Cómo elegir un gestor de contraseñas confiable
Un gestor de contraseñas es una de las pocas herramientas de higiene digital que realmente reduce el riesgo de que te roben una cuenta, pero no todas las apps son igual de confiables. Estos son los criterios técnicos que vale la pena revisar antes de entregarle tus contraseñas a un servicio.
Para qué sirve realmente un gestor de contraseñas
La causa más frecuente del robo de cuentas no es un hacker sofisticado, sino la misma contraseña reutilizada de siempre. Si usas la misma contraseña para tu correo, una red social y una tienda online, una filtración de datos en cualquiera de esos servicios abre automáticamente la puerta a todos los demás. Un gestor de contraseñas resuelve esto de forma sencilla: genera una contraseña única y compleja para cada sitio y las guarda cifradas, de modo que lo único que necesitas recordar es una sola contraseña maestra.
El criterio principal: la arquitectura de conocimiento cero
Antes de comparar interfaces y precios, conviene entender cómo funciona el almacenamiento de datos dentro del servicio. Los gestores de contraseñas confiables usan un modelo de conocimiento cero: todo el cifrado ocurre localmente en tu dispositivo antes de que los datos se envíen al servidor de la empresa. La clave de cifrado se deriva de tu contraseña maestra y nunca se transmite ni se almacena en el proveedor del servicio, lo que significa que, incluso si los servidores de la empresa son vulnerados, los datos robados siguen siendo un bloque inútil de bytes cifrados.
Para cifrar la bóveda en sí, el estándar de la industria es AES-256, y la clave derivada de la contraseña maestra debe generarse mediante un algoritmo resistente a la fuerza bruta, como Argon2id o PBKDF2 con un número alto de iteraciones — precisamente los algoritmos que recomienda la Password Storage Cheat Sheet de OWASP para almacenar secretos. Si un proveedor no revela qué algoritmo utiliza, es motivo para ser cauteloso.
Otros cinco criterios prácticos
- Auditorías independientes. Busca informes de pruebas de penetración (pentest) o código abierto de las apps cliente — las afirmaciones interesadas del tipo «somos seguros» no demuestran nada.
- Autenticación de dos factores para el propio gestor — un código independiente o una llave de seguridad protege la bóveda incluso si alguien ve o intercepta tu contraseña maestra.
- Acceso multiplataforma y sin conexión. Tus contraseñas deberían abrirse tanto en el teléfono como en el ordenador incluso sin acceso a internet — de lo contrario, podrías quedarte sin acceso a tus propias cuentas justo en el peor momento.
- Exportación de datos. Poder exportar las contraseñas en un formato estándar te protege de quedar atado para siempre a un solo proveedor.
- Un historial de incidentes transparente. No te fijes en la afirmación «nunca hemos sufrido una brecha» — mira en cambio cómo comunicó la empresa los incidentes cuando ocurrieron, y qué cambió después en su arquitectura.
La contraseña maestra: el eslabón más débil de todo el sistema
Sin importar cuán fuerte sea el cifrado, todo depende de una sola contraseña maestra. Las directrices actuales del NIST SP 800-63B desplazan el foco de la complejidad hacia la longitud: se recomienda a las organizaciones no exigir una mezcla obligatoria de tipos de caracteres ni cambios de contraseña forzados según un calendario — el énfasis está, en cambio, en una longitud suficiente y en comprobar las contraseñas frente a listas de combinaciones ya comprometidas. En la práctica, para una contraseña maestra esto significa lo siguiente.
- Compón una frase de cuatro o cinco palabras aleatorias y sin relación semántica entre sí — con quince caracteres o más, es mucho más difícil de romper por fuerza bruta que una contraseña corta con símbolos y números añadidos.
- No reutilices esta contraseña en ningún otro lugar, ni para un solo servicio más.
- Activa el inicio de sesión mediante un código de una app independiente, no solo con la contraseña — hablamos más de esto en nuestro artículo sobre autenticación de dos factores.
- Guarda el código de recuperación oficial fuera de línea — en papel dentro de una caja fuerte, o en otro gestor distinto — no en el correo ni en la app de notas del teléfono.
- Cambia tu contraseña maestra no «por si acaso, una vez al trimestre», sino cuando sospeches que se ha visto comprometida: la rotación forzada sin motivo suele llevar a contraseñas más débiles y predecibles.
Una lista de verificación rápida antes de registrarte
Estos puntos se pueden comprobar en pocos minutos en el sitio web de un servicio antes de crear una bóveda allí.
- Existe una descripción pública del modelo de cifrado: conocimiento cero, AES-256 y el algoritmo usado para derivar la clave a partir de la contraseña maestra.
- Hay informes de auditorías independientes, o el código fuente de las apps cliente es abierto.
- Se admite 2FA o una passkey para iniciar sesión en la propia cuenta del gestor.
- Hay apps para todos tus dispositivos y un modo sin conexión.
- Existe una forma clara de exportar tus datos en un formato estándar.
¿Y qué pasa con iniciar sesión en tu gestor de contraseñas desde una Wi-Fi pública?
Acceder a tu bóveda de contraseñas desde una cafetería, un aeropuerto o un hotel es una preocupación aparte. El propio cifrado de la bóveda protege tus datos incluso en una red insegura, pero una capa adicional de protección para la conexión en sí reduce el riesgo de que otros datos que viajan por la misma red sean interceptados en el camino — hablamos más de esto en nuestro artículo sobre cómo proteger tus datos en Wi-Fi público. Por ejemplo, la app de HamikVPN cifra la conexión a internet en tu teléfono y ordenador, algo que puede resultar muy útil justamente en este tipo de situaciones con redes desconocidas.