Cómo elegir un gestor de contraseñas: seguridad, recuperación y exportación

Un gestor de contraseñas guarda credenciales en una bóveda digital y ayuda a crear y utilizar claves distintas para cada cuenta. Esto puede reducir la necesidad de reutilizar contraseñas o recordarlas todas, pero no convierte por sí solo una cuenta en inexpugnable. La seguridad sigue dependiendo de decisiones como proteger el acceso al gestor, mantener los dispositivos actualizados y desconfiar de enlaces o páginas de inicio de sesión sospechosos. En la práctica, el gestor facilita una rutina más ordenada: en lugar de memorizar cada clave, puedes centrarte en proteger el acceso a la bóveda y revisar cómo la usas.

Conviene separar tres funciones que a veces se mezclan en la publicidad: almacenar credenciales, completar formularios y facilitar el inicio de sesión. Un gestor puede ofrecer las tres, pero que complete una contraseña automáticamente no demuestra que el servicio de destino sea legítimo. Antes de aceptar una sugerencia de guardado o autocompletado, comprueba el dominio y evita introducir secretos en una página abierta desde un enlace inesperado. El autocompletado es una comodidad, no un método para confirmar la identidad de un sitio; verifica primero que estás en la página que pretendías visitar.

El gestor tampoco sustituye los mecanismos de seguridad de cada cuenta. Cuando un servicio permite autenticación multifactor, puede ser útil activarla: añade una comprobación adicional al inicio de sesión, aunque no elimina todos los riesgos. La guía de CISA presenta la autenticación multifactor como una protección adicional a la contraseña; es un principio general, no una garantía de que cualquier método o configuración tenga idéntico nivel de protección. (1) Por eso, considera la autenticación multifactor como una capa más dentro de un conjunto de medidas, no como una razón para descuidar la contraseña o el dispositivo.

Las expresiones «cifrado de extremo a extremo» o «conocimiento cero» pueden ser puntos de partida para investigar, pero no bastan para comparar servicios. Busca documentación que explique qué datos se cifran, dónde se produce el cifrado y qué información sigue siendo necesaria para operar la cuenta. Comprueba también si el proveedor describe el tratamiento de los metadatos, la sincronización entre dispositivos y las copias de seguridad. Si una explicación no distingue estos aspectos, anótalo como una incógnita, no como prueba de una vulnerabilidad ni de una protección superior. Así podrás comparar lo que cada proveedor documenta, en vez de atribuir el mismo significado a expresiones que pueden aparecer en contextos distintos.

Una descripción técnica tampoco equivale a una auditoría independiente ni demuestra cómo se comporta cada versión del producto. Para evaluar la evidencia, fíjate en quién publica el documento, qué componente cubre y cuándo fue actualizado. Una página de ayuda del propio proveedor es adecuada para confirmar qué función declara ofrecer; no basta por sí sola para validar de forma independiente la implementación o la resistencia frente a todos los ataques. Conviene leerla teniendo presente su propósito: explicar el uso de una función no es lo mismo que aportar una evaluación externa de su seguridad.

La publicación NIST SP 800-63B pertenece a un conjunto de directrices de identidad digital centradas en requisitos para la autenticación remota. Su alcance sirve para entender que autenticación y almacenamiento de contraseñas son cuestiones relacionadas, pero no idénticas: una guía de autenticación no certifica ni recomienda automáticamente un gestor comercial. (2) Compara explicaciones concretas, no etiquetas: si no puedes averiguar qué ocurre con la bóveda cuando se bloquea el acceso a la cuenta, considera que falta una pieza importante para decidir. Anota también qué información no has podido confirmar; esa distinción ayuda a no convertir una ausencia de documentación en una conclusión sobre el funcionamiento del producto.

La recuperación es una de las preguntas más importantes antes de crear una bóveda. Si se olvida la contraseña principal, un servicio puede no tener una forma de restablecerla que conserve los datos cifrados; otro puede ofrecer mecanismos de recuperación, sujetos a requisitos y configuraciones concretos. No deduzcas el comportamiento a partir de una frase comercial: localiza el procedimiento documentado para tu tipo de cuenta y distingue recuperar el acceso de restablecer la contraseña del propio servicio. Son preguntas distintas y la respuesta a una no aclara necesariamente la otra.

Lee qué condiciones se aplican y qué se recupera exactamente. ¿Se recupera la cuenta, la bóveda completa o solo el acceso a ciertos elementos? ¿Se requiere configurar antes un contacto de emergencia, un dispositivo de confianza, una clave de recuperación o una función de administración? ¿El método está disponible para cuentas individuales, familiares y de empresa por igual? Si las respuestas dependen del plan, verifica las condiciones del nivel que realmente contratarías. Es útil revisar no solo qué pasos se siguen, sino también qué requisitos deben estar preparados con antelación.

Antes de guardar información importante, prepara un método de contingencia que no dependa únicamente del dispositivo que usas a diario. Guarda los códigos de recuperación fuera de la bóveda si el proveedor los ofrece y mantenlos en un lugar protegido. No compartas la contraseña principal ni códigos de un solo uso para “probar” la recuperación. La documentación consultada de Bitwarden, por ejemplo, incluye páginas diferenciadas sobre acceso a la cuenta, contraseña maestra y métodos de inicio de sesión; eso ilustra por qué hay que revisar el procedimiento preciso del producto, no asumir que todos los gestores funcionan igual. (3) Tener a mano las instrucciones pertinentes puede ayudar a entender qué opciones existen antes de necesitarlas, sin dar por hecho que un mecanismo concreto esté disponible para todas las cuentas.

La compatibilidad práctica puede importar más que una función avanzada que nunca utilizarás. Comprueba que exista una aplicación o extensión mantenida para cada entorno que uses: ordenador, navegador y móvil. Revisa también si la sincronización funciona en los dispositivos que tienes y qué sucede cuando cambias de plataforma. Una lista de sistemas compatibles debe referirse a versiones vigentes y a las funciones que necesitas, no solo a la disponibilidad de una descarga. Para que la comprobación sea útil, contrasta la compatibilidad con tus propios dispositivos y el uso concreto que esperas hacer.

Las passkeys son credenciales que pueden permitir iniciar sesión sin escribir una contraseña tradicional, pero su disponibilidad y gestión dependen de los servicios y dispositivos implicados. No confundas guardar una passkey en un gestor con que todos los sitios acepten passkeys, ni con que puedas importar o exportar esas credenciales igual que una lista convencional de contraseñas. Si quieres usarlas, busca documentación específica sobre creación, sincronización, recuperación y exportación, y comprueba si se refiere al sistema operativo, al navegador o al gestor. Separar esos componentes permite ver dónde se ofrece cada función y evita asumir que una passkey guardada podrá trasladarse del mismo modo que otros datos.

Para una comparación ordenada, haz una prueba de compatibilidad sin introducir credenciales sensibles: confirma que la aplicación aparezca en el canal oficial, que la extensión corresponda al navegador correcto y que el proveedor describa actualizaciones y soporte. La presencia de una aplicación no garantiza que todas las funciones estén disponibles en ella. Anota, por ejemplo, si el autocompletado, el desbloqueo biométrico y la gestión de passkeys se ofrecen en cada plataforma que usarás; no des por hecho que las funciones sean idénticas. Comprobar cada función por separado ayuda a evitar sorpresas después de instalar el gestor o cambiar de dispositivo.

Poder exportar los datos es una forma de reducir la dependencia del proveedor, pero no significa que una migración sea automática ni inocua. Averigua qué elementos incluye la exportación, en qué formato se genera y si el procedimiento varía según el tipo de cuenta. Las bóvedas pueden contener algo más que nombres de usuario y contraseñas: notas, campos personalizados, archivos adjuntos, datos compartidos o elementos de organización pueden seguir reglas diferentes. Comprueba el alcance antes de iniciar la transferencia, porque el hecho de que exista una opción de exportación no aclara por sí solo qué información abarcará.

La documentación de Bitwarden, por ejemplo, describe por separado la exportación de elementos de organización. Ese documento confirma que el alcance y los permisos de exportación pueden depender del contexto organizativo; no demuestra que todos los planes o gestores incluyan las mismas opciones. (4) Si compartes una bóveda con familiares o compañeros, revisa también quién tiene permiso para exportar y cómo se gestionan los elementos compartidos antes de dar por resuelto el asunto. De ese modo puedes comprobar tanto qué se puede trasladar como quién está autorizado a hacerlo.

Un archivo exportado puede contener secretos legibles. Por eso, no lo dejes en una carpeta de descargas, correo electrónico o almacenamiento compartido sin protección. Comprueba si el proceso ofrece formatos cifrados, dónde se guarda el archivo y cómo eliminarlo después de importar los datos. Antes de cambiar, una lista útil de verificación es: confirmar los elementos incluidos, entender las limitaciones del formato, asegurar el archivo durante la transferencia y comprobar en el destino que los datos necesarios llegaron correctamente. Evita borrar la bóveda original hasta completar esas comprobaciones. Revisar el resultado en el nuevo servicio, y no solo que la importación haya terminado, permite detectar si algún elemento que te importa quedó fuera.

No compares solo el precio anunciado. Revisa qué funciones están incluidas en cada plan y cuáles requieren pago: número de dispositivos, uso compartido, almacenamiento de archivos, opciones de recuperación, administración familiar o soporte. Los límites y condiciones pueden cambiar por país, tipo de cuenta o fecha; verifica la página comercial y la documentación vigente antes de pagar. Si una función esencial solo está disponible en un nivel superior, calcula el coste correspondiente a tu situación real, no al plan de entrada. También conviene valorar el plan según las personas y los dispositivos que lo usarán, no únicamente según el precio inicial.

Algunas características son difíciles de comparar con una casilla de «sí» o «no». Una opción de recuperación no equivale necesariamente a restablecer la contraseña maestra; exportar algunos elementos no equivale a poder trasladar toda la bóveda; admitir passkeys no implica que estén disponibles en todas las plataformas. La mejor comparación es la que señala el alcance y las condiciones de cada función, en vez de sumar marcas de verificación sin contexto. Si una tabla comercial no aclara esos límites, busca la documentación de ayuda correspondiente antes de decidir.

Antes de decidir, usa esta lista breve y conserva enlaces a las respuestas del proveedor: 1) ¿Qué explica sobre cifrado, datos protegidos y sincronización? 2) ¿Qué ocurre si olvidas la contraseña principal y qué debes configurar de antemano? 3) ¿Funciona en todos tus dispositivos y navegadores? 4) ¿Qué significa exactamente su soporte de passkeys? 5) ¿Qué puedes exportar y cómo proteges el archivo? 6) ¿Qué límites y funciones corresponden al plan que pagarías? 7) ¿Cómo contactar con soporte y consultar cambios o incidentes? Si alguna respuesta es ambigua, pide aclaración o considera otra opción; no conviertas la falta de información en una afirmación sobre la seguridad real del producto. Guardar las respuestas junto con la fecha de consulta también facilita revisarlas si cambian las condiciones o necesitas comparar alternativas más adelante.