Gestor de contraseñas
Un gestor de contraseñas es una aplicación que genera contraseñas largas y distintas para cada servicio, las guarda en una bóveda cifrada y las rellena cuando inicias sesión. Solo tienes que recordar una contraseña maestra. Para un autónomo o una pyme, resuelve dos problemas a la vez: deja de reutilizarse la misma contraseña en todas partes y desaparecen las hojas de cálculo y los papeles con las claves del negocio.
Qué es un gestor de contraseñas
Un gestor de contraseñas es un programa que recuerda tus contraseñas por ti. Las guarda cifradas en una especie de caja fuerte digital, la bóveda, que se abre con una sola contraseña: la contraseña maestra.
El INCIBE lo define como «una herramienta que facilita el almacenamiento seguro y la organización de las contraseñas» (INCIBE, 2024). Detrás de esa definición hay un problema muy humano: nadie puede memorizar cuarenta contraseñas largas y distintas. Así que se repite la misma, con pequeñas variaciones, en el correo, el banco y la tienda online. El día que una de esas webs sufre una filtración, la contraseña robada abre todas las demás puertas.
El armario de llaves del administrador de fincas
Piensa en un administrador de fincas que gestiona varios edificios. Tiene en su despacho un armario metálico con decenas de ganchos: una llave por portal, por trastero, por cuarto de contadores. Nadie espera que se las sepa de memoria. Lo que hace es guardar bien una sola cosa: la llave del armario.
Ese armario tiene tres virtudes. Cada puerta tiene su propia llave, así que perder la del trastero no compromete el portal. Las llaves están etiquetadas, de modo que nunca se prueba una llave en la puerta equivocada. Y si el administrador abre una segunda oficina, puede tener allí un armario idéntico.
Un gestor de contraseñas hace exactamente eso. Una contraseña distinta por servicio, cada una asociada a su web, y la bóveda disponible en el ordenador (computadora), el portátil (laptop) y el móvil (celular). Y comparte también su punto débil: quien copie la llave del armario tiene acceso a todo. Por eso la contraseña maestra se elige y se protege con más cuidado que ninguna otra.
Cómo funciona, paso a paso
- Instalas el gestor en tus dispositivos, normalmente como aplicación y como extensión del navegador. El INCIBE insiste en descargarlo «siempre desde la página oficial».
- Creas la contraseña maestra. Mejor larga que complicada: una frase de cuatro o cinco palabras sin relación entre sí es fácil de recordar y difícil de adivinar.
- Activas la verificación en dos pasos en la cuenta del gestor, una «capa extra de seguridad» para la contraseña maestra, según el INCIBE.
- Al crear una cuenta nueva, el gestor genera una contraseña aleatoria, la guarda en la bóveda y la asocia a esa web.
- Al volver a la web, el gestor reconoce la dirección y rellena el usuario y la contraseña.
- La bóveda se sincroniza, cifrada, entre tus dispositivos. Muchos gestores para empresas permiten además compartir contraseñas concretas con compañeros sin enviarlas por correo.
El cifrado de la bóveda es lo que hace aceptable guardar todo en un mismo sitio. Muchos proveedores afirman que no pueden leer las bóvedas de sus clientes, porque se cifran en tu dispositivo con una clave que deriva de tu contraseña maestra: es lo que se llama cifrar de extremo a extremo. Compruébalo en la documentación de seguridad de cada gestor antes de elegirlo.
Lo que dicen las normas sobre las contraseñas
La guía de identidad digital del NIST, revisada en julio de 2025 (SP 800-63B-4, en inglés), rompe con varias costumbres que todavía se ven en muchas empresas:
- La longitud cuenta más que los símbolos. Exige un mínimo de 15 caracteres cuando la contraseña es la única protección, y de 8 cuando se usa junto a un segundo factor.
- Nada de reglas de composición obligatorias, como exigir una mayúscula, un número y un símbolo.
- Nada de cambios periódicos obligatorios. La contraseña se cambia cuando hay indicios de que se ha comprometido, no cada 90 días.
- Los servicios deben permitir los gestores de contraseñas y el autorrelleno, y comparar las contraseñas nuevas con listas de contraseñas comunes o filtradas.
Esas reglas se dirigen a quien diseña los sistemas de acceso, pero encajan con el uso de un gestor: contraseñas largas, únicas y que no tienes que teclear.
Tres tipos de gestor
| Tipo | Dónde guarda la bóveda | A favor | En contra |
|---|---|---|---|
| Integrado en el navegador o el sistema | En tu cuenta del navegador o del sistema operativo | Ya lo tienes, sin instalar nada | Funciona mejor dentro de un mismo ecosistema; compartir con un equipo es limitado |
| Independiente, con sincronización en la nube | En los servidores del proveedor, cifrada | Funciona en cualquier navegador y sistema; suele incluir cuentas de equipo | Dependes de un proveedor y, para empresas, de una suscripción |
| Local, en un archivo cifrado | En un archivo de tu dispositivo | Control total, sin cuenta en un proveedor | Tú te encargas de sincronizar el archivo y de hacer copias |
Para un autónomo que trabaja siempre con el mismo navegador, el gestor integrado puede bastar. Cuando varias personas comparten accesos, uno independiente con cuentas de equipo suele ahorrar problemas. Muchos gestores guardan ya también llaves de acceso (passkeys), el sistema que sustituye la contraseña por la huella o el bloqueo de pantalla y que Google permite guardar en gestores de terceros.
Un ejemplo: un estudio de diseño en Rosario
Un estudio de diseño gráfico de cinco personas en Rosario, Argentina, guardaba las claves de clientes, redes sociales, banco y proveedores en una hoja de cálculo llamada, cómo no, «claves_FINAL_v2». La hoja estaba en una carpeta compartida a la que tenía acceso hasta un antiguo colaborador.
El estudio se pasa a un gestor con cuentas de equipo en un fin de semana. Crea una bóveda compartida por área (redes, proveedores, clientes) y deja la banca solo en la bóveda de la socia que firma los pagos. Importa las contraseñas, cambia las de las cuentas a las que tenía acceso el antiguo colaborador y, cuando todo funciona, borra la hoja de cálculo y la papelera de la carpeta. Desde entonces, cuando alguien deja el estudio, basta con retirarle el acceso al gestor y cambiar las contraseñas que conocía.
Ideas erróneas y límites
- «Es poner todos los huevos en la misma cesta». Es cierto que concentra el riesgo, pero en una cesta cifrada y vigilada, frente a una misma contraseña repetida en veinte webs. La condición es proteger bien la cesta: contraseña maestra única y verificación en dos pasos.
- «Con un gestor ya no me afecta el phishing». Ayuda: si el gestor no ofrece rellenar la contraseña, puede que la web no sea la que parece. Pero nada te impide teclearla a mano en una página falsa.
- «Si olvido la maestra, el proveedor me la recupera». En muchos gestores no es posible, precisamente porque el proveedor no tiene la clave. Guarda el kit o el código de recuperación que ofrezca.
- «Basta con apuntarlas en una libreta». El INCIBE califica de «altamente peligroso» tener las contraseñas anotadas en papel a la vista, y una libreta no genera contraseñas ni avisa de las débiles.
Qué puedes hacer hoy
- Elige un gestor, integrado o independiente, y descárgalo solo desde la web oficial o la tienda de aplicaciones de tu sistema.
- Crea la contraseña maestra con una frase larga y guarda el kit de recuperación en un sobre cerrado, en un lugar seguro.
- Activa la verificación en dos pasos en la cuenta del gestor.
- Empieza por cinco cuentas: correo, banco, nube, dominio y facturación. Sustituye sus contraseñas por otras generadas por el gestor.
- Borra las listas antiguas (hojas de cálculo, notas del móvil, papeles) cuando todo esté en la bóveda.
Un gestor rinde al máximo junto a la verificación en dos pasos de tus cuentas y con algo de olfato para detectar un intento de phishing, el engaño que busca precisamente que entregues tus contraseñas.