Para: cualquiera que guarde las contraseñas de su panel de administración y sus cuentas en un documento u hoja de cálculo de Google Drive, preguntándose "¿es esto seguro?". Aquí va la respuesta honesta. Sin pasos de ataque — solo cómo guardarlas con seguridad.
La visión de este sitio: el problema no es 'usar Drive', es 'el texto plano'
Un error común es "ponerlo en la nube es malo". No lo es. El problema real es tenerlo en texto plano, en una lista. Sincronizar una bóveda de contraseñas cifrada (p. ej. un .kdbx de KeePass) vía Drive es una práctica normal y segura en todo el mundo — el archivo es solo texto cifrado sin su clave maestra.
A la inversa, por muy blindada que esté tu cuenta de Google, si el contenido es una tabla en texto plano, cualquiera que entre en esa cuenta lo lee todo. Piensa en términos de "legible sin tu clave, o no" — no en nube vs no-nube.
Por qué una lista en texto plano es peligrosa
Es tentador pensar "está en una cuenta de Google con una contraseña sólida, así que está bien". Pero una lista en texto plano acumula sus propios riesgos.
En concreto, cualquiera de estos filtra la lista entera.
Toma de la cuenta de Google
Conceder una app conectada maliciosa
Phishing por copiar-pegar manual
Proliferación de dispositivos y enlaces compartidos
Y el propio cifrado de Google Drive es del tipo que la propia Google puede atravesar, no un cifrado diseñado para secretos. Haz los secretos ilegibles sin tu clave antes de entregarlos a cualquier proveedor. Esa es la regla para manejar secretos (misma idea que en archivos .env y secretos).
Una escala de peligroso a seguro
Incluso "guardado en Drive" varía enormemente según lo que haya dentro.
✗ tabla en texto plano
escrita directamente en un documento/hoja
△ zip cifrado
archivo protegido con contraseña; es tan engorroso que se deja de usar
○ bóveda cifrada
un .kdbx de KeePass sincronizado vía Drive
◎ gestor de contraseñas
Bitwarden/1Password; autocompletado + monitoreo
Para los sitios habituales donde la gente guarda contraseñas, esto es si el contenido puede leerse una vez que alguien está dentro de tu cuenta de Google (o de tu ordenador).
| Dónde se guarda | ¿Legible una vez que alguien entra? | Veredicto |
|---|---|---|
| Escrito en un Documento u Hoja de Google | Sí, tal cual | Peligroso |
| Excel solo con protección de hoja | Sí (bloquea ediciones; no es cifrado) | Peligroso |
| Excel con «Cifrar con contraseña» | No sin la contraseña de apertura | Segunda mejor opción (sin autocompletado ni avisos) |
| .kdbx de KeePass sincronizado vía Drive | No sin la contraseña maestra | Seguro |
| Gestor de contraseñas de Google con cifrado en el dispositivo | Google dice que solo tú puedes leerlo | Seguro |
| Gestor de contraseñas dedicado (Bitwarden / 1Password) | No sin la contraseña maestra | Seguro |
Lo deciden dos cosas: si el contenido está cifrado y si sigues copiando las contraseñas a mano. Un Excel cifrado supera la primera prueba, pero como copias de la tabla cada vez, el riesgo de pegar en un sitio falso sigue ahí.
Cómo guardarlas correctamente
La mejor respuesta es pasarte a un gestor de contraseñas dedicado. Estos pasos te sacan de una lista en texto plano.
Usa un gestor de contraseñas dedicado
Haz la contraseña maestra larga y única
Pon MFA resistente al phishing en el gestor y en tu cuenta de Google
Una vez migrado, borra la lista en texto plano para siempre
Pásate a passkeys donde puedas
Una lista en texto plano en Google Docs
- una cuenta tomada y todo se filtra
- puedes pegar en un sitio falso a mano (sin defensa antiphishing)
- sin detección de brechas, autocompletado ni versionado
- el acceso de apps conectadas puede leer el contenido
Un gestor de contraseñas dedicado
- el contenido sigue cifrado al sincronizar (el proveedor no puede leerlo)
- no autocompleta en un dominio falso = resistente al phishing
- generación robusta, monitoreo de brechas e historial integrados
- protegido por una contraseña maestra más MFA
Si aun así quieres usar Drive
Hay dos condiciones mínimas.
- Guarda solo un archivo de bóveda cifrado (.kdbx, etc.); nunca un documento/hoja en texto plano
- Pon MFA resistente al phishing en la cuenta de Google
Con ambas, Drive pasa a ser solo un sitio que sincroniza texto cifrado, y el riesgo baja drásticamente.
Pasar una hoja de cálculo a un gestor de contraseñas
No hace falta volver a escribir la lista entrada por entrada. Un archivo CSV (un formato de tabla simple) te permite importarla de una vez.
Elige el destino y descarga como CSV
En Hojas de cálculo de Google: Archivo > Descargar > Valores separados por comas (.csv). Este CSV es la propia lista sin cifrar, así que planea importarlo y borrarlo el mismo día.
Cambia los nombres de las columnas para que coincidan con el importador
El Gestor de contraseñas de Google necesita url, username y password como encabezados de la primera fila. Bitwarden tiene sus propios encabezados (name, login_uri, login_username, login_password, etc.). Si los nombres no coinciden, la importación falla, así que sigue el ejemplo de la página de ayuda de tu gestor.
Impórtalo
En el Gestor de contraseñas de Google, ve a passwords.google.com > Configuración > Importar. En la app web de Bitwarden, usa Tools > Import (Herramientas > Importar). Google admite hasta 3.000 contraseñas de una vez.
Borra el CSV y la lista original
Borra el CSV descargado y vacía la papelera de reciclaje de tu ordenador. Tanto Google como Bitwarden indican que se borre este archivo tras importar. Borra también la hoja original de Drive y luego elimínala definitivamente de la papelera de Drive (se elimina automáticamente a los 30 días, pero hasta entonces sigue ahí).
Cambia primero las importantes
Empezando por las cuentas donde una filtración haría más daño (correo, banca en línea, paneles de administración de sitios), cambia a contraseñas nuevas generadas por el gestor de contraseñas. Mientras estuvieron en la lista, cualquiera dentro de tu cuenta de Google podía leerlas.
Cómo revisar tu propia configuración
Incluso después de «lo he pasado todo», a menudo quedan copias antiguas y ajustes de uso compartido. Comprueba estas cuatro cosas en tu propia cuenta.
Busca la palabra contraseña en Drive
La búsqueda de Drive mira el texto dentro de los archivos, no solo los nombres. Busca «contraseña», «password», «pw», «login» y similares, y añade type:spreadsheet o type:document para limitarla a hojas y documentos. Revisa también las unidades compartidas y los archivos que otros han compartido contigo.
Comprueba el ajuste de uso compartido de lo que encuentres
Selecciona el archivo, abre Compartir y mira si el Acceso general está en «Cualquier persona que tenga el enlace». Con ese ajuste, cualquiera que tenga el enlace puede abrir el archivo sin iniciar sesión en una cuenta de Google. Si todavía no puedes borrarlo, cámbialo a Restringido.
Revisa las apps que pueden acceder a tu cuenta
La página de apps vinculadas de tu Cuenta de Google (myaccount.google.com/linkedapps) lista las apps a las que has dado acceso a tu Cuenta de Google. Quita el acceso a todo lo que ya no uses o no reconozcas.
Revisa tu carpeta de Descargas y cualquier archivo de Excel
Busca exportaciones antiguas .csv o .xlsx. Si sigues guardando una lista en Excel, asegúrate de que usa Archivo > Información > Proteger libro > Cifrar con contraseña, no solo la protección de hoja.
De paso, confirma que el inicio de sesión de tu cuenta de Google usa una passkey o la verificación en dos pasos (→ guía de MFA).
Errores habituales y cómo corregirlos
- Borrar las filas pero conservar el archivo: los Documentos y Hojas de Google guardan un historial de versiones, y las versiones anteriores pueden abrirse y restaurarse. Tras migrar, borra el archivo entero, o borra el historial de versiones como propietario.
- Confiar en la protección de hoja: Microsoft dice que no es una función de seguridad. Para que el contenido sea ilegible hay que cifrar el archivo entero.
- Dejar el CSV de la migración en Descargas: cualquiera que pueda usar el ordenador puede abrirlo. Bórralo justo después de importar.
- Escribir la contraseña de apertura del archivo cifrado en el mismo Drive: si alguien entra en la cuenta de Google, obtiene ambas cosas. Guarda esa única contraseña en la cabeza o en papel en casa.
- Usar una hoja de cálculo para compartir contraseñas con la familia o un equipo: usa en su lugar la función de compartir del gestor de contraseñas. Cuando alguien se va, puedes quitarle solo su acceso.
Un ejemplo real: lo que se podía leer en un sitio llevó al siguiente conjunto de credenciales
En junio de 2026, la plataforma japonesa de micromecenazgo CAMPFIRE publicó los resultados de su investigación sobre un acceso no autorizado. Según la empresa, una credencial de GitHub emitida por un empleado fue usada indebidamente por un tercero, y la información visible en GitHub se usó después para buscar y obtener credenciales de un entorno en la nube usado para la operativa interna. La empresa dice que pueden haber quedado expuestos 225.846 registros de usuarios afectados, sin duplicados (ver nuestro artículo sobre la brecha de CAMPFIRE, en inglés).
Ese caso trata del entorno de desarrollo de una empresa, pero el patrón es el mismo que el de una lista personal de contraseñas. Cuando alguien entra en una cuenta y encuentra allí otras credenciales legibles, el daño no se queda en esa cuenta. Guardar una lista de contraseñas en texto plano dentro de tu cuenta de Google significa que el siguiente conjunto de credenciales ya está esperando a quien entre.
Qué hace este sitio
Este sitio mantiene los secretos — contraseñas, claves, cadenas de conexión — fuera de los documentos compartidos, fuera del repositorio de código y fuera de las notas de traspaso, nunca en texto plano (→ mantener los secretos fuera de git). Los inicios de sesión del día a día viven en un gestor de contraseñas, y las cuentas importantes se refuerzan por partida doble con MFA resistente al phishing. La razón es simple: nunca construyas un estado en el que vulnerar un solo sitio lo exponga todo. Una lista en texto plano es una forma típica de crear exactamente ese estado, así que la evitamos.
Sigue leyendo
- Comprobar filtraciones: cómo comprobar si tu contraseña se ha filtrado (Have I Been Pwned)
- Datos: ¿cómo guarda la gente sus contraseñas? ── lo que muestran los datos de las encuestas y la forma segura
- Cómo funciona: cómo guardar contraseñas con seguridad (hashing + salt) ── tras tu propio almacenamiento, cómo debería guardarlas el servicio
- Glosario: qué es el hashing / qué es un salt
- Lo básico: la lista de comprobación de la base de seguridad (las cuentas que hay que proteger primero, proteger los secretos)
- Glosario: archivos .env y secretos
- Caso real: la brecha de CAMPFIRE (de GitHub a una nube interna) (en inglés)
- Autoalojamiento: mantener los secretos fuera de git / Git autoalojado vs GitHub
- Herramienta: comprobador de fortaleza de contraseñas
Fuentes
- Soporte de Microsoft, "Protection and security in Excel" (la protección de hojas no es una función de seguridad; cifrado de archivos): support.microsoft.com
- Ayuda de Google Drive, "Find files in Google Drive": support.google.com / "Share files from Google Drive" (Acceso general): support.google.com / "Delete and restore files" (la papelera se conserva 30 días): support.google.com
- Ayuda de los Editores de Documentos de Google, "Check activity and file versions" (historial de versiones y cómo borrarlo): support.google.com
- Ayuda de Cuenta de Google, "Manage links between your Google Account and third-party apps": support.google.com
- Ayuda de Cuenta de Google, "Import passwords" (encabezados del CSV, límites, borrar tras importar): support.google.com / "On-device encryption": support.google.com
- Ayuda de Bitwarden, "Import Data to Bitwarden" y "Condition a Bitwarden .csv or .json": bitwarden.com / bitwarden.com
- CAMPFIRE, Inc., resultados de la investigación sobre el acceso no autorizado (2 de junio de 2026, en japonés): campfire.co.jp