Gestores de contraseñas: cómo funcionan y si son seguros

¿Qué es un gestor de contraseñas?

Un gestor de contraseñas es un programa que genera, almacena y rellena sus contraseñas ^[2]. Puede venir integrado en su navegador web o en su teléfono, o ser una aplicación independiente de un tercero ^[1]. Se desbloquea con una única contraseña principal (a menudo llamada contraseña maestra), por lo que solo necesita recordar una contraseña segura ^[2].

La principal ventaja es que puede usar una contraseña única para cada servicio, porque ya no tiene que recordarlas ^[1]. Esto importa porque las contraseñas reutilizadas propagan el daño. El NCSC explica que, si una cuenta se ve comprometida, un hacker puede probar la misma contraseña en sus demás cuentas ^[1].

La mayoría de los gestores también ofrecen ^[1]:

• Generación de contraseñas: crean una contraseña segura y única para cada cuenta.
• Autocompletado: introducen la contraseña por usted, lo que además ayuda contra el phishing, porque solo la rellenan en el sitio web correcto.
• Sincronización: ponen sus contraseñas a disposición en todos sus dispositivos.
• Alertas de filtración: le avisan cuando una contraseña guardada se ha filtrado.

¿Los recomiendan las agencias de seguridad?

Sí. La CISA, la agencia de ciberseguridad de Estados Unidos, aconseja usar un gestor de contraseñas para guardar todas las contraseñas y proteger la bóveda con una frase de contraseña segura ^[3]. Las directrices de 2025 del NIST van más allá en el caso de los sitios web: los servicios deben permitir los gestores de contraseñas y el autocompletado, y deberían permitir pegar contraseñas ^[4].

¿Cómo mantiene seguras las contraseñas un gestor de contraseñas?

Sus contraseñas guardadas se encuentran en un archivo cifrado llamado bóveda. El informe técnico de seguridad publicado por Bitwarden es un ejemplo detallado de cómo la protege un gestor en la nube ^[5]:

1. Su contraseña maestra se refuerza con una función de derivación de claves, PBKDF2-SHA256 con 600,000 iteraciones por defecto, para crear una clave de cifrado. Los usuarios pueden cambiar a Argon2id ^[5].
2. La bóveda se cifra en su dispositivo con AES-256 antes de subir nada ^[5].
3. La contraseña maestra y las claves de cifrado derivadas de ella nunca se envían a los servidores de Bitwarden ni se almacenan en ellos; el servidor solo recibe un hash de la contraseña maestra, que se usa para verificar los inicios de sesión ^[5].
4. Los servidores almacenan y sincronizan los datos de la bóveda únicamente en forma cifrada, y Bitwarden afirma que su personal no puede ver sus contraseñas ^[5].

Este diseño suele promocionarse como cifrado de conocimiento cero: la empresa no debería poder leer su bóveda aunque sus servidores sufran una intrusión. Los investigadores señalan que las afirmaciones de los proveedores implican protección incluso frente a un servidor totalmente malicioso ^[6]. El refuerzo de claves hace que cada intento de adivinar la contraseña maestra sea lento, y por eso una contraseña maestra larga es importante si alguna vez se roba una bóveda cifrada; los investigadores han señalado las contraseñas maestras débiles y el bajo número de iteraciones en cuentas antiguas de LastPass ^[9].

¿Y los gestores de contraseñas del navegador y del teléfono?

El NCSC afirma que es seguro dejar que su navegador o su sistema operativo guarde contraseñas en sus propios dispositivos, y que Chrome, Edge y Safari ofrecen esta función ^[1]. La aplicación Contraseñas de Apple, introducida con iOS 18, almacena contraseñas, passkeys, contraseñas de Wi-Fi y códigos de verificación. También avisa sobre las contraseñas fáciles de adivinar, reutilizadas o encontradas en filtraciones de datos conocidas ^[10]. El NCSC señala que las contraseñas guardadas en el navegador solo son tan seguras como sus dispositivos y sus cuentas, así que mantenga activadas las actualizaciones de seguridad automáticas ^[1].

¿Son seguros los gestores de contraseñas?

Los gestores de contraseñas concentran sus secretos en un solo lugar, por lo que su seguridad se ha puesto a prueba públicamente, tanto por atacantes como por investigadores. Conviene conocer dos casos.

¿Qué ocurrió en la filtración de LastPass?

En agosto de 2022, unos atacantes accedieron a LastPass en dos incidentes relacionados. En el segundo, aprovecharon una falla en un software de servidor multimedia instalado en la computadora personal de un ingeniero sénior e instalaron un keylogger para robar su contraseña maestra ^[8]. Eso les dio las claves necesarias para descargar la base de datos de respaldo de LastPass ^[8]. En diciembre de 2025, la Oficina del Comisionado de Información del Reino Unido (ICO) multó a LastPass con £1.2 millones. Determinó que la empresa no había aplicado medidas de seguridad lo suficientemente sólidas ^[8]. Se vieron afectados hasta 1.6 millones de usuarios del Reino Unido. Se sustrajeron nombres, direcciones de correo electrónico, números de teléfono y URL de sitios web almacenadas ^[8].

La ICO no encontró pruebas de que se descifraran las contraseñas de los clientes ^[8]. Por otra parte, en 2023, unos investigadores de seguridad relacionaron a más de 150 víctimas y más de $35 millones en robos de criptomonedas con frases semilla almacenadas en LastPass. Sospechaban que se estaban descifrando sin conexión las contraseñas maestras débiles de las bóvedas robadas ^[9]. Los investigadores dijeron que probablemente no podrían vincular de forma concluyente los robos con la filtración, por lo que esto sigue siendo una sospecha, no una conclusión confirmada ^[9].

¿Qué concluyó el estudio de 2026 de la ETH Zúrich?

Investigadores de la ETH Zúrich y de la Università della Svizzera italiana (USI) comprobaron si las afirmaciones de “conocimiento cero” de cuatro gestores en la nube se sostienen cuando el servidor de la empresa es totalmente malicioso, por ejemplo tras una intrusión ^[6]. Presentaron 12 ataques distintos contra Bitwarden, 7 contra LastPass, 6 contra Dashlane y 6 contra 1Password ^[6]. La mayoría permiten recuperar contraseñas, y los más graves llegan hasta el compromiso total de todas las bóvedas de una organización ^[6].

El contexto importa. Los ataques parten de que el atacante ya controla los servidores del proveedor ^[7]. Muchos requieren después acciones habituales del usuario, como iniciar sesión o sincronizar; otros requieren acciones como compartir o rotar claves ^[7]. Los investigadores comunicaron los hallazgos a los proveedores, y las correcciones están en curso ^[6]. Dashlane afirmó que eliminó la criptografía heredada que causaba su problema más grave, y LastPass cuestionó partes de la evaluación de gravedad ^[7]. Los investigadores dijeron que no podían descartar que atacantes avanzados ya conozcan estas debilidades ^[7].

Entonces, ¿conviene seguir usando uno?

La recomendación oficial sigue siendo que sí. Tanto el NCSC ^[1] como la CISA ^[3] recomiendan los gestores de contraseñas, porque para la mayoría de las personas la alternativa es reutilizar contraseñas débiles. Las lecciones de estos casos son elegir una contraseña maestra segura, activar la verificación en dos pasos y mantener el software actualizado ^[1][3].

¿Cómo se comparan los gestores de contraseñas con otras formas de guardar contraseñas?

Cada método equilibra la comodidad con riesgos distintos. El NCSC acepta que algunas personas anoten sus contraseñas en una libreta, por ejemplo quienes necesitan ayuda de su familia para administrar sus cuentas, porque un atacante necesitaría acceso físico ^[1]. Sin embargo, advierte que algunos bancos prohíben anotar las contraseñas, que cualquiera con acceso puede copiarlas y que se pierde la protección del autocompletado frente a los sitios de phishing ^[1]. La CISA desaconseja guardar contraseñas en un archivo de su computadora ^[2].

¿Cómo elegir y configurar un gestor de contraseñas?

El NCSC afirma que el mejor gestor de contraseñas es el que satisface sus necesidades y el que le resulta más fácil de usar ^[1]. Entre los aspectos que conviene valorar están si funciona en todos sus dispositivos y sistemas operativos, si puede controlar las contraseñas que genera, si va a pagar o a usar una versión gratuita, y funciones adicionales como compartir contraseñas o las alertas de filtración ^[1]. La principal ventaja de un gestor de terceros frente al del navegador es la sincronización entre navegadores y dispositivos distintos ^[1].

1. Cree una contraseña maestra segura. La CISA recomienda contraseñas de al menos 16 caracteres, ya sean aleatorias o una frase de contraseña de 4 a 7 palabras sin relación entre sí ^[2], y afirma que la contraseña de la bóveda debe ser larga, única y aleatoria ^[3].
2. Active la verificación en dos pasos en el gestor. El NCSC afirma que así se impide el acceso a los delincuentes aunque conozcan su contraseña principal ^[1].
3. Configure la recuperación. Si olvida la contraseña principal, muchos gestores ofrecen pistas de contraseña o acceso de emergencia a través de contactos de confianza ^[1]. Configúrelos antes de necesitarlos.
4. Sustituya las contraseñas débiles. Revise las contraseñas existentes y cambie las que no sean largas, únicas y aleatorias por otras generadas por el gestor ^[3].
5. Evite las computadoras compartidas. No guarde nunca contraseñas en el navegador de una computadora compartida o pública ^[1].
6. Añada passkeys cuando se ofrezcan. El NCSC recomienda ahora las passkeys como primera opción de inicio de sesión, con contraseñas seguras y verificación en dos pasos cuando no haya passkeys disponibles ^[11]. Muchos gestores también almacenan passkeys; el NCSC llama a estas herramientas gestores de credenciales ^[12].

¿Qué reglas sobre contraseñas recomiendan hoy las directrices oficiales?

La SP 800-63B-4 del NIST, finalizada en 2025, cambió reglas de contraseñas vigentes desde hacía mucho tiempo para sitios web y servicios, de formas que favorecen a los gestores de contraseñas ^[4]:

• Las contraseñas que se usan como único factor deben tener al menos 15 caracteres; las que se usan junto con otro factor, al menos 8 ^[4].
• Los servicios deberían admitir contraseñas de al menos 64 caracteres ^[4].
• Los servicios no deben imponer reglas de composición, como exigir una combinación de tipos de caracteres ^[4].
• Los servicios no deben obligar a cambiar la contraseña periódicamente, pero sí deben exigir el cambio si hay indicios de que se ha visto comprometida ^[4].
• Las contraseñas nuevas deben compararse con una lista de bloqueo de contraseñas comunes, previsibles o comprometidas ^[4].
• Los servicios deben permitir los gestores de contraseñas y el autocompletado, y deberían permitir pegar ^[4].

Estas reglas se aplican a los servicios, no directamente a usted. Facilitan que un gestor genere y rellene contraseñas largas y aleatorias.

¿Qué sigue para los gestores de contraseñas?

Los gestores de contraseñas se están convirtiendo en gestores de credenciales de uso general. La aplicación Contraseñas de Apple ya guarda passkeys y códigos de verificación junto a las contraseñas ^[10]. El NCSC prevé que las personas sigan usando contraseñas, administradas con un gestor de contraseñas, donde todavía no se ofrezcan passkeys, mientras estas se extienden ^[11][12].

La investigación de 2026 también puso bajo presión las afirmaciones de seguridad de los proveedores. Los investigadores recomiendan incorporar a los nuevos usuarios con la criptografía más reciente de forma predeterminada y dejar que los clientes existentes elijan si migrar ^[7]. La versión completa del artículo, revisada por última vez en agosto de 2026, incluye resultados adicionales sobre 1Password ^[6].

Esta es información general de seguridad, no una recomendación de productos. Consulte la documentación de seguridad publicada y el historial de actualizaciones de un gestor antes de confiarle sus cuentas.