Gestor de palavras-passe empresarial 2026: 6 soluções B2B comparadas (PME, Mid-Market, Enterprise)

Se és responsável pela segurança de uma empresa de 10 a 5.000 colaboradores, escolher um gestor de palavras-passe B2B é um dos 3 investimentos de segurança mais estruturantes (a par de MFA e MDM). Esta análise cobre 6 soluções empresariais para deployments de ~25 a ~350 utilizadores: eis uma comparação honesta, baseada em critérios empresariais verificáveis (SSO, SCIM, audit logs, RBAC, compliance, preço real a 3 anos).

O Bitwarden Business vence o rácio simplicidade/preço para a maioria das PME e do mid-market em 2026. O NordPass Business é a opção mais barata (3,69 USD/utilizador/mês). O 1Password Business continua a ser a escolha de UX premium se o orçamento o permitir.

01 — O ranking empresarial 2026

Metodologia: uma comparação editorial de 6 soluções avaliadas em 14 critérios empresariais com TCO a 3 anos — com base na documentação dos fornecedores, nas certificações de segurança/compliance publicadas e no consenso das análises públicas.

02 — Critérios de avaliação B2B

Para uma empresa, os critérios B2C (UX, preço individual) tornam-se secundários. Eis os 14 critérios empresariais que importam:

Critérios técnicos (peso 50%)

1. SSO SAML 2.0 (Okta, Azure AD, Google Workspace, OneLogin, JumpCloud)
2. Provisionamento SCIM 2.0 (joiner-leaver-mover automatizado)
3. RBAC (owner, admin, manager, user, papéis personalizados)
4. Gestão de grupos (sync de grupos IdP, grupos aninhados, collections partilhadas)
5. Audit logs / Event Logs (retenção, export SIEM, alerting)
6. REST API pública documentada (Bitwarden CLI, 1Password CLI, NordPass API)
7. Self-host possível (soberania UE, compliance de setor)

Critérios de compliance (peso 30%)

8. SOC 2 Type 2 publicado e recente
9. ISO 27001 certificado
10. Residência de dados na UE garantida
11. DPA compatível com o RGPD, HIPAA BAA se saúde EUA
12. Relatório de pen test + bug bounty ativo

Critérios operacionais (peso 20%)

13. SLA de suporte (24/7 para Enterprise, 8/5 para Business)
14. Playbook de onboarding + change management (formação, comunicação interna)

03 — Bitwarden Business — Melhor PME / mid-market

Preço: 5 USD/utilizador/mês (Teams) ou 7 USD/utilizador/mês (Enterprise).

Pontos fortes:

• O mais barato dos big-4 fornecedores B2B (5 USD vs. 7,99 USD 1Password vs. 8 USD Dashlane)
• Endpoint SCIM 2.0 hosted (sem bridge a implementar ao contrário do 1Password) — Okta, Azure AD, OneLogin, JumpCloud, Google Workspace suportados nativamente
• Open source GPL v3 — código auditável publicamente em github.com/bitwarden
• SOC 2 Type 2 + ISO 27001 publicados
• EU Cloud Frankfurt desde 2024 (residência de dados na UE)
• Vaultwarden self-host possível para soberania total
• Auditorias Cure53 2022 + Insight Risk 2023 públicas
• Nenhuma comprometimento do servidor em 8 anos

Limitações:

• A UX desktop parece visualmente datada face a 1Password / NordPass
• O SSO SAML está reservado ao plano Enterprise (7 USD)
• O onboarding de admin exige ~3-5h de documentação Bitwarden no primeiro deployment

Recomendado para: PME 10-50 colaboradores (plano Teams Starter ou Teams), mid-market 50-500 colaboradores (Teams ou Enterprise consoante as necessidades de SSO), equipas tech que querem fazer self-host.

Vê a nossa comparação Bitwarden vs. 1Password 2026 e o guia Bitwarden Business SCIM provisioning.

04 — NordPass Business — O preço mais agressivo

Preço: 3,69 USD/utilizador/mês (plano Teams anual) ou 5,39 USD/utilizador/mês (Business).

Pontos fortes:

• O mais barato das soluções B2B sérias (3,69 USD/utilizador/mês)
• Cifragem XChaCha20 + Argon2id (algoritmos mais modernos do que AES-256/PBKDF2)
• Provisionamento SCIM Okta, Azure AD, Google Workspace, JumpCloud
• SSO SAML 2.0 incluído no plano Business (não apenas Enterprise)
• SOC 2 Type 2 + ISO 27001 + Cure53 publicados
• Ecossistema Nord Security: bundle possível com NordVPN (NordLayer para B2B), NordLocker
• Residência de dados na UE opcional (Lituânia, Alemanha)
• UX moderna (4,7/5 App Store)

Limitações:

• Código proprietário (não open source)
• Sem self-host possível
• Comunidade técnica B2B menor do que Bitwarden / 1Password

Recomendado para: PME 10-200 colaboradores sensíveis ao orçamento, empresas que querem um ecossistema Nord coerente (VPN B2B + Gestor de Palavras-passe B2B).

Vê a nossa análise NordPass 2026.

05 — 1Password Business — UX premium, orçamentos maiores

Preço: 7,99 USD/utilizador/mês (Business) ou orçamento necessário para Enterprise.

Pontos fortes:

• Entre as UX desktop e móvel mais polidas do mercado
• Watchtower B2B: alertas proativos de violação integrados na dashboard de admin
• SCIM Bridge self-hosted (container Docker do lado do cliente) para Okta, Azure AD, Rippling — mais complexo mas controlo de rede total
• SSO SAML 2.0 incluído no Business (não reservado ao Enterprise como no Bitwarden)
• Auditorias Cure53 regulares e públicas
• Secret Key de 128 bits além da palavra-passe mestra (almofada anti-brute-force)
• SOC 2 Type 2 publicado
• Suporte B2B premium (SLA de resposta de 4h para Enterprise)

Limitações:

• Código proprietário fechado (vs. Bitwarden open source)
• Preço elevado (60% mais caro do que o Bitwarden, 116% mais do que o NordPass)
• Sem self-host possível
• O SCIM Bridge acrescenta complexidade operacional face ao endpoint hosted

Recomendado para: mid-market 100-500 colaboradores com orçamentos maiores, organizações criativas / jornalismo (Travel Mode), Families de colaboradores (plano Families incluído).

Vê a nossa comparação Bitwarden vs. 1Password 2026.

06 — Proton Pass Business — RGPD-by-design

Preço: 7,99 USD/utilizador/mês (Business).

Pontos fortes:

• Jurisdição suíça: forte proteção legal fora da UE e fora dos EUA
• Open source (clientes de aplicação públicos)
• Integrado no ecossistema Proton Business (Mail, VPN, Drive, Calendar) — bundle atrativo para PME
• 2FA TOTP integrado no cofre
• Cifragem end-to-end by design, arquitetura zero-knowledge
• SCIM + SSO SAML desde o final de 2024

Limitações:

• Produto B2B ainda jovem (lançado no final de 2023, amadurecido em 2025)
• Comunidade de admin B2B menor do que Bitwarden / 1Password
• Pesquisa no cofre mais lenta do que Bitwarden / NordPass
• Sem self-host para o gestor de palavras-passe (vs. Proton Mail Bridge)

Recomendado para: empresas sensíveis ao RGPD, organizações governamentais da UE, media / ONG / jornalismo, equipas avessas à jurisdição dos EUA.

Vê a nossa comparação Proton Pass vs. Bitwarden 2026.

07 — Keeper Enterprise — Forte compliance, UX média

Preço: 6,67 USD/utilizador/mês (Business) ou orçamento necessário para Enterprise.

Pontos fortes:

• FedRAMP authorized e FIPS 140-2 validated — escolha predefinida para governo e defesa dos EUA
• SCIM + SSO SAML + bridge Active Directory dedicado
• SOC 2 Type 2 + ISO 27001 + ISO 27017 + ISO 27018 (um dos mais completos do mercado)
• BreachWatch integrado (alertas de credenciais comprometidas)
• Módulo KeeperPAM (Privileged Access Management) como opção

Limitações:

• UX desktop e móvel menos polida do que NordPass / 1Password
• Preços opacos acima de 50 utilizadores (orçamento necessário)
• Código proprietário fechado
• Sem self-host

Recomendado para: governo dos EUA, setor da defesa, saúde dos EUA (HIPAA), empresas que querem PAM integrado.

08 — Dashlane Business — VPN incluído mas caro

Preço: 8 USD/utilizador/mês (Business).

Pontos fortes:

• VPN integrado (Hotspot Shield via parceria) — argumento para empresas sem VPN B2B existente
• Password Health Score agregado para o CISO
• SCIM + SSO SAML + sync Active Directory
• SOC 2 Type 2 publicado
• Onboarding de admin guiado mais simples do que o Bitwarden

Limitações:

• Preço mais alto do benchmark (8 USD = 60% mais do que o Bitwarden, 117% mais do que o NordPass)
• VPN parceiro (Hotspot Shield) menos performante do que NordVPN / Proton VPN dedicados
• UX desktop menos polida do que em 2020 (o produto perdeu o seu trunfo)
• Código proprietário fechado

Recomendado para: empresas que querem um bundle Gestor de Palavras-passe + VPN numa única fatura, equipas legacy dos EUA já em Dashlane.

09 — Tabela comparativa completa

10 — Casos de uso por dimensão de empresa

PME 10-50 colaboradores

Recomendação: plano Bitwarden Business Teams (5 USD/utilizador/mês) ou NordPass Business (3,69 USD/utilizador/mês).

Nesta dimensão queres: preço baixo, configuração rápida (menos de 1 dia de TI), MFA WebAuthn obrigatório, SCIM se já tiveres um IdP (Google Workspace, Microsoft 365), formação de colaboradores em menos de 2h.

Stack típico:

• Plano Bitwarden Business Teams a 5 USD/utilizador/mês
• SCIM via Google Workspace ou Microsoft 365 (gratuito do lado do IdP)
• MFA WebAuthn obrigatório para todos os admins
• Collections por departamento (TI, Marketing, Finanças, Vendas)
• Audit logs de 90 dias (retenção predefinida)

Orçamento anual: 25 colaboradores × 5 USD × 12 = 1.500 USD/ano (~1.350 EUR).

Mid-market 50-500 colaboradores

Recomendação: Bitwarden Enterprise (7 USD/utilizador/mês) ou 1Password Business (7,99 USD/utilizador/mês).

Nesta dimensão, o SSO SAML 2.0 torna-se crítico para o onboarding-as-code. O SCIM é obrigatório para evitar contas fantasma. O export de audit logs para SIEM (Splunk, Datadog, Sumo Logic) é necessário para a compliance interna SOC 2 / ISO 27001.

Stack típico:

• Plano Bitwarden Enterprise a 7 USD/utilizador/mês
• SSO SAML 2.0 via Okta / Azure AD / Google Workspace
• Provisionamento SCIM automático (joiner-leaver-mover)
• MFA WebAuthn obrigatório para TODOS os colaboradores (não apenas admins)
• Políticas de palavra-passe mestra (comprimento mínimo 14, rotação a cada 12 meses)
• Collections aninhadas por BU + departamento
• Export de Event Logs para SIEM a cada 24h
• Onboarding de colaboradores incluído no onboarding de TI (30 min de formação)

Orçamento anual: 200 colaboradores × 7 USD × 12 = 16.800 USD/ano (~15.100 EUR).

Enterprise 500+ colaboradores

Recomendação: Bitwarden Enterprise self-host híbrido ou 1Password Business com SCIM Bridge ou Keeper Enterprise (se governo / defesa).

Nesta dimensão queres: audit logs com retenção de 18-24 meses, SSO com MFA por hardware obrigatório (WebAuthn / YubiKey), PAM integrado (Keeper) ou acoplado (CyberArk + Bitwarden), bug bounty ativo, pen test anual, equipa dedicada de gestão de fornecedores.

Stack típico:

• Plano Enterprise por orçamento (~10-15 USD/utilizador/mês personalizado)
• SSO via IdP central (Okta Workforce Identity Cloud, Azure AD Premium P2)
• Provisionamento SCIM + bridge Active Directory
• MFA WebAuthn por hardware obrigatório (YubiKey ou Titan)
• RBAC com papéis personalizados (scope PCI, scope RGPD, scope HIPAA)
• Export de Event Logs para SIEM em tempo real
• Backup cifrado independente do fornecedor (export GPG cifrado diário do Bitwarden)
• Auditoria externa anual (Cure53 ou equivalente) ao stack

Orçamento anual: 1.000 colaboradores × 10 USD × 12 = 120.000 USD/ano (~108.000 EUR).

11 — Self-host (Vaultwarden) vs. SaaS

O Vaultwarden é a popular implementação open source de terceiros compatível com os clientes Bitwarden oficiais. É a opção de self-host mais popular em 2026 (mais de 50.000 instâncias implementadas segundo o GitHub).

Quando escolher o self-host Vaultwarden

1. Tens uma equipa SOC interna capaz de fazer patch ao day-0 e monitorizar 24/7
2. Tens uma obrigação regulatória estrita que proíbe a cloud multi-tenant (saúde, defesa, banca sensível)
3. Queres controlo de soberania da UE (Vaultwarden em OVH, Scaleway, Hetzner Alemanha)
4. Tens menos de 500 colaboradores E uma TI sólida capaz de absorver 2-4h/mês de manutenção
5. Queres poupar 60-80% face ao SaaS ao longo de 3 anos

Custo típico do self-host Vaultwarden:

• Servidor Hetzner CX22 (2 vCPU, 4 GB RAM, 40 GB SSD): 4,90 EUR/mês
• Backup S3 cifrado (Hetzner Storage Box): 3,50 EUR/mês
• Domínio + TLS (Let's Encrypt): 0 EUR/mês
• Monitorização (Uptime Kuma self-host): 0 EUR/mês
• Total de infra: ~100 EUR/ano
• Custo oculto de TI: 4h de configuração + 2h de manutenção × 12 meses × 50 EUR/h = 1.300 EUR/ano
• TCO total Vaultwarden 50 utilizadores a 3 anos = ~4.200 EUR vs. SaaS Bitwarden Business = ~7.500 EUR

Quando manter-se no SaaS

1. Não tens uma equipa SOC interna capaz de fazer patch ao day-0
2. Queres SLAs contratuais (Bitwarden Cloud SLA 99,9%, 1Password SLA 99,95%)
3. Precisas de suporte Premium 24/7
4. Queres transferir o risco operacional para o fornecedor (ter um C-level contactável em caso de violação)
5. Não tens mais de 4h/mês de TI para dedicar à manutenção de um serviço crítico

Vê o nosso tutorial self-host Vaultwarden completo com configuração Docker, backup cifrado, monitorização e patching.

12 — Playbook de rollout empresarial

Eis um playbook recomendado para rollouts mid-market (100-500 utilizadores) num plano de 6 semanas:

Semana 1 — Discovery + piloto de 10 utilizadores

• Auditoria do estado existente: quantos colaboradores reutilizam palavras-passe? (Have I Been Pwned API + entrevistas)
• Seleção do fornecedor finalizada (ver critérios na secção 02)
• Teste gratuito 14-30 dias ativado (Bitwarden, NordPass, 1Password oferecem todos testes)
• Piloto de 10 utilizadores tech: TI, segurança, DPO
• Documentação interna: runbook de admin + guia de utilizador com menos de 10 páginas

Semana 2 — Provisionamento SSO + SCIM

• Ativação SSO SAML 2.0 do lado do IdP (Okta, Azure AD, Google Workspace)
• Configuração SCIM (token, endpoint, mapeamento de atributos)
• Teste SCIM em 5 utilizadores piloto (joiner-leaver-mover)
• Validação do export de audit logs para SIEM

Semana 3 — Enforcement de MFA por hardware

• Distribuição de YubiKey 5 Series a todos os admins (~50 EUR/chave)
• Política de MFA WebAuthn obrigatória para os admins
• Política de MFA TOTP mínima para os utilizadores (escalada para WebAuthn na semana 6)
• Política de palavra-passe mestra: mínimo 14 caracteres, rotação a cada 12 meses

Semana 4 — Rollout piloto de departamento

• Selecionar 1 departamento (tipicamente Marketing ou Vendas — não TI, não Finanças)
• Formação ao vivo de 30 min por colaborador (não apenas vídeo on-demand)
• Import do cofre pessoal a partir do Chrome / LastPass / etc.
• Suporte dedicado canal Slack #password-manager-rollout

Semana 5 — Rollout empresarial completo

• Comunicação oficial CISO + RH (email + town hall)
• Onboarding obrigatório no onboarding de TI para novas contratações
• Prazo de 30 dias para a migração completa
• Reporting semanal: % colaboradores ativos, % cofres migrados

Semana 6 — Hardening

• Auditoria Watchtower / BreachWatch: quantos colaboradores têm palavras-passe comprometidas?
• Rotação forçada das palavras-passe partilhadas sensíveis (system admins, chaves API de produção)
• Escalada WebAuthn obrigatória para 100% dos colaboradores
• Política de desativação de export (impedir que os colaboradores exportem o cofre em texto simples)

13 — Change management: evitar os 5 erros clássicos

Há 5 erros recorrentes nos rollouts de gestores de palavras-passe B2B que comummente fazem descarrilar os projetos:

1. Sem piloto: deployment big-bang sem um piloto de 10-20 utilizadores → resistência massiva
2. Sem SSO: o MFA sozinho sem SSO cria um onboarding pesado (o colaborador tem de criar uma conta + ativar o MFA + importar o cofre)
3. Sem SCIM: as contas fantasma de colaboradores que saíram permanecem ativas durante meses (risco #1 de violação)
4. Sem formação ao vivo: apenas um vídeo on-demand → uma grande parte dos colaboradores nunca faz login
5. Sem política de desativação de export: um colaborador a demitir-se pode exportar todas as palavras-passe partilhadas num CSV não cifrado

Vê também o nosso guia de migração de LastPass para Bitwarden para organizações que migram pós-violação 2022.

14 — Veredicto 2026

Para a maioria das empresas 10-500 colaboradores, o Bitwarden Business a 5 USD/utilizador/mês é o melhor rácio simplicidade / preço / soberania. É a nossa escolha B2B #1 2026.

Para empresas sensíveis ao orçamento ou que já usam NordVPN B2B, o NordPass Business a 3,69 USD/utilizador/mês é a opção mais barata sem grande compromisso de segurança.

Para empresas com orçamento premium que querem a melhor UX e um SCIM Bridge self-hosted, o 1Password Business a 7,99 USD/utilizador/mês continua relevante.

Para organizações sensíveis ao RGPD ou avessas à jurisdição dos EUA, o Proton Pass Business a 7,99 USD/utilizador/mês com jurisdição suíça é único.

Para governo dos EUA, defesa, saúde dos EUA, o Keeper Enterprise continua a ser a escolha predefinida graças ao FedRAMP + FIPS 140-2.

Fontes e links úteis

• Preços oficiais Bitwarden Business
• Preços oficiais NordPass Business
• Preços oficiais 1Password Business
• Proton Pass Business oficial
• Keeper Enterprise oficial
• Dashlane Business oficial
• A nossa comparação Bitwarden vs. 1Password 2026
• O nosso guia Bitwarden Business SCIM provisioning
• O nosso tutorial self-host Vaultwarden
• A nossa comparação Proton Pass vs. Bitwarden
• A nossa análise NordPass 2026
• O nosso guia de migração de LastPass para Bitwarden
• O nosso pilar TOFU de gestores de palavras-passe consumer