Gestores de contraseñas: cómo elegir uno

Un gestor de contraseñas resuelve la contradicción de fondo: para estar seguro necesitas una contraseña distinta y larga en cada sitio, y eso es imposible de memorizar. El gestor se ocupa de recordarlas para que tú solo tengas que recordar una.

La objeción es siempre la misma, y es razonable: ¿no es peor poner todos los huevos en la misma cesta? La respuesta corta es que la alternativa real no es tener los huevos repartidos, sino tener el mismo huevo en todas las cestas. Vamos con la larga.

Cómo funciona por dentro

Todo se apoya en una idea llamada cifrado de conocimiento cero. Tu contraseña maestra no se envía nunca al servidor del gestor: se usa en tu dispositivo para derivar una clave de cifrado, y lo único que sale hacia la nube es un bloque de datos ya cifrado que el proveedor no puede leer.

Esto tiene dos consecuencias que conviene entender bien:

• Si el proveedor sufre una filtración, los atacantes se llevan datos cifrados. Con una contraseña maestra larga y única, ese material es inservible en la práctica. Con una maestra corta o reutilizada, no lo es.
• Si olvidas la maestra, nadie puede recuperarla. No hay un «he olvidado mi contraseña» que valga, porque el proveedor tampoco la tiene. Por eso todos ofrecen una clave o kit de recuperación al darte de alta: guárdalo fuera del propio gestor.

En la nube o en local

Los gestores con sincronización en la nube (Bitwarden, 1Password, Proton Pass) guardan tu bóveda cifrada en sus servidores y la replican en todos tus dispositivos. Es lo más cómodo con diferencia, y para la mayoría de la gente lo correcto.

Los gestores locales (KeePassXC y compatibles) guardan un archivo cifrado que administras tú: en tu disco, en tu propia nube o en un USB. Tienes control total y ninguna dependencia de terceros, a cambio de encargarte de las copias de seguridad y de la sincronización.

Ninguna de las dos opciones es «la buena». La pregunta útil es si prefieres delegar la infraestructura o gestionarla.

Qué mirar al elegir

1. Que esté en todos tus dispositivos. Un gestor que no funciona en tu móvil no lo vas a usar, y un gestor que no usas no protege nada.
2. Auditorías independientes y código abierto. No garantizan que no haya fallos, pero sí que alguien ajeno ha podido mirar. Los proyectos serios publican los informes.
3. Que puedas exportar tus datos. Es tu red de seguridad frente a un cambio de política de precios o al cierre del servicio. Compruébalo antes de meter 300 contraseñas, no después.
4. Verificación en dos pasos en la propia cuenta del gestor. Imprescindible: actívala el mismo día que te registres.
5. Que te resulte cómodo. El autorrelleno, el buscador y la extensión del navegador determinan si en tres semanas lo sigues usando o has vuelto a la libreta.

Opciones consolidadas, sin ningún interés por nuestra parte en que elijas una u otra: Bitwarden (código abierto, plan gratuito muy completo), 1Password (de pago, muy pulido y buen soporte familiar), Proton Pass (integrado con el ecosistema Proton) y KeePassXC (local, gratuito, para quien quiera control total).

¿Y el del navegador?

Es una opción legítima y muchísimo mejor que reutilizar contraseñas, con limitaciones concretas que analizamos en ¿es seguro guardar las contraseñas en el navegador?. En resumen: si hoy repites la misma contraseña en todas partes, empezar por el del navegador es una mejora enorme e inmediata.

Cómo empezar sin agobiarse

El error clásico es intentar migrar 200 cuentas en una tarde, aburrirse a la treinta y abandonarlo. Un plan que sí se termina:

1. Elige uno e instálalo en el ordenador y en el móvil el mismo día.
2. Crea la contraseña maestra con una frase de contraseña larga: es la única que vas a memorizar de verdad.
3. Guarda la clave de recuperación en papel, fuera del ordenador.
4. Importa lo que ya tenga el navegador y luego bórralo de allí para no acabar con dos copias que se desincronizan.
5. Cambia primero las cinco cuentas críticas: correo, banco, y las que guarden datos de pago. Genera cada nueva contraseña al azar.
6. Deja que el resto se vaya migrando solo. Cada vez que inicies sesión en algún sitio, cambia esa contraseña y guárdala. En un mes está hecho sin haber dedicado una tarde.

Antes de nada, mira dónde estás

Si quieres una foto rápida de la situación, pasa tus contraseñas actuales por el comprobador: te dice cuáles son débiles y cuáles aparecen en filtraciones conocidas. Y si alguna sale marcada, aquí van los pasos para arreglarlo en el orden correcto.

Fuentes

• OWASP, Password Storage Cheat Sheet. Cómo debe derivarse una clave a partir de una contraseña maestra, que es exactamente lo que hace un gestor en tu dispositivo.
• NIST SP 800-63B. El respaldo normativo al uso de gestores y a permitir pegar contraseñas en los formularios.
• Have I Been Pwned. El registro público de filtraciones que da la medida de por qué reutilizar sale caro.