Contraseñas en el navegador

Casi cualquier sistema de gestión de contraseñas es mejor que reutilizar la misma contraseña en varios sitios. El gestor integrado de tu navegador es muchísimo mejor que un cuaderno o memorizar tres claves para todo; un gestor dedicado (Bitwarden, 1Password, KeePass) añade ventajas que conviene comparar para decidir qué usar.

Por qué importa no reutilizar

Las filtraciones de bases de datos de servicios pasan con regularidad. Si tu contraseña en un foro filtrado en 2018 era la misma que en tu correo, alguien con esa lista (que circula públicamente) puede entrar a tu correo aunque el correo nunca haya tenido fallo de seguridad.

El método se llama credential stuffing: probar combinaciones filtradas de un sitio en otros sitios automáticamente. Funciona porque la mayoría de las personas reutilizan. Tener una contraseña distinta y única en cada sitio rompe esta cadena.

Recordar 200 contraseñas distintas es imposible. Por eso existe el gestor: tú recuerdas una clave maestra, el gestor recuerda el resto.

Gestor integrado del navegador

Todos los navegadores principales incluyen uno: Chrome (Google Password Manager), Firefox (Lockwise), Safari (llavero de iCloud), Edge (gestor de Microsoft).

Ventajas: cero fricción, autocompletado natural en los formularios, sincronización entre dispositivos del mismo navegador, sugerencia de contraseñas fuertes al registrarse, aviso si una contraseña aparece en filtraciones conocidas. Todo gratis y sin instalar nada extra.

Inconvenientes: vinculado a un navegador concreto. Si usas Chrome en el ordenador y Safari en el iPhone, las contraseñas de uno no aparecen automáticamente en el otro. La sincronización suele atar a una cuenta de la empresa propietaria. Compartir una contraseña con otra persona es engorroso.

El cifrado del gestor integrado depende de cómo lo hayas configurado: algunos navegadores cifran solo con tu sesión del sistema operativo, otros pueden cifrar también con una clave maestra adicional. En Chrome, la opción "frase de cifrado" hace que ni Google pueda leer tus contraseñas sincronizadas; sin ella, técnicamente Google podría acceder. En Firefox, la sincronización es de extremo a extremo por defecto. En Safari con el cifrado avanzado de datos activado, también.

Gestor dedicado

Las opciones más conocidas:

Bitwarden: código abierto, gratuito en su plan principal, opción de auto-hospedarse. Apps en escritorio y móvil, extensiones para todos los navegadores principales.

1Password: comercial, de pago. Apps muy pulidas, buena experiencia de usuario, fuerte en gestión familiar y empresarial.

KeePass (y derivados como KeePassXC): código abierto, archivo cifrado local. Sin sincronización integrada; tú decides cómo sincronizar el archivo (Dropbox, Nextcloud, USB). Para usuarios técnicos que quieren control total.

Ventajas frente al gestor integrado: funciona con cualquier navegador y sistema operativo, lo que evita atarse a un proveedor. Permite compartir entradas con familia o equipo. Suele tener mejor gestión de contraseñas antiguas, identidades, tarjetas, notas seguras. Las versiones empresariales auditan accesos.

Inconvenientes: requieren instalación y mantenimiento (extensión por navegador, app por dispositivo). Tienen coste si eliges una opción de pago. La fricción inicial es mayor: hay que importar contraseñas, configurar dispositivos, decidir clave maestra.

Cómo decidir

Si solo usas un navegador en todos tus dispositivos y no necesitas compartir contraseñas, el gestor integrado puede sobrarte. Es una mejora enorme respecto a no tener nada.

Si cambias de navegador a menudo, mezclas sistemas operativos (Windows + iPhone, Mac + Android), o quieres compartir con tu pareja, los hijos o el equipo, un gestor dedicado paga su esfuerzo. Bitwarden gratuito es una buena entrada.

Si te importa el control absoluto y no quieres depender de un servicio en la nube, KeePassXC con un archivo en tu sistema y copias propias.

Verificación en dos pasos

Independientemente del gestor, activa la verificación en dos pasos en los servicios importantes: correo principal, banco, cuentas con datos sensibles. Aunque alguien obtenga tu contraseña, sin el segundo factor no entra.

El segundo factor puede ser un código de una app (Authy, Google Authenticator, 1Password también lo hace, Aegis en Android), un SMS (peor opción, vulnerable a SIM swap, pero mejor que nada), o una llave física (YubiKey y similares, lo más fuerte). Para la mayoría de gente, una app TOTP en el móvil es el equilibrio razonable.

Frase contraseña, no contraseña

Una contraseña de cuatro o cinco palabras al azar (caballo grapadora plátano luna) es más fácil de recordar que X8!q#m2 y más difícil de adivinar. Esto solo importa para las contraseñas que necesitas recordar de memoria: la del propio gestor, la del correo principal, la del cifrado del disco. Para todo lo demás, el gestor genera contraseñas aleatorias largas y tú no las ves nunca.

Lo más importante de todo: protege con verificación en dos pasos la cuenta de correo principal y la cuenta del propio gestor. Esa cuenta es la llave maestra del resto: con ella se pueden recuperar contraseñas de casi todos los demás servicios. Si cae, cae todo.

Gestor y phishing

Un gestor también ayuda contra phishing: solo autocompleta en el dominio que coincide con la entrada guardada. Si el sitio es falso, el gestor no rellena. Cuando el gestor "no quiere" autocompletar, mira la URL: probablemente no es el sitio real.