Gestores de contraseñas: cómo elegir uno con criterio

Un gestor de contraseñas guarda credenciales en una bóveda digital y ayuda a recuperarlas cuando se inicia sesión. En vez de reutilizar una contraseña sencilla o intentar memorizar una distinta para cada cuenta, la persona puede crear claves únicas y dejar que la aplicación las almacene. Esa comodidad puede facilitar mejores hábitos, pero no convierte todas las cuentas en invulnerables: la seguridad depende también de la protección de la cuenta del gestor, de los dispositivos y de las prácticas de recuperación.

Antes de comparar marcas, conviene pensar qué se guardará además de contraseñas. Algunos servicios permiten almacenar notas, códigos de recuperación, tarjetas o archivos; otros se centran en credenciales. Para una persona que solo quiere rellenar inicios de sesión, una bóveda sencilla puede bastar. Si se guardarán documentos o se compartirán elementos con familiares, importan más los permisos, las opciones de compartición y los límites de almacenamiento. El valor principal no es acumular funciones, sino reducir la reutilización y facilitar el acceso seguro.

Un gestor concentra información valiosa en un único lugar, lo que hace importante evaluar tanto la protección de la bóveda como la posibilidad de perder acceso. Una publicación educativa de Purdue sobre gestores señala su utilidad práctica en distintos dispositivos y plataformas, y destaca también la autenticación multifactor como parte de las buenas prácticas. Esto no equivale a una auditoría de un servicio concreto ni demuestra que todos los productos ofrezcan la misma protección.

La compatibilidad no se resuelve mirando solo si existe una aplicación para el teléfono. Comprueba si el servicio ofrece aplicaciones para tus sistemas, extensiones para los navegadores que usas y una forma razonable de acceder desde un equipo secundario. También importa el comportamiento de autocompletado: si se integra con el navegador o el sistema operativo de forma consistente, habrá menos tentación de guardar contraseñas en un lugar improvisado.

Haz la comprobación con tus dispositivos concretos. Si alternas entre móvil, ordenador personal y un equipo de trabajo, revisa si las aplicaciones están disponibles para cada plataforma y si la sincronización está incluida en el plan que estás considerando. En un entorno compartido o familiar, confirma si las funciones de uso compartido están disponibles sin tener que revelar la contraseña maestra. La documentación del proveedor debe describir límites por sistema, navegador, número de dispositivos o tipo de cuenta; no asumas que una función anunciada se aplica a todos los planes.

Una lista breve puede evitar una compra inadecuada:

• Sistemas operativos y navegadores que utilizas hoy.
• Disponibilidad y límites de sincronización entre dispositivos.
• Opciones de autocompletado y acceso sin conexión, si son necesarias.
• Accesibilidad, idioma y soporte para tus métodos de inicio de sesión.

La compatibilidad cambia con el tiempo. Por eso, antes de pagar, consulta las páginas oficiales de descarga y ayuda, y verifica que las instrucciones correspondan a tu región y a la versión vigente. Un artículo general sobre el tema no sustituye esa verificación.

Que un proveedor describa una bóveda como cifrada es un punto de partida, no una evaluación completa. Pregunta qué datos se cifran, dónde y cuándo se produce el cifrado, cómo se gestionan las claves y qué información queda fuera de la bóveda cifrada. La expresión cifrado de extremo a extremo puede ayudar a describir un diseño, pero conviene leer su definición en la documentación técnica del servicio y no inferir detalles que el proveedor no publique.

También hay que distinguir cifrado de seguridad total. Un cifrado robusto no protege por sí solo un dispositivo infectado, una contraseña maestra débil, una sesión abierta en un equipo ajeno o una cuenta tomada mediante engaño. OWASP recomienda prestar atención a la selección y gestión de la criptografía en sistemas que almacenan datos sensibles; sus orientaciones no certifican productos concretos. La pregunta práctica es si el proveedor explica sus controles con suficiente detalle para que puedas entender qué protege y cuáles son sus límites.

Busca documentación que aclare, al menos, el modelo de cifrado, el tratamiento de la contraseña maestra, la sincronización, las copias de seguridad y las consecuencias de perder las credenciales. Si el servicio publica auditorías externas, informes de seguridad o información sobre vulnerabilidades y actualizaciones, léelos como evidencia complementaria: una auditoría tiene alcance y fecha, y no demuestra ausencia de fallos futuros. La transparencia técnica es más útil que una promesa genérica de “seguridad de grado militar”.

La autenticación multifactor (MFA) pide más de una clase de prueba para iniciar sesión, por ejemplo una contraseña y un código temporal. Su función es reducir el riesgo de que una contraseña robada baste para entrar; no corrige una contraseña maestra reutilizada ni vuelve seguro un dispositivo comprometido. Revisa qué métodos acepta el gestor, si MFA es opcional u obligatoria y qué alternativas ofrece si pierdes el teléfono o el dispositivo de autenticación.

Los métodos no son intercambiables en todos los escenarios. Los códigos de una aplicación de autenticación, las llaves de seguridad y los mecanismos de recuperación tienen requisitos y riesgos distintos. La guía NIST SP 800-63B-4 trata la autenticación y la gestión de autenticadores en el contexto de identidad digital; es una referencia normativa, no una certificación de gestores de contraseñas. Para una decisión cotidiana, interesa comprobar que el servicio documente los métodos compatibles y el procedimiento para añadir, sustituir o revocar un autenticador.

Antes de activar MFA, guarda los códigos de recuperación en un lugar separado y seguro, si el servicio los proporciona. No los dejes únicamente dentro de la misma bóveda a la que podrían servir para recuperar el acceso. Comprueba también si existe un método alternativo y qué comprobaciones exige. MFA mejora la defensa frente a ciertos ataques, pero una recuperación débil puede convertirse en el atajo que evita esa protección.

La recuperación merece atención porque puede definir quién vuelve a entrar cuando se pierde una contraseña maestra o un segundo factor. Los servicios no siguen todos el mismo modelo: algunos pueden permitir una recuperación de cuenta bajo condiciones específicas; otros pueden no tener forma de recuperar el contenido cifrado si se pierden las credenciales necesarias. Lee la explicación oficial para distinguir entre recuperar el acceso a la cuenta, restablecer una contraseña y recuperar los datos de la bóveda: no son necesariamente el mismo proceso.

No des por sentado que el soporte técnico puede descifrar la bóveda. Si el diseño impide que el proveedor tenga las claves necesarias, eso puede limitar la recuperación, aunque reduzca ciertos tipos de acceso por parte del proveedor. El equilibrio es concreto: más vías de recuperación pueden ayudar a una persona legítima, pero también crean procedimientos que deben estar protegidos frente a suplantación. Las recomendaciones de OWASP para restablecer contraseñas insisten en diseñar cuidadosamente estos flujos; sirven como criterios generales, no como descripción de las políticas de un servicio particular.

Antes de migrar o pagar, responde estas preguntas con la documentación del producto:

• ¿Qué ocurre si olvidas la contraseña maestra?
• ¿Qué métodos permiten recuperar o autorizar el acceso?
• ¿Quién puede iniciar una recuperación y qué pruebas se exigen?
• ¿Se recupera la cuenta, la bóveda o ambas cosas?
• ¿Qué datos se pierden si no conservas las claves o códigos necesarios?

Si una respuesta no está clara, consulta al proveedor antes de guardar información irremplazable. La decisión no consiste en elegir la recuperación más fácil, sino en entender qué riesgos asumes en cada alternativa.

La posibilidad de exportar los datos reduce la dependencia de un servicio y facilita cambiar de gestor. Comprueba qué formatos admite la exportación, qué campos se conservan y si la operación funciona en las plataformas que utilizas. No supongas que una importación trasladará automáticamente notas, archivos, carpetas, elementos compartidos o códigos: la compatibilidad depende de los formatos y de las funciones de origen y destino.

Un archivo exportado puede quedar en texto legible, según el formato y el proceso. Trátalo como una copia sensible: guárdalo solo el tiempo imprescindible, evita enviarlo por correo o dejarlo en una carpeta sincronizada sin protección y elimínalo de forma segura al terminar. Si el gestor permite una exportación cifrada, consulta cómo se protege y qué claves hacen falta para volver a importarla. La guía de almacenamiento criptográfico de OWASP aporta criterios generales sobre cómo proteger datos sensibles, pero no garantiza el comportamiento de una opción de exportación determinada.

Una migración prudente reduce errores y exposición:

1. Revisa la documentación de exportación del servicio actual y de importación del nuevo.
2. Exporta solo lo necesario y conserva el archivo en un entorno controlado.
3. Comprueba que las cuentas importantes estén presentes en el destino.
4. Elimina los archivos temporales y verifica las copias sincronizadas o descargadas.
5. Mantén el acceso al gestor anterior hasta confirmar que no falta información.

Si el servicio no ofrece una salida clara, considera ese coste antes de empezar. La portabilidad no es un detalle técnico secundario: también forma parte de la capacidad de cambiar de proveedor.

Un plan gratuito puede bastar para una persona si cubre sus dispositivos, sincronización y métodos de acceso. Un plan de pago puede añadir funciones como uso compartido, almacenamiento adicional, soporte o controles para varias personas, pero esa lista varía por servicio y puede cambiar. No se puede concluir que una opción sea más segura solo porque sea de pago, ni que una gratuita sea insuficiente por definición.

Compara el plan concreto con tus necesidades, no con una tabla promocional aislada. Verifica el número de dispositivos, los límites de elementos o archivos, las funciones de MFA, la recuperación, las opciones de exportación y las condiciones para cancelar. Si una característica importante solo está en una modalidad superior, calcula si realmente la usarás. La documentación y los términos oficiales son las fuentes adecuadas para confirmar precios y límites actuales; esta guía no incluye importes porque no se han verificado tarifas vigentes por mercado y fecha.

La investigación educativa sobre gestores describe que pueden resultar convenientes y estar disponibles sin coste en distintos dispositivos, pero no compara planes comerciales actuales ni prueba la seguridad de marcas específicas. Esa distinción importa: una fuente general ayuda a entender la categoría, mientras que las condiciones de compra deben comprobarse en la página del proveedor. Elige el plan más sencillo que cubra tus necesidades verificadas y permite salir de él sin perder tus datos.