluída ou agendada para rotação.
5. Teste de acesso	Testar um utilizador autorizado e um utilizador que deva ser recusado; testar contas de serviço numa janela controlada.	Os utilizadores autorizados têm apenas o acesso previsto; os utilizadores não autorizados são recusados.
6. Evidência de auditoria e de transição	Registar o operador, a hora, o âmbito, o resultado e qualquer decisão sobre exceções.	A migração é revisível e está pronta para aprovação formal.

O histórico do cofre do Passwork regista adições, edições e eliminações de palavras-passe, bem como alterações de acesso, com data, hora e utilizador responsável. Quando a definição de função exigida está ativada, o registo de atividade a nível do sistema acrescenta um registo de auditoria mais abrangente.

Utilize esta evidência para apoiar o controlo 6, não para substituir os controlos 1 a 5. Os registos confirmam o que aconteceu depois da importação. Não confirmam que os dados ou o acesso estavam corretos à partida.

Fazer a transição em segurança e eliminar a exportação temporária

Só avance para a transição depois de o responsável técnico e o responsável pelo acesso darem aprovação formal. Em seguida, comunique a nova localização, remova a exportação temporária e conserve a base de dados de origem durante a janela de rollback acordada.

A sequência final:

Comunique a nova localização de trabalho às equipas afetadas.
Atualize quaisquer procedimentos operacionais documentados que façam referência ao cofre antigo.
Rode as credenciais de alto risco, partilhadas e anteriormente expostas, de acordo com a política.
Remova o acesso ao ficheiro de exportação temporário.
Conserve a fonte original do KeePass no local de rollback aprovado durante o período acordado.
Elimine o fluxo de trabalho partilhado antigo assim que ambos os responsáveis derem a sua aprovação.

Uma pessoa que tenha saído da equipa ou perdido autorização pode ainda lembrar-se de uma palavra-passe antiga, mesmo depois de o próprio cofre estar bloqueado. Rode as credenciais sempre que uma saída de colaborador ou um evento de risco o justifique, não apenas quando a migração termina. As orientações sobre saída de colaboradores do Passwork traçam a mesma distinção entre remover o acesso e rodar a própria credencial.

Conclusão

Escolha XML ou CSV, construa o plano de acesso de destino e importe os dados. Mantenha o resultado como provisório até os seis controlos passarem. Ignorar a validação pode deixar por descobrir, até depois da transição, anexos em falta, mapeamentos de campos incompletos ou acessos não pretendidos.

Se a sua equipa estiver a substituir um fluxo de trabalho partilhado do KeePass, comece pelo guia de importação do Passwork para carregar os dados e, depois, configure os direitos de acesso a cofres e pastas antes da transição. Para uma visão mais alargada do planeamento de uma migração de credenciais a nível empresarial, para além deste formato, veja porque é que a migração de gestor de palavras-passe num clique não existe em 2026.

Pronto para deixar de vez um ficheiro KeePass partilhado? Descubra como o Passwork estrutura cofres, pastas e direitos de acesso.

Perguntas frequentes

O Passwork consegue importar um ficheiro KDBX do KeePass diretamente?

Os formatos de importação documentados do Passwork são JSON, XML do KeePass e CSV, e não KDBX diretamente. Exporte primeiro a base de dados do KeePass para um formato suportado e, depois, consulte o guia de importação atual antes de agendar uma migração, uma vez que os formatos suportados podem mudar entre versões.

Devo usar XML ou CSV do KeePass para o Passwork?

Utilize XML do KeePass quando a hierarquia for importante e o destino o suportar. Utilize CSV para uma importação plana e deliberadamente mapeada. Em ambos os casos, verifique a cobertura dos campos e registe as exceções, porque o suporte de formato não garante paridade para todos os tipos de metadados entre produtos.

Como sei que a migração funcionou?

O sucesso da importação, por si só, não é suficiente. Execute os seis controlos do Teste de Aceitação de Migração: contagem de registos, hierarquia, amostragem de credenciais, registo de exceções, teste de acesso e evidência de auditoria. Cumprir os seis dá-lhe uma decisão documentada de avançar ou não avançar, em vez de um palpite.

Quando posso eliminar o ficheiro de exportação do KeePass?

Elimine-o depois de a importação e as verificações de aceitação estarem concluídas, seguindo a política de retenção e de tratamento seguro da sua organização. Mantenha isto separado da base de dados de origem do KeePass retida no local de rollback aprovado. Não elimine a única base de dados de origem validada antes de o responsável técnico dar aprovação formal.