"Un gestor de contraseñas — si comprometen ese único sitio, ¿no se acaba todo?" Aquí va una respuesta honesta al temor más común, partiendo de cómo funciona. Sin pasos de ataque — solo por qué es seguro y cómo elegir el adecuado para ti.
Qué protege el cifrado y qué riesgos quedan
El temor es real: si comprometen ese único sitio, podría filtrarse todo. El cifrado de conocimiento cero resuelve la mayor parte.
La única regla práctica que se deriva: haz la contraseña maestra larga, única y que nunca salga de tu dispositivo. Una débil deja margen para forzar por fuerza bruta una bóveda robada sin conexión con el tiempo. Calibra su fortaleza con el comprobador de fortaleza de contraseñas.
El MFA ayuda a evitar accesos no autorizados a la cuenta; no detiene los intentos de adivinar la contraseña de datos cifrados robados. La seguridad del dispositivo, el navegador y las aplicaciones también es necesaria. El modelo de amenazas del proveedor también aborda los dispositivos comprometidos y la distribución del cliente web.
Las tres protecciones que de verdad ayudan
Aquí hay más valor que "una bóveda que no tienes que memorizar".
Lo más destacado es el autocompletado resistente al phishing. A la gente le cuesta detectar un dominio falso casi idéntico, pero un gestor no rellena salvo que coincida el dominio registrado — así que "anda, no rellena" se convierte en tu pista de que el sitio es falso. Copiar a mano desde una hoja de cálculo no tiene nada de esto.
Nube vs local — elige según el uso
Los productos aquí citados usan cifrado en el dispositivo. Revisa en cada producto y su configuración los campos cifrados, los métodos de recuperación y las condiciones de seguridad de la sincronización y las copias de seguridad. Una diferencia principal es quién gestiona la sincronización.
Nube (Bitwarden / 1Password)
- Sincronización automática y compartición entre todos los dispositivos
- Las vías de copia de seguridad y recuperación vienen integradas
- El contenido permanece cifrado (el proveedor no puede leerlo)
- Poca fricción = fácil de seguir usando — conviene a la mayoría
Local (KeePass, etc.)
- Colocas tú mismo el archivo cifrado (.kdbx) en Drive/etc.
- Para quien quiere cero implicación de un proveedor
- La sincronización y la copia de seguridad son tu responsabilidad
- Prioridad offline, gestión totalmente manual
Ambos están construidos de forma segura. Elige según lo que vayas a seguir usando. Una herramienta sencilla que usas a diario te protege más que una perfecta que abandonas.
Cómo elegir con seguridad (lista de comprobación)
Conocimiento cero (cifrado en el lado del dispositivo)
MFA para el inicio de sesión de la cuenta del gestor de contraseñas
Existe una vía de recuperación
Cubre todos los dispositivos que usas
Cómo empezar y migrar
Elige uno e instálalo
Haz la contraseña maestra larga y única
MFA para la cuenta del gestor, el correo de recuperación y las cuentas importantes
Importa las contraseñas existentes y luego mejora primero las débiles
Elimina las copias en texto plano para siempre
Pásate a passkeys donde se admitan
Gestor dedicado frente a integrado frente al navegador
Además de los gestores en la nube y locales, hay una tercera opción: el almacén de contraseñas integrado en tu sistema operativo o navegador.
| Dedicado (nube) | Dedicado (local) | Integrado en el sistema (app Contraseñas del iPhone, Gestor de contraseñas de Google) | |
|---|---|---|---|
| Coste | Plan gratuito o de pago | Gratis (KeePass, etc.) | Sin coste adicional |
| Dispositivos | Funciona en Windows, Mac, iPhone y Android | Tú organizas la sincronización | Sobre todo los dispositivos y el navegador de un solo fabricante |
| Compartir en familia o equipo | Muy bueno | Requiere esfuerzo | Parcial |
| Avisos de filtración y reutilización | Sí (según producto y plan) | Mediante complementos | Sí |
| Ideal para | Plataformas mezcladas, compartir | Quien quiere gestionar la sincronización por su cuenta | Todo en dispositivos de un solo fabricante |
Los almacenes integrados también dan a cada servicio su propia contraseña si usas la generación y el autocompletado. Pasar a un gestor dedicado cuando necesites cruzar plataformas es un orden perfectamente válido.
Cómo revisar tu propia configuración
No te quedes en instalarlo. Revisa estos ajustes una vez.
Comprueba cómo se deriva tu clave (KDF)
Cuanto más pesada sea la función de derivación de claves (KDF) que convierte tu contraseña maestra en una clave, más difícil es forzar por fuerza bruta el texto cifrado robado. En Bitwarden, abre en la aplicación web "Settings" → "Security" → "Keys" (Configuración → Seguridad → Claves); el valor predeterminado es PBKDF2 SHA-256 con 600.000 iteraciones, y Argon2id también está disponible. En cuentas antiguas, confirma que el ajuste coincide con la recomendación actual.
Guarda la información de recuperación fuera del gestor de contraseñas
1Password usa una Secret Key de 34 caracteres además de tu contraseña maestra, impresa en tu Emergency Kit. En Bitwarden, apunta tu código de recuperación del inicio de sesión en dos pasos. No guardes ninguno de los dos solo dentro de la bóveda; imprímelo y guárdalo en un lugar fijo de casa.
Comprueba el MFA del propio gestor de contraseñas
Prefiere passkeys, una llave física o una app de autenticación antes que los SMS (→ guía de MFA).
Comprueba el tiempo de bloqueo automático
Asegúrate de que la extensión del navegador y las apps se bloquean tras un periodo de inactividad o al cerrar el navegador. Mantenlo corto en un PC compartido con la familia.
Errores habituales y cómo corregirlos
- Usar la misma contraseña maestra que en otro servicio: una filtración allí expone la llave de tu bóveda. Tu contraseña maestra no debe usarse en ningún otro sitio.
- Guardar los códigos de recuperación o el Emergency Kit solo dentro de la bóveda: no podrás llegar a ellos si te quedas fuera. Guarda una copia fuera, por ejemplo en papel.
- Dejar activado el guardado de contraseñas del navegador tras migrar: las contraseñas acaban repartidas en dos sitios y las antiguas se quedan. Tras migrar, desactiva el guardado del navegador y borra lo que tenga almacenado.
- Alejarte con la bóveda desbloqueada: configura un bloqueo automático corto.
Ejemplo real: qué siguió protegido cuando comprometieron a un proveedor
En diciembre de 2022, LastPass informó de que un atacante había copiado una copia de seguridad de los datos de las bóvedas de sus clientes. Según la empresa, los nombres de usuario de sitios web, las contraseñas, las notas seguras y los datos de rellenado de formularios seguían cifrados con AES de 256 bits y solo podían descifrarse con una clave derivada de la contraseña maestra de cada usuario.
El mismo aviso también indicaba:
- Las URL de los sitios web de la bóveda estaban en una parte de los datos sin cifrar
- También se copió información de la cuenta: nombres de empresa, nombres de usuarios finales, direcciones de correo, direcciones de facturación, números de teléfono y las direcciones IP desde las que se conectaban los clientes
- Con la configuración predeterminada (PBKDF2 con 100.100 iteraciones) y una contraseña maestra robusta, adivinarla sería extremadamente difícil
La conclusión: el diseño de conocimiento cero protege el contenido, pero lo que cuenta al final es la fortaleza de tu contraseña maestra y tu ajuste de derivación de claves. Además, saber en qué sitios tienes cuenta puede usarse para correos de phishing que se hagan pasar por ellos. Si un proveedor anuncia una brecha, plantéate cambiar tu contraseña maestra y las contraseñas de tus cuentas importantes.
La visión de este sitio: protege la contraseña maestra y el MFA de la bóveda, y elige una herramienta que vayas a seguir usando
En este sitio nunca guardamos secretos (contraseñas, claves, datos de conexión) en texto plano — ni en documentos compartidos, ni en código — y gestionamos los inicios de sesión del día a día en un gestor de contraseñas. Además de una contraseña maestra larga y única y una configuración de cifrado adecuada, usamos MFA para evitar accesos no autorizados. Comprobamos por separado las actualizaciones de dispositivos y aplicaciones, el bloqueo automático y el almacenamiento de la información de recuperación. Elige una herramienta tanto por sus condiciones de seguridad como por la posibilidad de seguir usándola.
Sigue leyendo
- Comprueba filtraciones: cómo saber si tu contraseña se ha filtrado (Have I Been Pwned)
- Almacenamiento: guardar contraseñas con seguridad (deja el texto plano)
- Cómo funciona: cómo debería guardarlas el servicio (hashing + salt)
- Dos pasos: guía de autenticación multifactor (MFA)
- Sin contraseña: qué es una passkey (migra donde se admita)
- Desde el lado de quien implementa: fallos de diseño en el restablecimiento de contraseñas — una contraseña robusta no sirve si el restablecimiento es el punto débil
- Base: lista de comprobación de la base de seguridad
- Herramienta: comprobador de fortaleza de contraseñas
- Los datos: cómo guarda realmente la gente sus contraseñas (datos de encuestas)
- Tras una filtración: cómo borrar el historial de navegación, las cookies y las contraseñas guardadas (Chrome, Safari, Edge, Firefox)
Fuentes
- LastPass, "Notice of Recent Security Incident" (22 de diciembre de 2022): blog.lastpass.com
- Bitwarden Help, "Encryption Key Derivation": bitwarden.com
- Bitwarden, "Security Whitepaper", modelo de amenazas: bitwarden.com
- 1Password Support, "About your Secret Key": support.1password.com
- NIST, "SP 800-63B-4" (agosto de 2025), que permite los gestores de contraseñas y el pegado: pages.nist.gov
Historial de actualizaciones
- 2026-10-20: Se limitaron las garantías sobre filtraciones de datos cifrados y se aclaró la distinción entre MFA, resistencia al descifrado y seguridad del dispositivo. Esta corrección limitada no supone volver a verificar todas las cifras publicadas sobre incidentes ni las funciones de los productos.