Cómo elegir un gestor de contraseñas: seguridad, recuperación y portabilidad

Un gestor de contraseñas guarda credenciales y permite recuperarlas cuando hacen falta, en vez de depender de una contraseña distinta memorizada para cada sitio. Según el servicio, puede rellenar formularios, sincronizar datos entre dispositivos y almacenar otros elementos, como notas seguras o códigos de acceso. El valor práctico es reducir la reutilización de contraseñas y hacer más viable usar claves largas y diferentes. La herramienta ayuda a administrar credenciales; no vuelve invulnerable una cuenta ni sustituye las medidas de seguridad de los sitios donde inicias sesión.

El gestor también concentra información valiosa. Si alguien consigue desbloquear la bóveda, podría acceder a muchas cuentas; por eso importan tanto la protección de la cuenta del gestor como el diseño de la recuperación. No basta con encontrar una promesa de «cifrado de extremo a extremo»: conviene averiguar qué datos cifra, dónde se cifra, qué puede ver el proveedor y qué sucede si pierdes la contraseña principal. La guía de almacenamiento criptográfico de OWASP ofrece principios para evaluar cómo se protegen datos almacenados, pero no certifica ni audita por sí misma un producto concreto.

La elección no debería reducirse a una clasificación universal de «más seguro». Una función puede ser útil y, a la vez, estar mal adaptada a tus dispositivos o a tu capacidad de mantener una copia de emergencia. El objetivo es reunir evidencias comprobables y decidir si el servicio encaja con tu manera de usarlo. Las afirmaciones del proveedor describen lo que este documenta; no equivalen automáticamente a una evaluación independiente de su implementación.

Antes de comparar planes, haz inventario de dónde necesitas usar el gestor: móvil, ordenador, tablet, navegadores y, si corresponde, dispositivos compartidos. Comprueba que haya aplicaciones o extensiones compatibles con tus sistemas y que la sincronización funcione en la combinación que de verdad utilizas. Una lista extensa de plataformas no sirve si falta la que necesitas a diario. Revisa además si puedes acceder a las credenciales cuando el dispositivo está desconectado y qué condiciones impone el proveedor para ese uso.

Piensa también en el uso compartido. Puede tratarse de compartir algunas claves con familiares o compañeros, administrar cuentas de un hogar o permitir que alguien de confianza acceda en una emergencia. Comprueba si el servicio ofrece esas opciones, qué controles tienen —por ejemplo, limitar quién consulta o modifica un elemento— y si están incluidas en el plan que pagarías. No confundas una carpeta compartida con un procedimiento de emergencia: cumplen propósitos diferentes y pueden tener requisitos distintos.

Si vienes de guardar contraseñas en el navegador, revisa las vías de migración antes de empezar. Las instrucciones de Google Chrome y Microsoft Authenticator documentan opciones de importación o exportación; Apple también describe la exportación desde el iPhone. Esos procedimientos y sus condiciones pueden cambiar según el dispositivo y la versión. Antes de depender de una ruta concreta, consulta la documentación vigente para tu plataforma y verifica si también cubre otros datos, como notas, nombres de usuario o códigos de acceso. La compatibilidad relevante es la de tu flujo completo de entrada y salida, no la cantidad de marcas mencionadas en una página comercial.

Busca explicaciones específicas sobre el cifrado de la bóveda, la protección de la contraseña principal y el tratamiento de los datos en los servidores y en tus dispositivos. Separa lo que el proveedor explica de lo que no detalla. Un algoritmo conocido no demuestra por sí solo que una aplicación esté bien construida: también importan su uso, la gestión de claves, las actualizaciones, la seguridad de la cuenta y el tratamiento de errores. Si una explicación se limita a expresiones generales como «grado militar», pide detalles verificables en documentación técnica o de seguridad.

La autenticación multifactor añade una comprobación además de la contraseña. Comprueba qué métodos admite el proveedor y qué alternativas ofrece si pierdes el teléfono o el dispositivo de autenticación. No todos los métodos tienen las mismas propiedades, y tener multifactor activado no elimina los riesgos asociados con phishing, recuperación débil o dispositivos comprometidos. La documentación de Tableau, por ejemplo, describe multifactor para su propio servicio; no es evidencia de que otro gestor tenga controles equivalentes. Evalúa la documentación del producto que realmente te planteas usar.

Busca también información sobre auditorías o evaluaciones externas: quién las realizó, qué alcance tuvieron, cuándo se publicaron y si cubren el producto y las aplicaciones que usarás. «Auditado» sin fecha ni alcance es una descripción incompleta. Un informe puede revisar una parte del sistema o una versión anterior. Trata las auditorías declaradas como una pieza de evidencia, no como garantía permanente. OWASP y las guías de identidad del NIST ayudan a formular preguntas sobre almacenamiento y autenticación, pero no deben presentarse como certificaciones de un gestor concreto.

La pregunta incómoda es sencilla: ¿qué ocurre si olvidas la contraseña principal, pierdes el móvil o ya no tienes el segundo factor? Lee el procedimiento oficial antes de guardar toda tu información en la bóveda. Averigua si la recuperación depende de una clave de recuperación, un dispositivo que ya esté autorizado, otra persona o una copia de seguridad; si cada método exige preparativos previos; y si recuperar el acceso puede implicar perder los datos cifrados. Los detalles varían entre servicios y tipos de cuenta, así que no des por hecho que «recuperar la cuenta» significa recuperar el contenido.

Distingue entre recuperar el acceso a una cuenta y recuperar la bóveda. Un proveedor puede ayudar a restablecer credenciales de inicio de sesión sin poder descifrar los datos, o permitir un mecanismo de recuperación que requiera configuración anticipada. La documentación de transferencia de Microsoft Authenticator muestra por qué conviene revisar las condiciones de traslado de un autenticador en vez de asumir que las cuentas se restauran automáticamente en un teléfono nuevo. No es una guía para todos los gestores, pero ilustra la importancia de consultar el procedimiento específico del servicio utilizado.

Prepara un plan que puedas ejecutar sin depender del dispositivo que podría perderse. Puede incluir guardar la información de recuperación en un lugar protegido y separado, mantener un dispositivo de confianza actualizado o acordar un método de emergencia con alguien autorizado, si el servicio lo permite. Comprueba que entiendes qué conserva cada copia y cómo se protege. Evita dejar una copia legible de todas tus claves en una carpeta común o en el mismo dispositivo que contiene la bóveda. La mejor recuperación es la que has entendido y preparado antes de necesitarla.

La portabilidad importa incluso si esperas quedarte con el servicio. Revisa si permite exportar la bóveda, desde qué aplicación, en qué formato y con qué restricciones. Una exportación puede ser práctica para migrar, pero también crear temporalmente un archivo legible que contiene credenciales. Decide dónde lo guardarás durante el traslado y elimínalo de forma segura cuando ya no lo necesites; vaciar la papelera o borrar un archivo no siempre equivale a garantizar que desapareció de todas las copias o sincronizaciones.

No des por sentado que todos los datos se exportan. Comprueba si el formato incluye nombres de usuario, direcciones web, notas, archivos adjuntos, elementos compartidos y otros registros que te interesen. Después verifica si el servicio al que migras puede importar ese formato y qué elementos admite. Las instrucciones de Bitwarden sobre importación desde Password Safe, así como las guías de exportación de Apple y Google, son ejemplos de documentación específica de producto: pueden servir para evaluar esas rutas, pero no prueban que cualquier combinación de origen y destino sea compatible.

Un plan de salida razonable es pequeño y comprobable: consulta la guía oficial, confirma qué exporta, identifica un destino compatible y protege el archivo durante el proceso. Si el proveedor no explica el formato o la ruta de exportación, pregunta al soporte antes de almacenar todas tus credenciales allí. Las limitaciones de exportación no prueban por sí mismas una mala práctica de seguridad, pero sí afectan a tu dependencia del servicio. Poder marcharte sin perder información es un criterio de elección, no un detalle para el final.

Compara solo los planes que podrían encajar con tu uso. Anota el precio y el periodo de facturación vigentes para tu país, qué funciones son gratuitas, cuántos usuarios o dispositivos se incluyen y qué opciones requieren un plan superior. Considera también la continuidad: si el precio cambia, si cancelar afecta al acceso a la bóveda o a las funciones compartidas, y qué ocurre con los datos al dejar de pagar. No uses una tarifa publicada en otra región ni una oferta temporal como si fuera el coste habitual aplicable a tu cuenta.

El precio no mide la seguridad. Un plan gratuito puede bastar para una persona y sus dispositivos, mientras que una familia o un equipo puede necesitar permisos, recuperación compartida o administración. La comparación útil es coste frente a necesidades concretas, no coste frente al número bruto de funciones. Si una característica solo está disponible en un nivel que no usarías, no debería inclinar la decisión. Documenta también las condiciones que podrían afectar a la exportación o al acceso después de cancelar.

Antes de trasladar toda tu bóveda, puedes hacer una evaluación prudente con una cantidad limitada de datos no críticos. Confirma que las aplicaciones corresponden al proveedor, configura el segundo factor disponible, revisa el bloqueo automático y prueba el proceso de exportación sin exponer un archivo con credenciales en un lugar compartido. Esto no sustituye una auditoría técnica ni demuestra que el servicio sea seguro; permite comprobar que entiendes el flujo cotidiano y las condiciones de salida.

Usa estas preguntas para comparar dos o tres opciones de manera consistente. Si una respuesta no aparece en la documentación, márcala como pendiente en vez de rellenar el vacío con una suposición. La claridad y la posibilidad de verificar los procedimientos son parte de la utilidad del producto.

• ¿Funciona en todos mis dispositivos y navegadores, y entiendo qué ocurre sin conexión?
• ¿Explica cómo cifra la bóveda y qué información puede conocer el proveedor?
• ¿Qué métodos de autenticación multifactor ofrece y cómo recupero el acceso si pierdo el segundo factor?
• ¿Puedo exportar los datos que necesito en un formato que acepte otro servicio?
• ¿He preparado una vía de recuperación y sé qué podría perder al utilizarla?
• ¿El plan cubre mis necesidades de uso compartido, y conozco el coste y las condiciones de cancelación?
• ¿La documentación de seguridad y auditoría identifica el alcance y la fecha de las evaluaciones?

Una elección sólida no exige encontrar un servicio perfecto. Exige que puedas explicar por qué encaja con tus dispositivos, cómo recuperarías el acceso, qué evidencia sostiene tu confianza y cómo cambiarías de proveedor. Si no puedes responder todavía, pausa la migración y resuelve las dudas antes de concentrar tus credenciales. Prioriza la seguridad documentada, la recuperación practicable y una salida viable; después compara comodidad y precio.