Cómo elegir un gestor de contraseñas: qué comparar antes de decidir

Un gestor de contraseñas sirve para guardar credenciales y ayudarte a utilizar contraseñas distintas en cada servicio. La ventaja cotidiana es no tener que memorizar todas ni reutilizar una misma clave. La Electronic Frontier Foundation (EFF) explica que estos programas pueden generar contraseñas, almacenarlas en una bóveda y completar los datos de inicio de sesión; muchos también sincronizan la información entre dispositivos. El objetivo no es encontrar la aplicación con más funciones, sino una que puedas usar de forma constante y cuyo acceso puedas mantener. (EFF)

Antes de mirar marcas, anota dónde inicias sesión y qué dispositivos utilizas: por ejemplo, un móvil y un ordenador, varios navegadores o equipos compartidos en casa. Añade dos preguntas: ¿necesitas compartir credenciales con otra persona?, y ¿guardarás solo contraseñas o también notas y otros datos? Estas respuestas cambian qué funciones merecen atención. Un uso individual sencillo no requiere necesariamente las mismas opciones que un grupo familiar o un equipo de trabajo; esa es una distinción práctica, no una clasificación de seguridad.

También conviene reconocer el intercambio que implica concentrar credenciales. Una bóveda facilita utilizar claves distintas, pero reúne información sensible en una cuenta y una aplicación. La EFF advierte que eso puede crear un punto único de fallo y recomienda prestar atención a la fortaleza de la contraseña principal y a la autenticación de dos factores. La comodidad y el riesgo no se evalúan por separado: cuanto más dependa tu acceso de una sola cuenta, más importante es entender cómo protegerla y qué hacer si no puedes entrar. (EFF)

La compatibilidad no se resuelve viendo una lista general de sistemas operativos. Comprueba la documentación del servicio para cada dispositivo y navegador que utilizas, y confirma si ofrece una aplicación, una extensión de navegador o ambas. Después verifica que las funciones importantes —como guardar credenciales nuevas, rellenar inicios de sesión y sincronizar cambios— estén disponibles en esa combinación concreta. La disponibilidad puede variar entre plataformas; no des por hecho que una característica descrita en la página principal existe en todas las versiones.

Haz la prueba con tu recorrido habitual: abre una cuenta desde el teléfono, comprueba si la credencial aparece en el ordenador y prueba el inicio de sesión desde el navegador que usas de verdad. Si alternas entre varios navegadores, confirma que el gestor los admite sin hacerte depender de un único flujo incómodo. También valora qué ocurre en dispositivos prestados o compartidos: quizá prefieras no dejar una sesión abierta ni activar el autorrelleno en un perfil que no controlas. Son criterios de uso que conviene verificar en la documentación, no asumir por el nombre de una función.

La sincronización es útil, pero pregunta cómo se comporta cuando un dispositivo está sin conexión o cuando cambias una contraseña en dos sitios a la vez. Si el proveedor documenta el funcionamiento sin conexión y la resolución de conflictos, revisa esos detalles. Si no lo explica con claridad, anótalo como una duda para consultar antes de migrar una bóveda importante. La compatibilidad efectiva es la que puedes comprobar en tu combinación de equipos, no la que se deduce de una promesa genérica de disponibilidad en varios dispositivos.

Distingue entre la contraseña principal que protege la bóveda y el método adicional para iniciar sesión en la cuenta del servicio. No son necesariamente la misma cosa. Revisa si el proveedor admite autenticación multifactor, qué métodos ofrece y qué pasos exige para activarlos. La CISA recomienda considerar la autenticación multifactor porque añade una comprobación además de la contraseña; la disponibilidad de un método concreto, como una llave de seguridad, debe confirmarse en la documentación del gestor. (CISA)

Lee con especial cuidado la información de recuperación. Averigua qué opciones existen si olvidas la contraseña principal, pierdes el teléfono o ya no puedes utilizar el segundo factor. Recuperar el acceso puede tener implicaciones de seguridad: un proceso que permite restablecer una cuenta con facilidad también debe explicar qué puede recuperar el proveedor y qué depende de ti. No interpretes la palabra «recuperación» como garantía de que siempre será posible restaurar todo el contenido; busca qué procedimiento está documentado y qué requisitos impone.

El NIST publicó recomendaciones sobre autenticación digital, pero la versión SP 800-63-3 enlazada en parte de la documentación ha sido sustituida por SP 800-63-4 desde el 1 de agosto de 2025. Por ello, esa edición anterior no debe presentarse como la guía actual. Para comparar un producto, prioriza la documentación vigente del proveedor y las referencias actuales del NIST; una certificación o una frase de marketing, por sí sola, no demuestra que una configuración concreta satisfaga todas tus necesidades. (NIST, aviso de sustitución) La recuperación merece el mismo examen que el inicio de sesión: una bóveda segura a la que no puedes volver puede convertirse en un problema operativo serio.

Antes de trasladar credenciales, busca cómo exportar la bóveda y qué formato ofrece el servicio. Comprueba si la exportación incluye todos los elementos que realmente guardas —por ejemplo, notas o campos personalizados— y si existe una herramienta de importación compatible en el gestor alternativo que considerarías. La existencia de un botón de exportación no basta para demostrar que una migración futura será sencilla: las estructuras y los campos pueden diferir entre servicios.

Pregunta también si la exportación se cifra o si genera un archivo legible sin protección, y revisa las instrucciones oficiales sobre cómo guardarlo y eliminarlo. Un archivo exportado en texto claro puede exponer muchas credenciales si queda en una carpeta sincronizada, un equipo compartido o una copia de seguridad que no habías previsto. No mantengas copias innecesarias: una vez verificada la migración, sigue las indicaciones del proveedor para retirar con seguridad los archivos temporales. No afirmes que un formato concreto es universal sin confirmarlo en la documentación de ambos servicios.

La portabilidad es una prueba de control sobre tus datos, no solo una función de comodidad. Antes de cambiar de gestor, conserva el acceso al servicio original hasta verificar que las entradas importantes se importaron correctamente y que puedes iniciar sesión con ellas. Compara algunas cuentas de distintos tipos, no solo una contraseña sencilla. Este proceso reduce el riesgo de descubrir después que faltan notas, direcciones web o campos que sí utilizabas. Si la documentación no explica con precisión qué se exporta, considera esa falta de claridad un coste práctico de la elección.

Las listas de prestaciones pueden mezclar funciones centrales con añadidos que quizá nunca uses. Separa lo imprescindible —por ejemplo, soporte para tus dispositivos, sincronización y exportación— de lo deseable, como compartir elementos o guardar otros tipos de información. Para comparar planes, consulta las condiciones vigentes en la web oficial: qué incluye el nivel gratuito, si existe límite de dispositivos o elementos, qué funciones requieren suscripción y cómo se cobra la renovación. Los precios pueden cambiar por país, moneda, promociones y fecha; sin una fuente actual del vendedor, no es responsable presentar una cifra como universal.

Una tabla propia puede ayudarte a evitar que una función llamativa eclipse una carencia importante. Puntúa solo aspectos que hayas confirmado, y marca «no documentado» cuando no encuentres respuesta en la información oficial. No conviertas esa falta de información en una afirmación de que el servicio carece de la función: es una incertidumbre que debes resolver. El coste útil es el del plan que cubre tus necesidades reales, no el precio de entrada aislado ni el valor de una lista larga de extras.

Al comparar privacidad y seguridad, busca explicaciones concretas sobre el cifrado, el acceso del proveedor a los datos, la protección de la cuenta y las actualizaciones. La EFF recuerda que los gestores no eliminan todos los riesgos y que la configuración y los hábitos de uso también cuentan. No tomes una etiqueta como «cifrado de extremo a extremo» como respuesta completa sin entender a qué datos y procesos se aplica. Cuando la información técnica no esté clara, pregunta al proveedor o descarta esa opción si el dato es decisivo para ti. (EFF)

Antes de comprometerte, revisa estos puntos en la documentación actual del servicio y en las condiciones de tu mercado:

• Dispositivos: están cubiertos el móvil, el ordenador y los navegadores que utilizas habitualmente.
• Acceso: entiendes cómo se protege la cuenta y qué métodos de autenticación adicionales admite.
• Recuperación: conoces las opciones si pierdes un dispositivo o no recuerdas la contraseña principal.
• Portabilidad: sabes cómo exportar los datos, qué incluye el archivo y cómo protegerlo.
• Coste y límites: las funciones que necesitas están disponibles en el plan y país que usarás.
• Uso compartido: las reglas de acceso y revocación se ajustan a las personas con quienes compartirías información, si corresponde.

Si el servicio permite probarlo sin migrar toda tu información de inmediato, empieza con unas pocas cuentas de bajo impacto. Comprueba que el gestor guarda y rellena las credenciales en los dispositivos previstos, y prueba la exportación siguiendo las instrucciones oficiales antes de confiarle toda la bóveda. No uses credenciales reales en herramientas de prueba de terceros ni guardes un archivo exportado sin protección. Una prueba limitada permite descubrir fricciones de uso; no equivale a una auditoría de seguridad independiente ni demuestra que el servicio sea invulnerable. Mantén un plan de transición: conserva temporalmente el acceso al gestor anterior hasta comprobar que las entradas esenciales funcionan en el nuevo sistema y que entiendes cómo recuperar la cuenta.