Закључавање трезора менаџера лозинки: изгубљен тајни кључ 1 лозинке, Битварден 2ФА код за опоравак или КееПасс кључна датотека (извлачење кешираних локалних ванмрежних сесија трезора)¶

Изгубити приступ менаџеру лозинки (1Password, Bitwarden, KeePassXC, Proton Pass, или LastPass) након квара матичне плоче лаптопа, ресетовања телефона на фабричка подешавања, брисања профила претраживача или случајног губитка вашег 1Password 34-character Secret Key (A3-XXXXXX-...), Bitwarden Two-Step Login Recovery Code, or KeePass .keyx keyfile is a severe digital identity crisis. Modern zero-knowledge password managers encrypt your vault locally on your device using AES-256-GCM или ChaCha20-Poly1305 изведена кроз PBKDF2-HMAC-SHA256 или Argon2id before a single byte ever touches the cloud. Because the provider never possesses your Master Password, Secret Key, or local keyfile, customer support at AgileBits (1Password) or Bitwarden cannot reset your password or decrypt your vault from their servers under any circumstances.

However, a cloud login lockout almost never means your passwords are gone forever. As long as even one previously logged-in device (an old phone, a secondary tablet, a work laptop, a work browser profile, an iCloud or Google Drive device backup, or a Windows Volume Shadow Copy / macOS Time Machine disk snapshot) still holds a locally cached encrypted database (1Password.sqlite, Bitwarden data.json, или .kdbx replica) and you still know your Master Password (or have biometric Touch ID / Face ID / Windows Hello configured on that secondary device), you can unlock that local offline cache in Airplane Mode and export 100 percent of your passwords before the cloud server revokes the session token. For related credential emergencies, see password manager lockout and master password recovery, authenticator app TOTP lost during phone upgrade or screen shatter, и MFA lockout and authenticator recovery. If your lockout involves an immediate life-safety or medical crisis, call your local emergency number (911 у Сједињеним Државама и Канади, 112 широм Европске уније, 999 in the United Kingdom) or consult our directory of бројеви за хитне случајеве.

Уради ово сада¶

1. Put EVERY secondary computer, phone, and tablet that has ever accessed your password manager into Airplane Mode (disconnect Wi-Fi and unplug Ethernet) BEFORE waking the screen or opening the app:
2. Why network isolation is your first move: If your account session was deauthorized, your 2FA token was reset, or your subscription lapsed, the moment the 1Password или Bitwarden app on your secondary laptop or old phone connects to the internet, it polls the remote API (my.1password.com или identity.bitwarden.com), receives an HTTP 401 Unauthorized or session revocation signal, and automatically purges the local offline cached vault (data.json / 1Password.sqlite) from disk.
3. Keeping the device 100 percent offline forces the desktop app, mobile app, or browser extension to fall back to Offline Cache Unlock Mode, allowing you to unlock the vault using only your Master Password (or biometrics) without needing a 2FA code or new Secret Key handshake.
4. Never click "Log Out", "Remove Account", "Clear Browser Data", или "Reinstall App" on a locked device: Logging out of the Bitwarden browser extension or 1Password desktop app immediately wipes the locally stored Secret Key property and encrypted vault blob. Leave the locked app untouched and copy its underlying application data folder to a safe backup folder first.
5. Understand which of the three lockout components you are missing:
6. Missing 1Password 34-Character Secret Key (A3-...) (while still knowing your Master Password): The Secret Key is stored in plaintext inside the local configuration database of every device where you ever signed in, inside your downloaded 1Password Emergency Kit.pdf, inside Apple Keychain (iCloud Keychain) on Mac/iOS, or inside any old device backup.
7. Missing Bitwarden 2FA Authenticator / Recovery Code (while still knowing your Master Password): Because Bitwarden's 2FA only gates server authentication (not local vault encryption), any device that already has a cached data.json датотека трезора на диску може се откључати ван мреже користећи само вашу главну лозинку или дешифровати коришћењем отвореног кода ван мреже Битварден трезора (bitwarden-decrypt).
8. Missing KeePass / KeePassXC Кеифиле (.key / .keyx) (while still knowing your Master Password): The keyfile is hashed via SHA-256 у композитни главни кључ; морате да повратите тачну датотеку бајт за бајт из сектора диска, Volume Shadow Copies, cloud trash, or browser/OS recent-file caches.
9. Before opening any offline vault on a secondary device, clone its local vault directory to an external USB drive: On Windows, macOS, or Linux, copy the entire %LocalAppData%\1Password, %AppData%\Bitwarden, or browser Local Extension Settings folder to a separate folder so that even if the app misfires and wipes its cache, you still have a pristine copy of the encrypted SQLite/JSON database.
10. If your only remaining logged-in device is a phone or laptop with a biometric unlock (Face ID, Touch ID, Windows Hello) and you forgot the Master Password itself: Do not reboot that device (rebooting clears the biometric key handle in RAM and forces a Master Password prompt on first unlock). Unlock the app via Face ID или Touch ID while in Airplane Mode, open the highest-priority credentials, and manually view or copy every password immediately.
11. Search every computer, email attachment, Downloads folder, and cloud drive for "Emergency Kit" или "bitwarden_recovery_code" right now: When 1Password first created your account, it forced a browser download of a file named 1Password Emergency Kit.pdf (or saved a Passkey/Secret Key entry into Apple Keychain Access). Run a system-wide search before assuming the key is gone.

Decision tree: password manager lockout triage and offline vault extraction¶

Follow this forensic recovery workflow based on which password manager and authentication factor you lost:

flowchart TD
    Start["Locked Out of Password Manager Vault (1Password, Bitwarden, KeePassXC, Proton Pass)"] --> IsolateNow["STEP 1: Put All Secondary Laptops, Phones, & Tablets into AIRPLANE MODE Immediately (Before Opening the App or Browser)"]

    IsolateNow --> WhichApp{"Which Password Manager & Credential Factor Is Missing?"}

    WhichApp -->|"1Password: Lost 34-Char Secret Key (A3-XXXXXX...), Still Know Master Password"| OnePassCheck{"Do You Have ANY Device Still Signed In (Or a Mac/iPhone Backup)?"}

    OnePassCheck -->|"YES: Logged-in App on Old Phone, Tablet, or PC"| Extract1PKey["Open Offline App -> Tap Account Icon -> 'Set Up Another Device' or 'View Secret Key' to Reveal Full A3-... Key (OR Extract from 1Password.sqlite / Apple Keychain)"]

    OnePassCheck -->|"NO: Only Have Time Machine, Windows Shadow Copy, or Downloads Folder"| Search1PKit["Search Disk & Backups for '1Password Emergency Kit.pdf', '1Password.sqlite', or 'opvault' / 'b5.sqlite'"]

    WhichApp -->|"Bitwarden: Lost 2FA TOTP App & 2FA Recovery Code, Still Know Master Password"| BitwardenCheck{"Is Bitwarden Desktop or Browser Extension Still Logged In on ANY Device (Offline)?"}

    BitwardenCheck -->|"YES: Cached Vault Exists on Disk"| UnlockBWOffline["Keep Device in Airplane Mode -> Unlock Local Bitwarden App/Extension With Master Password -> Export Vault to .json / .csv -> Then Reset Account & Re-Import"]

    BitwardenCheck -->|"NO: Extension Locked or Logged Out, But 'data.json' Exists on Disk/Backup"| DecryptBWJson["Copy Local 'data.json' from AppData or Browser LevelDB -> Run Offline 'bitwarden-decrypt' Python Script Using Your Master Password"]

    WhichApp -->|"KeePass / KeePassXC: Lost Keyfile (.keyx/.key) or Corrupted .kdbx"| KeePassRescue["1. Check KeePassXC '.kdbx.tmp' & Cloud Version History. 2. Search Disk for Keyfile via 'Everything' / Photorec or Windows Volume Shadow Copy (vssadmin)"]

    WhichApp -->|"Forgot Master Password Itself (Still Have Biometric Unlock Active on Phone/Laptop)"| BiometricRescue["DO NOT REBOOT DEVICE: Keep in Airplane Mode -> Unlock Vault via Face ID / Touch ID / Windows Hello -> Copy Passwords Manually"]

Phase 1: Recovering a lost 1Password Secret Key (A3-XXXXXX-...) and offline vault¶

1Password (versions 7 и 8) uses a Two-Secret Key Derivation (2SKD) architecture: your vault encryption key (MPK) is mathematically derived by combining your Master Password (via PBKDF2-HMAC-SHA256) with a randomly generated 128-bit Secret Key formatted as a 34-character string starting with A3- (for example, A3-ABCDEF-GHIJKL-MNOPQR-STUVWX-YZ1234-567890). Without that A3- Secret Key, knowing your Master Password alone is mathematically insufficient to decrypt data from 1Password's servers.

However, the Secret Key is NOT secret from your own devices: every single device that has ever logged into your 1Password account stores your full A3- Secret Key on its local storage drive so you do not have to type 34 characters every morning.

Method 1: Revealing your A3- Secret Key from any signed-in phone, tablet, or computer¶

Check every smartphone, iPad, work laptop, or desktop browser where you ever used 1Password (keep the device in Airplane Mode first): 1. On 1Password 8 for iOS / Android: - Open the 1Password app -> tap your Account / Profile icon in the top-left corner -> tap Set Up Another Device (or Manage Accounts -> [Your Account] -> Set Up Another Device). - Tap View Account Details beneath the QR code: your full A3-... Secret Key is displayed in plain text right on the screen. Write it down on paper immediately. 2. On 1Password 8 for macOS / Windows / Linux: - Open 1Password -> click your Account name in the top-left sidebar -> select Set Up Another Device... -> click secret key and sign-in address to display the exact A3-... string. 3. Inside your 1Password Vault itself: - Every 1Password account automatically generates a built-in vault item named 1Password Account (login) inside your Personal / Private vault on day one. If you can unlock 1Password offline on any device, search your vault for 1Password Account; it contains both your Master Password and your Secret Key.

Method 2: Extracting a lost 1Password Secret Key from Apple iCloud Keychain or macOS Keychain Access¶

If you ever signed into 1Password on an iPhone, iPad, or Mac using Safari or the native app, Apple's operating system automatically offers to save your 1Password sign-in details or Account Key inside Apple Keychain / Passwords: 1. On macOS Sonoma / Sequoia (macOS 14 / 15+) or iOS 17 / 18: - Open the Passwords app (or System Settings -> Passwords) and unlock with Touch ID or Face ID. - Search for 1password.com или 1Password Account Key. - Inspect the saved username, password, or notes field: Safari and 1Password for iOS frequently store the full A3-XXXXXX-... Secret Key inside the saved credential entry for my.1password.com. 2. In macOS Keychain Access (local items / iCloud): - Притисните Cmd + Space, type Keychain Access, and search for 1Password, agilebits, or A3-. - Double-click any matching application password entry and check Show password.

Method 3: Extracting the A3- Secret Key or cached vault from disk (1Password.sqlite & Emergency Kit.pdf)¶

Even if the 1Password desktop app will not open or your computer is unbootable (mounted as a secondary drive or restored from a Time Machine / File History / Backblaze backup), check these exact disk locations:

Фаза 2: Опоравак од а Bitwarden 2ФА закључавање (data.json екстракција и дешифровање кеша ван мреже)¶

Ако сте изгубили апликацију ТОТП Аутхентицатор, хардверски ИубиКеи и ваш Битварден код за опоравак у два корака, Битварден сервери у облаку (vault.bitwarden.com) неће дозволити да се пријавите на било који нови претраживач или телефон. Међутим, Битварденов криптографски дизајн вам даје критичну предност спасавања: Битварденова 2ФА само вас аутентификује на веб АПИ; НИЈЕ део кључа за шифровање (masterKey / encKey) користи се за шифровање вашег локалног трезора (data.json).

То значи да ако још увек знате своју Битварден главну лозинку и имате било који рачунар, телефон или резервну копију који садржи кеширану копију Битварден локалног data.json или IndexedDB / LevelDB складиште од када сте били пријављени, можете да дешифрујете 100 процената својих лозинки ван мреже.

Метод 1: Откључавање још увек пријављене Битварден апликације или екстензије Airplane Mode¶

1. Потпуно искључите рачунар или телефон са интернета (искључите Ви-Фи, искључите Етхернет, омогућите Режим у авиону на мобилном телефону).
2. Отворите Битварден апликацију за рачунаре, Проширење прегледача (Цхроме, Браве, Едге, Фирефок) или Мобилну апликацију.
3. Све док је апликација била у стању „Закључано“ (тражи вашу главну лозинку или ПИН/биометријске податке), а не „Одјављена“ (тражи вашу адресу е-поште), укуцавањем ваше главне лозинке док сте ван мреже одмах се откључава локални кеширани трезор без тражења 2ФА.
4. Одмах идите на Settings -> Vault options -> Export vault (или File -> Export Vault на радној површини), изаберите .json (нешифровани ЈСОН, тако да извози прилагођена поља, УРИ, ТОТП семе и структуре фолдера), унесите своју главну лозинку и сачувајте .json датотеку на шифровани УСБ диск или ВераЦрипт контејнер.
5. Када потврдите да сте извезени .json датотека садржи све ваше пријаве у уређивачу текста, можете безбедно да одете на vault.bitwarden.com/#/recover-delete (или vault.bitwarden.eu/#/recover-delete), избришите рачун у облаку закључан 2ФА, креирајте нови Битварден налог са истом е-поштом и кликните Tools -> Import Data -> Bitwarden (json) да бисте вратили цео трезор за 30 секунди.

Метод 2: Дешифровање Битвардена data.json или Прегледач LevelDB директно са диска (bitwarden-decrypt)¶

Шта ако се Битварден десктоп апликација или проширење прегледача не откључају у корисничком интерфејсу, или је диск рачунара монтиран из резервне копије, или имате само фасциклу необрађених података апликације?

1. Лоцирајте свој локални Битварден data.json или складиште проширења претраживача на диску (направите резервну копију фасцикле пре него што је додирнете):

1. Потврдите да је корисни терет шифрованог трезора још увек унутра data.json:
2. Отворите свој копирани data.json фајл у уређивачу текста (Notepad или VS Code).
3. Потражите жице "ciphers_ и "encKey" (or "masterKeyEncryptedUserKey" у новијем Битвардену stateVersion шеме).
4. Ако видите стотине редова "2.iv|ciphertext|mac" жице испод ciphers_<userId>, свака ваша лозинка, белешка и ТОТП семе налази се тачно у тој датотеци, шифрована искључиво вашом главном лозинком.
5. Дешифрујте data.json offline using bitwarden-decrypt (Open-Source Python Utility):
6. На било ком рачунару са инсталираним Питхон 3, преузмите ревидирани отворени код bitwarden-decrypt скрипта (github.com/GurpreetKang/BitwardenDecrypt) који имплементира Битварденову тачну PBKDF2-SHA256 / Argon2id + HKDF-Expand + AES-256-CBC-HMAC-SHA256 key hierarchy locally:

   pip install cryptography argon2-cffi
   python3 BitwardenDecrypt.py data.json --output recovered_vault.json
   

7. Enter your Bitwarden Master Password when prompted. The script derives your masterKey from your email and Master Password, decrypts your encKey (masterKeyEncryptedUserKey), and outputs a clean, human-readable recovered_vault.json containing every login, password, TOTP seed, and secure note.

Phase 3: Recovering from a KeePass или KeePassXC Keyfile loss or .kdbx corruption¶

Unlike cloud-hosted managers, KeePass 2.x и KeePassXC store your vault in a standalone .kdbx file (KDBX 4.x format) encrypted using a Composite Master Key. If you configured your database to require both a Master Password and a Keyfile (.key или .keyx), KeePass hashes the exact contents of the keyfile with SHA-256 and combines that 32-byte hash with your password hash before running Argon2d/Argon2id.

1. How to find a misplaced or deleted .key / .keyx Keyfile (or image/document used as a keyfile)¶

Because losing a keyfile is equivalent to losing a 256-bit cryptographic key, you cannot brute-force a missing random keyfile; you must locate a byte-identical copy of the file: 1. Inspect KeePassXC.ini / KeePass.config.xml to see the exact last-used filename and path of the keyfile: - Often users forget which file on their computer they selected as their keyfile (many users select a random .jpg photo, .pdf document, or obscurely named file on a USB drive). - Open your local configuration file in a text editor: - KeePassXC (Windows): %AppData%\KeePassXC\keepassxc.ini (or %LocalAppData%\KeePassXC\keepassxc.ini) -> look under [LastDatabases] или LastKeyFiles. - KeePassXC (macOS / Linux): /Users/<Username>/Library/Application Support/KeePassXC/keepassxc.ini или /home/<Username>/.config/keepassxc/keepassxc.ini. - KeePass 2.x (Windows): %AppData%\KeePass\KeePass.config.xml -> search for <KeyFilePath>. - Knowing the exact filename and folder path (E:\Keys\my_secret_pic.jpg) tells you which USB stick, SD card, or cloud folder to search. 2. Carve a deleted .keyx XML Keyfile from unallocated disk space in 60 seconds: - Standard KeePass / KeePassXC generated keyfiles (.keyx или .key XML format) are tiny (< 1 KB files) that begin with a distinctive XML header:

<?xml version="1.0" encoding="utf-8"?>
<KeyFile>
    <Meta>
        <Version>1.00</Version>

2. Fixing a corrupted .kdbx database (Invalid signature или HMACHashMismatch after power loss or cloud sync)¶

If your .kdbx file throws Not a KeePass database или Corrupted database / HMAC mismatch after a computer crash or Google Drive / OneDrive sync conflict: 1. Look for hidden .kdbx.tmp или .kdbx.bak atomic-write sibling files: - By default, KeePassXC uses Safe Save (Atomic Write): it writes changes to a temporary file in the same folder first, then renames it over the original .kdbx. Потражите у истом директоријуму (са омогућеним скривеним датотекама) било које .tmp, .bak, или неусаглашена копија (Passwords (Conflicted copy).kdbx). 2. Вратите јучерашњу верзију из историје верзија у облаку или Виндовс Схадов Цопи: - If your .kdbx налази се у Дропбок-у, Гоогле Дриве-у, ОнеДриве-у или иЦлоуд Дриве-у, пријавите се на веб портал у облаку у вашем претраживачу, кликните десним тастером миша на .kdbx датотеку и изаберите Version History да преузмете претходну чисту ревизију од пре оштећења. 3. Покрените КееПасс 2.к уграђени Repair Mode Увоз: - Отворите званични КееПасс 2.к на Виндовс-у -> креирајте потпуно нову празну базу података -> кликните File -> Import... -> изаберите KeePass KDBX (2.x) (Repair Mode) -> усмерите га на ваш оштећени .kdbx датотеку и унесите своју главну лозинку. Режим поправке игнорише покварена подножја ХМАЦ тока и спашава сваки читљиви блок уноса до оштећеног помака бајтова.

Фаза 4: Извлачење кешираних трезора из резервних копија иОС, Андроид и мацОС (iMazing, Time Machine, и DPAPI меморије)¶

Шта ако је ваш примарни телефон изгубљен, украден или ресетован на фабричка подешавања, а ваш лаптоп је већ обрисан или одјављен, остављајући вам нула активних сесија уживо? И даље можете да извучете трезор офлајн менаџера лозинки из локалне резервне копије иПхоне-а, снимка мацОС Тиме Мацхине-а или датотеке за хибернацију/рушење оперативног система Виндовс.

1. Екстракција 1Password или Bitwarden СКЛите/ЈСОН трезори из резервне копије иПхоне-а или иПад-а (iMazing / idevicebackup2)¶

Кад год направите резервну копију иПхоне-а или иПад-а на Мац или Виндовс ПЦ-у (посебно Шифровану локалну резервну копију у Финдер-у или иТунес-у), архива резервних копија снима контејнере заштићеног окружења апликације 1Password и Bitwarden: 1. НЕ враћајте прво резервну копију на телефон који је повезан са интернетом: Ако вратите резервну копију на телефон који се повезује на Ви-Фи током Сетуп Ассистант-а, враћена апликација ће одмах пинговати сервер у облаку и обрисати његов истекао токен. 2. Користите iMazing или iBackup Viewer на рачунару ван мреже да бисте прегледали систем датотека необрађене резервне копије: - Отворите своју локалну резервну копију иПхоне-а у iMazing (File System -> Apps -> 1Password или Bitwarden). - за 1Password: Иди на AppDomainGroup-group.com.agilebits.onepassword-ios/Library/Application Support/1Password/Data/ и екстракт 1Password.sqlite (или B5.sqlite). Инсиде тхе accounts табела те СКЛите датотеке се налази у вашем отвореном тексту A3-XXXXXX-... Secret Key. - за Bitwarden: Иди на AppDomainGroup-group.com.8bit.bitwarden/Library/Preferences/ и екстракт group.com.8bit.bitwarden.plist. Претворите бинарни .plist у КСМЛ (plutil -convert xml1 group.com.8bit.bitwarden.plist) и отворите га у уређивачу текста: садржи потпуно исто ciphers_<userId> и masterKeyEncryptedUserKey ЈСОН структуре које користи BitwardenDecrypt.py, што вам омогућава да дешифрујете сваку лозинку ван мреже користећи своју главну лозинку.

2. Екстракција Proton Pass, Dashlane, и LastPass кеширање ван мреже претраживача¶

Ако ваше закључавање укључује Proton Pass, Dashlane, или LastPass: - Proton Pass Офлајн режим и кеш проширења претраживача: Протон Пасс кешира шифровани локални снимак унутар Цхромиум-а IndexedDB (chrome-extension_<id>_0.indexeddb.leveldb). Ако држите лаптоп у Режиму у авиону, отворите прегледач и откључате Протон Пасс лозинком или ПИН-ом, можете да приступите свом офлајн трезору и извезете или погледате своје акредитиве пре него што се поново повежете на мрежу. - LastPass Локални ванмрежни кеш (lpall.slp / acct.slp): На Виндовс-у (%LocalAppData%\LastPass или %AppData%\LocalLow\LastPass) и мацОС (/Users/<Username>/Library/Application Support/LastPass), LastPass stores an AES-256 encrypted local XML/SQLite cache file named after your email hash. Disconnecting Wi-Fi and signing into the LastPass browser extension with your Master Password bypasses broken multifactor authenticators and opens the local offline vault directly.

3. Dumping a still-unlocked vault from Windows RAM (Task Manager -> Create dump file) before a forced lock¶

If you realize you have forgotten your Master Password (or deleted your KeePass keyfile while the database is currently open and unlocked on your screen right now), DO NOT lock the database or close the window. 1. Even when KeePassXC, Bitwarden, или 1Password requires you to re-type your Master Password to click the Export Vault button, the decrypted vault entries or the derived 256-bit MasterKey are currently sitting in process memory (RAM) while the vault window is unlocked. 2. First, click through your highest-priority logins on screen (email, banking, cloud accounts, domain registrar) and copy them into an encrypted text file or photograph them. 3. За KeePass / KeePassXC: While the database is still unlocked, if you forgot the Master Password or deleted the keyfile, check whether File -> Export -> CSV works without prompting for the Master Password (in several versions of KeePassXC, exporting an already-unlocked database to CSV or HTML does not require re-entering the composite key).

Често постављана питања¶

Can 1Password or Bitwarden customer support unlock my vault if I send them my government passport and notarized ID?¶

No, it is mathematically impossible. Both 1Password and Bitwarden use end-to-end zero-knowledge client-side encryption. Your Master Password (and 1Password's 34-character A3- Secret Key) never leave your device and are never transmitted to their servers. Even if a court subpoenaed AgileBits or Bitwarden, or you presented a notarized passport in person at their headquarters, their servers only hold an encrypted ciphertext blob (AES-256) that cannot be decrypted without the keys stored on your own devices.

Why does disconnecting Wi-Fi (Airplane Mode) let me unlock Bitwarden without my lost 2FA code?¶

In Bitwarden's security architecture, Two-Step Login (2FA) is an authentication check enforced by the Bitwarden cloud server when downloading your encrypted vault blob over the internet; it is not used as part of the cryptographic key that encrypts the vault itself. Once a device has logged in once, Bitwarden caches that encrypted vault locally inside data.json (or browser LevelDB) protected by your Master Password. When you keep the computer or phone in Airplane Mode, the app unlocks the local cached copy using only your Master Password and lets you export all your passwords to a .json или .csv file.

What if I forgot my Master Password, I have no Emergency Kit, and my only open session is on my iPhone with Face ID?¶

If your iPhone or iPad still unlocks your password manager via Face ID or Touch ID, treat that phone like bomb-disposal hardware: keep it plugged into a charger, put it in Airplane Mode, and DO NOT let the battery die or reboot the phone. Ако се телефон поново покрене или ако Фаце ИД не успе 3 до 5 пута заредом, апликација испушта биометријски кључ за дешифровање из сесије Сецуре Енцлаве и приморава вас да унесете своју заборављену главну лозинку. Имајте на уму да извоз трезора преко Settings -> Export usually requires typing the Master Password even when unlocked via Face ID; therefore, do not try to use the bulk Export menu. Instead, unlock with Face ID and manually open each critical account entry one by one, tap the eye icon to reveal the password, and photograph or write down each password on paper.

How do I prevent a password manager lockout from ever happening again once I recover my vault?¶

Immediately after recovering your vault, implement the 3-Layer Physical + Offline Backup Rule: (1) Print two physical paper copies of your 1Password Emergency Kit (or your Bitwarden Master Password + 2FA Recovery Code) and store one in a fireproof home safe and one in a bank safe deposit box or with a trusted family member; (2) Export an encrypted backup of your vault (.kdbx or password-protected Bitwarden .json) onto two offline USB flash drives every 90 days; and (3) If you use 1Password Families или Bitwarden Families / Enterprise, assign a trusted partner or second admin account to the **Account Recovery** role, which holds an escrow key capable of resetting a family member's forgotten Master Password or lost Secret Key.

Повезани водичи¶

• Password manager lockout, master password loss, and vault recovery
• Authenticator app TOTP lost during phone upgrade or screen shatter
• MFA lockout and authenticator recovery
• Passkey and WebAuthn device loss: synced vs. hardware-bound passkeys
• VeraCrypt, BitLocker, or Cryptomator corrupted volume header recovery
• Бројеви за хитне случајеве по земљама

Извори и званична упутства¶

• 1Password Official Security White Paper & Support Documentation (support.apple.com / support.1password.com/secret-key-security/ & support.1password.com/find-secret-key/): Two-Secret Key Derivation (2SKD), A3- Secret Key Storage on Authorized Devices, and Emergency Kit Recovery Procedures.
• Bitwarden Official Security & Cryptographic White Paper (bitwarden.com/help/bitwarden-security-white-paper/ & bitwarden.com/help/storage-locations/): Master Password Key Derivation (PBKDF2-SHA256 / Argon2id), Local data.json Offline Storage Locations, and Two-Step Login Recovery.
• KeePass / KeePassXC Official Documentation (keepass.info/help/base/keys.html & keepass.info/help/base/repair.html): Composite Master Key Architecture, .keyx XML Keyfile Specification, and KDBX 4.x Repair Mode Import.
• GurpreetKang Open-Source Forensic Tool (github.com/GurpreetKang/BitwardenDecrypt): Offline Decryption of Cached Bitwarden data.json Vault Files Using Known Master Passwords.