El 11 de diciembre de 2025, la autoridad británica de protección de datos multó con 1.2 millones de libras a LastPass UK, proveedora del gestor de contraseñas LastPass, por una filtración de 2022. En el mismo comunicado escribió esto: «Password managers are a safe and effective tool for businesses and the public». Traducción nuestra: los gestores de contraseñas son una herramienta segura y eficaz para las empresas y para el público.
Parece una contradicción. No lo es.
La misma autoridad dice que no hay evidencia de que los atacantes descifraran las contraseñas de los clientes. Lo que se llevaron fue otra cosa, y conviene saber qué antes de elegir. Esa diferencia, entre que te roben la caja y que te roben lo que hay dentro, es el hilo de esta guía.
Casi cualquier gestor guarda, genera y rellena contraseñas. Por eso comparar funciones sirve poco. Lo que separa a uno de otro son cuatro preguntas.
- ¿En qué aparatos vives? Si todo es de una marca, el gestor que ya trae tu teléfono puede bastar. Si mezclas marcas, cambia la cuenta.
- ¿Qué pasa si olvidas la contraseña maestra? Ni Bitwarden ni 1Password te la pueden restablecer.
- ¿Qué pasa con tus contraseñas si te pasa algo? El contacto de legado de Apple recibe tus fotos, no tus contraseñas.
- ¿Qué pasa si la empresa cambia las reglas o la hackean? Las dos cosas ya pasaron.
Revisé cuatro de las páginas en español que aparecen al buscar cómo elegir un gestor de contraseñas. Ninguna contesta esas cuatro preguntas.
En México, el INEGI estimó 104.9 millones de personas usuarias de internet en 2025, el 86.1 % de la población de 6 años y más. De ellas, el 37.3 % reportó hacer compras por internet. Deducción nuestra: son unos 39.1 millones de personas que compran por internet, con los dos datos de la misma encuesta.
Esto vas a encontrar abajo.
- NIST, el instituto de normas de Estados Unidos, cambió en julio de 2025 su guía para los sistemas de su gobierno. Pide 15 caracteres a la contraseña que va sola, prohíbe exigir mezclas de símbolos y cambios por calendario, y obliga a permitir los gestores.
- El Centro Nacional de Ciberseguridad británico, el NCSC, da una regla para elegir. Para comodidad, el gestor de tu navegador o de tu teléfono. Para aparatos de varias marcas, más funciones o no depender de una sola empresa, uno aparte y de buena reputación.
- Tres cambios ya pasaron. Microsoft sacó las contraseñas de Authenticator en 2025, Dashlane cerró su plan gratis el 16 de septiembre de 2025 y Bitwarden cambió el precio de su plan Premium en enero de 2026.
- En pesos, al tipo de cambio del Banco de México, Bitwarden Premium cuesta 355.96 al año y su plan familiar, 860.79 para hasta seis personas. Una sola persona paga lo mismo por 1Password desde el segundo año.
- En la filtración de LastPass, las bóvedas salieron cifradas, salvo las direcciones de los sitios guardados. Hubo 1,631,410 clientes británicos afectados.
- Un estudio suizo de 2026 describe 12 ataques contra Bitwarden, 7 contra LastPass, 6 contra Dashlane y 6 contra 1Password, con el servidor de la empresa en contra.
- Seis palabras al azar de la lista de la EFF dan unas 2⁷⁷ combinaciones. Cada palabra extra las multiplica por 7,776.
Tres avisos. Esta guía nombra marcas porque sus empresas publican la documentación citada, no porque recomiende alguna, y no tiene enlaces de afiliado. Los precios son los del 9 de octubre de 2026. Y la parte de datos personales es información general, no asesoría legal.
Las citas de documentos en inglés van en su idioma original, seguidas de una traducción nuestra. Cada fuente está enlazada en «Fuentes y metodología».
La versión de un minuto
Si solo vas a leer una sección, que sea esta. Son ocho reglas, y cada una sale de una fuente citada abajo.
- Usa un gestor. La guía de NIST obliga a los sitios que la siguen a permitir los gestores y el autocompletado, y la autoridad británica que multó a LastPass los sigue recomendando.
- Empieza por el que ya tienes. Si lo que más te importa es la comodidad, el NCSC recomienda el gestor de tu navegador o de tu teléfono.
- Si mezclas marcas, elige uno aparte, y míralo por su reputación. También lo pide el NCSC.
- Haz una contraseña maestra larga. La EFF, una organización estadounidense de derechos digitales, propone seis palabras al azar para abrir un gestor. No la uses en ningún otro lado.
- Activa la verificación en dos pasos en la cuenta del gestor, como pide el NCSC.
- Prepara hoy la salida para cuando olvides la maestra: un código de recuperación, un kit de emergencia o un contacto de confianza, según lo que ofrezca tu gestor.
- Decide quién recibe tus contraseñas si te pasa algo. El contacto de legado de Apple no las recibe, y el acceso de emergencia de Bitwarden es de su plan de pago.
- Comprueba que puedes irte. Apple explica cómo exportar tus contraseñas y avisa que el archivo no va cifrado, así que bórralo al terminar.
Lectura nuestra: lo demás pesa menos. El número de funciones no contesta ninguna de las cuatro preguntas de arriba.
Qué hace un gestor de contraseñas, y qué no
Un gestor de contraseñas es una caja fuerte. Guarda tus contraseñas cifradas y las abre con una sola llave. En los gestores aparte, esa llave es la contraseña maestra. Lectura nuestra: en los de Apple, Google y Microsoft, es tu cuenta de esa empresa. Lo que importa al elegir es quién más tiene acceso a esa caja y qué pasa cuando falla la cerradura.
Guarda, genera y rellena
El NCSC lo define en una línea: «A password manager stores passwords safely for you». Traducción nuestra: un gestor de contraseñas guarda tus contraseñas de forma segura por ti.
En la práctica hacen tres trabajos.
- Guardan tus contraseñas en una bóveda cifrada. Los de Apple y Google guardan también llaves de acceso, y el de Apple, códigos de verificación.
- Generan contraseñas largas y al azar, distintas para cada sitio.
- Rellenan el usuario y la contraseña cuando entras a un sitio.
El tercer trabajo protege más de lo que parece. Bitwarden lo explica así: los gestores «are not fooled by similarly spelled website URLs, they must be exactly correct». Traducción nuestra: no se dejan engañar por direcciones de sitios escritas de forma parecida; tienen que ser exactamente las correctas.
Deducción nuestra: si tu gestor no ofrece rellenar la contraseña en un sitio donde siempre lo hace, esa página merece una segunda mirada. Puede ser una copia hecha para robarte la contraseña. Lo que conviene revisar antes de pagar en una tienda nueva está en qué revisar antes de comprar en línea.
El NCSC distingue dos tipos. Los de primera parte los da el fabricante del aparato o del navegador, como Chrome, Safari, Edge y Firefox. Los de tercera parte son de otra empresa y se instalan por separado.
Hay otra opción: los gestores que guardan todo en un archivo en tu computadora. INCIBE, el instituto de ciberseguridad de España, dice que «los servicios que almacenan las contraseñas offline o en local, en principio son más seguros, aunque menos prácticos». KeePassXC, de código abierto, es un ejemplo: funciona en Windows, macOS y Linux, y su página no menciona una aplicación móvil oficial. Si quieres el archivo también en el teléfono, la sincronización corre por tu cuenta.
Lo que no arregla
Un gestor protege tus contraseñas guardadas. No protege un aparato que ya está abierto.
El NCSC lo advierte: «If someone gains access to your unlocked laptop, they may be able to access your passwords». Traducción nuestra: si alguien entra a tu computadora sin bloquear, puede tener acceso a tus contraseñas.
Y sobre los gestores del navegador, en otra de sus páginas: «Remember that if you store your passwords in the browser, they are only as secure as your devices and accounts». Traducción nuestra: recuerda que, si guardas tus contraseñas en el navegador, solo están tan seguras como tus aparatos y tus cuentas.
Mi criterio, y va como criterio: el gestor vale lo que vale el bloqueo de tu teléfono. Antes de instalar nada, ponle código a tus aparatos y revisa quién más los usa.
Reutilizar es el problema
La razón para usar un gestor no es tener contraseñas raras. Es no repetirlas.
NIST pide a los sitios que, cuando alguien crea o cambia una contraseña, la comparen «against a blocklist that contains known commonly used, expected, or compromised passwords». Traducción nuestra: contra una lista de bloqueo que contenga contraseñas conocidas por ser comunes, previsibles o haber quedado expuestas.
Esas listas son grandes. Have I Been Pwned, el servicio que reúne contraseñas filtradas, lo dice en su página de cumplimiento con NIST: «the corpus contains billions of passwords». Traducción nuestra: la colección contiene miles de millones de contraseñas.
La revisión no exige entregar tu contraseña. Según el mismo servicio, solo viajan los primeros 5 caracteres de su hash SHA-1, una especie de huella de la contraseña, y la comparación se hace del lado de quien consulta.
El gestor de Google hace una revisión parecida. Lo explica en su ayuda de Chrome: «You can check all your saved passwords at once». Traducción nuestra: puedes revisar todas tus contraseñas guardadas a la vez. La revisión dice cuáles quedaron expuestas en una filtración.
Lectura nuestra: una contraseña repetida convierte la filtración de un sitio en la puerta de todos los demás. Un gestor no impide la filtración. Hace que la siguiente puerta tenga otra llave.
Lo que no encontré medido en México
Busqué una cifra oficial de cuántas personas en México usan un gestor de contraseñas. No la encontré.
La ENDUTIH 2025 del INEGI mide el uso de internet, del celular y de las compras en línea. En su reporte de resultados no hay datos sobre contraseñas ni sobre cuentas robadas.
El Módulo sobre Ciberacoso, el MOCIBA, se acerca más. En 2025 encontró que el «20.4 % de la población de 12 años y más usuaria de internet vivió alguna situación de acoso cibernético», unos 19.4 millones de personas. Su ficha de cobertura incluye los «ciberdelitos de hackeo, ransomware o malware». En los reportes de resultados de 2024 y 2025 que leí, no aparece cuántas personas sufrieron un hackeo.
Quizá la cifra esté en sus tabulados, que no revisé.
Tampoco pude leer los comunicados de la Secretaría de Seguridad y Protección Ciudadana: el portal federal no respondió. Sí pude leer una guía estatal, y va en la sección siguiente.
Las reglas que cambiaron en 2025
Hay una receta conocida para las contraseñas: mezclar mayúsculas, números y símbolos, y cambiarlas cada cierto tiempo. La guía técnica de NIST ya no la pide, y en dos puntos la prohíbe.
Lo que pide NIST desde julio de 2025
NIST publicó en julio de 2025 la cuarta revisión de su guía «Digital Identity Guidelines: Authentication and Authenticator Management», conocida como SP 800-63B-4. Su alcance lo dice ella misma: «This guideline focuses on the authentication of subjects who interact with government information systems». Traducción nuestra: esta guía se centra en la autenticación de quienes interactúan con sistemas de información del gobierno.
Está escrita para los sitios que revisan contraseñas, no para quienes las escriben. Lectura nuestra: aun así, dice cómo conviene escribirlas, porque describe lo que esos sitios ya no deben exigirte. La guía marca lo obligatorio con SHALL y lo recomendado con SHOULD. Estas son las seis reglas que más tocan a quien usa un gestor.
1. Quince caracteres si la contraseña va sola. Los sitios deben exigir que una contraseña que se usa como único factor llegue «to be a minimum of 15 characters in length». Traducción nuestra: a un mínimo de 15 caracteres de largo. Si la contraseña es solo una parte de un inicio de sesión con dos factores, puede ser más corta, «but SHALL require them to be a minimum of eight characters in length». Traducción nuestra: pero deben exigir un mínimo de ocho caracteres de largo.
2. Espacio para contraseñas largas. «Verifiers and CSPs SHOULD permit a maximum password length of at least 64 characters». Traducción nuestra: los verificadores y los proveedores de credenciales deberían permitir un largo máximo de al menos 64 caracteres. El verificador es el sitio que revisa tu contraseña.
3. Nada de mezclas obligatorias. «Verifiers and CSPs SHALL NOT impose other composition rules (e.g., requiring mixtures of different character types) for passwords». Traducción nuestra: los verificadores y los proveedores de credenciales no deben imponer otras reglas de composición a las contraseñas, como exigir mezclas de distintos tipos de caracteres.
4. Nada de cambios por calendario. «Verifiers and CSPs SHALL NOT require subscribers to change passwords periodically». Traducción nuestra: no deben exigir que se cambien las contraseñas de forma periódica. La excepción va justo después: «However, verifiers SHALL force a change if there is evidence that the authenticator has been compromised». Traducción nuestra: sin embargo, los verificadores deben forzar un cambio si hay evidencia de que la contraseña quedó comprometida.
5. Los gestores, permitidos por obligación. «Verifiers SHALL allow the use of password managers and autofill functionality». Traducción nuestra: los verificadores deben permitir el uso de gestores de contraseñas y de la función de autocompletar.
6. Pegar, también. «Verifiers SHOULD permit claimants to use the «paste» function when entering a password». Traducción nuestra: los verificadores deberían permitir usar la función de pegar al escribir una contraseña. La guía da la razón en la misma frase: facilitar el uso de un gestor cuando no funciona el autocompletado.
Ninguna de las seis le prohíbe nada a quien usa un gestor. Las seis le quitan obstáculos.
Quince letras le ganan a ocho símbolos
La regla 3 suena rara a quien aprendió la receta vieja. La aritmética la explica.
Una contraseña de ocho caracteres que use los 94 de un teclado en inglés tiene 94 elevado a la 8 combinaciones: unos 6 mil billones. Una de quince minúsculas tiene 26 elevado a la 15: más de mil trillones.
Cuenta propia: la de quince minúsculas tiene 275,155 veces más combinaciones que la de ocho caracteres con todo. Medido en bits, son 70.51 contra 52.44. Cada bit de más duplica las combinaciones.
Hay una condición. Esas cuentas valen si los caracteres se eligen al azar, como lo hace el generador de un gestor. Si en lugar de azar usas palabras que eliges tú, nombres o fechas, dejan de valer, porque ya no eliges entre todas las combinaciones, sino entre las que se te ocurren.
Por eso, las contraseñas de cada sitio, que las invente el gestor. La única que inventas tú, la maestra, que sea larga y al azar, como explica «La contraseña maestra».
Ni pistas ni preguntas de seguridad
NIST cierra otras dos puertas.
Las pistas: los sitios «SHALL NOT permit the subscriber to store a hint». Traducción nuestra: no deben permitir que se guarde una pista. La misma frase precisa que habla de una pista que pueda ver alguien que no ha comprobado quién es.
Y las preguntas de seguridad: los sitios «SHALL NOT prompt subscribers to use knowledge-based authentication (KBA)». Traducción nuestra: no deben pedir que se use autenticación basada en conocimiento. La misma frase agrega las preguntas de seguridad y pone un ejemplo: el nombre de tu primera mascota.
Lectura nuestra: datos como ese, o la calle donde creciste, son cosas que otras personas pueden conocer o encontrar.
Mi criterio, y va como criterio: si un sitio todavía te hace preguntas de seguridad, contéstalas con un texto al azar que genere tu gestor, y guarda la respuesta ahí mismo.
Lo que dicen el NCSC y una guía mexicana
El NCSC revisó su página de consejos el 21 de mayo de 2026. Además de la maestra, pide proteger la cuenta del gestor: «You should also switch on two-step verification (2SV) on the password manager account». Traducción nuestra: también deberías activar la verificación en dos pasos en la cuenta del gestor de contraseñas.
La guía mexicana que sí pude leer es una ciberguía de la Secretaría de Seguridad Pública de Guanajuato, alojada en el sitio del gobierno del estado. Recomienda un gestor, aunque lo llama de otra manera: «Utiliza un llavero electrónico que te permita crear y encriptar de forma fácil y segura».
En lo demás, repite la receta vieja. Pide una frase «con un mínimo de 10 caracteres incluyendo números», dice «Convierte las vocales en números» y recomienda «Cambia las contraseñas periódicamente». También dice que «no guardarás las contraseñas de manera automática en los sitios web».
Lectura nuestra: las dos primeras van en sentido contrario a las reglas 1 y 3 de NIST, que ponen el largo por encima de la mezcla. La tercera va contra el sentido de la regla 4. La cuarta es ambigua: si se refiere al navegador, el NCSC recomienda lo contrario a quien busca comodidad.
El documento no imprime su fecha, y el archivo está en una carpeta de mayo de 2022 de ese sitio. Para entonces, la versión de 2017 de la guía de NIST ya desaconsejaba los cambios por calendario: «Verifiers SHOULD NOT require memorized secrets to be changed arbitrarily (e.g., periodically)». Traducción nuestra: los verificadores no deberían exigir que las contraseñas memorizadas se cambien de forma arbitraria, por ejemplo, cada cierto tiempo. La revisión de 2025 convirtió esa recomendación en obligación. Lectura nuestra: una guía que se encuentra hoy puede ir años atrasada. Antes de seguir una, mira su fecha.
La primera decisión: el gestor de tu teléfono o uno aparte
Antes de comparar marcas hay una pregunta más simple. ¿Te basta el gestor que ya viene con tu teléfono o con tu navegador?
La regla del NCSC
El NCSC la contesta en una entrada de su blog del 24 de junio de 2025, «Trusting the tech: using password managers and passkeys to help you stay secure online». La firma su responsable de resiliencia ciudadana, y da una regla de dos ramas.
La primera: «If convenience is the most important thing, use the password manager provided by your browser or device manufacturer». Traducción nuestra: si lo más importante es la comodidad, usa el gestor de contraseñas que te da el fabricante de tu navegador o de tu aparato.
La segunda: «If you want additional features, have a complex mix of devices/browsers or want to avoid being «locked in» to the vendor, then choose a reputable third-party password manager». Traducción nuestra: si quieres funciones adicionales, tienes una mezcla complicada de aparatos o navegadores, o quieres evitar que el proveedor te amarre, elige un gestor de tercera parte con buena reputación.
La regla no dice que un tipo sea seguro y el otro no. Distingue por lo que necesitas.
Sobre la reputación agrega: «Consider reputation when deciding which tools you want to place your trust in». Traducción nuestra: considera la reputación al decidir en qué herramientas vas a poner tu confianza. Es la misma disciplina de cómo elegir un proveedor confiable.
Y sobre lo que le falta al navegador, otra: «Browser-based password managers often lack the advanced features of standalone password managers, such as secure notes or password sharing». Traducción nuestra: los gestores del navegador a menudo carecen de las funciones avanzadas de los gestores independientes, como las notas seguras o compartir contraseñas.
Lo que sigue va por tipo de aparato.
Si todo lo tuyo es Apple
Apple tiene una aplicación propia, Contraseñas, que viene con el sistema. Su ayuda dice que existe «Starting in iOS 18, iPadOS 18, macOS Sequoia, and visionOS 2». Traducción nuestra: a partir de iOS 18, iPadOS 18, macOS Sequoia y visionOS 2.
Guarda contraseñas, llaves de acceso, contraseñas de wifi y códigos de verificación, y permite compartirlas con tu familia mediante grupos. Y llega a Windows: con iCloud para Windows puedes «set up iCloud Passwords to access your passwords in Google Chrome or Microsoft Edge». Traducción nuestra: configurar Contraseñas de iCloud para acceder a tus contraseñas en Google Chrome o Microsoft Edge.
La página no menciona Android. Si un día cambias de teléfono a otra marca, ese es el punto que conviene revisar antes de comprar.
Hay un segundo punto, más delicado, en «Si te pasa algo».
Si vives en Chrome o en Android
El gestor de Google viene en Android y en Chrome. Su ayuda dice que tus contraseñas y llaves de acceso se ven y se administran «in Google Password Manager on Android, in Chrome, or at passwords.google.com». Traducción nuestra: en el Gestor de contraseñas de Google en Android, en Chrome o en passwords.google.com.
En iPhone también funciona, por medio de Chrome. La ayuda para iPhone y iPad dice: «For versions iOS 18.2 and up, you can also autofill if you set Chrome as one of the default password managers». Traducción nuestra: a partir de iOS 18.2, también puedes autocompletar si configuras Chrome como uno de los gestores de contraseñas predeterminados.
Un detalle que cambia las cosas: dónde quedan guardadas. La ayuda de Chrome para computadora y la de iPhone lo dicen igual: «When you’re not signed in to Chrome, it stores passwords locally on your device». Traducción nuestra: cuando no has iniciado sesión en Chrome, guarda las contraseñas solo en tu aparato. Deducción nuestra: si pierdes ese aparato sin haber iniciado sesión, pierdes esas contraseñas.
Si usas Windows y Edge
Microsoft guarda tus contraseñas en Edge, su navegador. La ayuda de Microsoft lo explica así: «The password is stored securely and can be reused on any device where you sign in to Edge using your Microsoft account». Traducción nuestra: la contraseña se guarda de forma segura y puedes volver a usarla en cualquier aparato donde inicies sesión en Edge con tu cuenta Microsoft.
Hay una condición: «Microsoft Password Manager in Edge is only available if you sign in with a personal account profile». Traducción nuestra: el gestor de contraseñas de Microsoft en Edge solo está disponible si inicias sesión con un perfil de cuenta personal.
Hasta 2025 había otra vía en el teléfono, la aplicación Authenticator. Ya no guarda contraseñas, y la historia está en la sección siguiente.
Si tus aparatos son de varias marcas
Aquí la regla del NCSC empuja hacia un gestor aparte. Estas son las combinaciones más claras, con lo que dicen las ayudas de cada empresa.
| Tus aparatos | Gestor de primera parte posible | Lo que conviene saber |
|---|---|---|
| iPhone, iPad y Mac | Contraseñas de Apple | Viene con el sistema desde iOS 18 y macOS Sequoia |
| iPhone y una computadora con Windows | Contraseñas de Apple, con iCloud para Windows | En Windows, la ayuda de Apple lo describe para Chrome y Edge |
| Android y cualquier computadora con Chrome | Gestor de contraseñas de Google | En la computadora, si no inicias sesión en Chrome, las contraseñas se quedan en ese aparato |
| iPhone con Chrome | Gestor de contraseñas de Google | Autocompleta en otras aplicaciones desde iOS 18.2 |
| Windows con Edge y un teléfono | Gestor de contraseñas de Microsoft en Edge | Solo con un perfil de cuenta personal |
| Familia o equipo con marcas mezcladas | Lectura nuestra: el de Google, si todos usan Chrome | El NCSC sugiere un gestor de tercera parte |
Mi criterio, y va como criterio: si para que tu gestor funcione en todos tus aparatos tienes que instalar un puente en más de uno, ya estás en la segunda rama del NCSC. Un gestor aparte te deja cambiar de teléfono, aunque sea de otra marca, sin mudarte de bóveda.
Tres cambios que ya pasaron
Elegir un gestor es elegir a una empresa, y las empresas cambian sus productos. Entre mayo de 2025 y enero de 2026 pasaron tres cosas que lo muestran, cada una de un tipo distinto.
Microsoft sacó las contraseñas de Authenticator
Authenticator es la aplicación de Microsoft para los códigos de verificación. Durante un tiempo también guardaba y rellenaba contraseñas en el teléfono. Microsoft avisó del cambio en la propia aplicación en mayo de 2025, y publicó el calendario en su ayuda.
- Junio de 2025. «In June 2025, the ability to Add or Import new passwords in the Authenticator App stopped». Traducción nuestra: en junio de 2025 dejó de ser posible agregar o importar contraseñas nuevas en Authenticator.
- Julio de 2025. «In July 2025, the ability to autofill with Authenticator stopped». Traducción nuestra: en julio de 2025 dejó de funcionar el autocompletado con Authenticator.
- Mediados de agosto de 2025. «In mid-August 2025, saved personal information of users became no longer accessible in Authenticator». Traducción nuestra: a mediados de agosto de 2025, la información personal que guardaban quienes lo usaban dejó de estar accesible en Authenticator.
Dos frases de esa ayuda dicen lo que no se pasó a ningún lado. «Generated password history was not retained». Traducción nuestra: el historial de contraseñas generadas no se conservó. Y sobre las tarjetas: «For security reasons, payment info stored in Authenticator has been deleted and is no longer accessible». Traducción nuestra: por razones de seguridad, la información de pago guardada en Authenticator se borró y ya no está accesible.
La salida que propone para quien quiere irse a otro gestor es exportar desde Edge: «Export your saved passwords from Edge». Traducción nuestra: exporta tus contraseñas guardadas desde Edge. Y después: «Import the CSV file created to your other password manager». Traducción nuestra: importa a tu otro gestor de contraseñas el archivo CSV que se creó.
Dashlane cerró su plan gratis
Dashlane anunció el 5 de agosto de 2025 que su plan gratuito se terminaba: «The Dashlane Free plan ends Sept. 16, 2025». Traducción nuestra: el plan gratuito de Dashlane termina el 16 de septiembre de 2025.
Ese mismo día pasó las cuentas gratuitas a una prueba de las funciones de Premium. Cuenta propia: la prueba duró 42 días.
Después, la bóveda quedó en modo de solo salida: «You will no longer be able to add to, edit, copy, or view your data in Dashlane, just export it». Traducción nuestra: ya no podrás agregar, editar, copiar ni ver tus datos en Dashlane, solo exportarlos.
Y había un segundo plazo: «By September 16th, 2026, to maintain access to your data, make sure to upgrade to a Premium or Friends & Family plan or export your data». Traducción nuestra: antes del 16 de septiembre de 2026, para conservar el acceso a tus datos, asegúrate de pasar a un plan Premium o Friends & Family, o de exportar tus datos.
Ese plazo ya venció. El anuncio no dice qué pasa con los datos después de esa fecha. Hoy, su página de precios para personas no muestra un plan gratuito y ofrece una prueba de 14 días.
Bitwarden cambió su plan Premium
El 21 de enero de 2026, Bitwarden publicó «Bitwarden launches enhanced premium plan». El precio nuevo va en la misma entrada: «Premium for individuals is now available at $1.65 per month, billed annually at $19.80 a year». Traducción nuestra: Premium para personas está disponible ahora a 1.65 dólares al mes, con cobro anual de 19.80 dólares.
El plan familiar quedó así: «The Families plan is available at $3.99 per month, billed annually at $47.88 a year for up to six users». Traducción nuestra: el plan familiar está disponible a 3.99 dólares al mes, con cobro anual de 47.88 dólares, para hasta seis personas.
A los clientes actuales les aplica al renovar: «All current subscribers will receive a 15-day notice before their next renewal date». Traducción nuestra: quienes ya tienen una suscripción recibirán un aviso 15 días antes de su siguiente renovación.
La entrada no dice cuál era el precio anterior, y por eso aquí tampoco va. Sí lista lo que se agregó: alertas sobre la salud de tus contraseñas, 5 GB de archivos adjuntos y hasta 10 llaves de seguridad para el inicio de sesión. El plan gratuito siguió igual: «Unlimited devices, unlimited passwords». Traducción nuestra: aparatos ilimitados, contraseñas ilimitadas.
Lo que enseñan los tres
Lectura nuestra: son tres riesgos distintos. En Microsoft cambió el propósito del producto. En Dashlane desapareció el plan gratuito. En Bitwarden cambió el precio. Ninguno es una filtración, y los tres te obligan a decidir algo con plazo.
Los plazos tampoco se parecen: Microsoft avisó en mayo y cerró el acceso a mediados de agosto; Dashlane dio 42 días de prueba y un año para exportar; Bitwarden avisa 15 días antes de cobrar.
Microsoft y Dashlane indicaron la misma salida: exportar. Lectura nuestra: en Bitwarden, quien no acepte el precio nuevo tiene la misma salida. Es la segunda rama del NCSC vista desde el otro lado. El riesgo de que una empresa te amarre está en no saber sacar tus datos el día que cambia las condiciones. Qué cláusulas mirar cuando un proveedor puede cambiar las reglas está en las cláusulas de un contrato con proveedores.
Mi criterio, y va como criterio: exporta tu bóveda una vez al año, aunque no pienses irte. Abre el archivo, comprueba que están tus cuentas y bórralo. Es la prueba de que la salida existe, y la sección «Cómo cambiarte de gestor sin perder nada» explica cómo hacerlo sin dejar el archivo a la vista.
Cuánto cuesta, en pesos
Los gestores de primera parte vienen con el teléfono o con el navegador y no cobran aparte. Los de tercera parte tienen plan gratuito, plan de pago o los dos. Aquí van con las cifras que cada empresa publica, convertidas a pesos con el tipo de cambio FIX del Banco de México del 7 de octubre de 2026: 17.9780 pesos por dólar.
Los planes gratis y su letra chica
En lo que leí, el límite que pesa no es de contraseñas. Está en los aparatos donde puedes usarlo.
| Gestor | ¿Tiene plan gratis? | El límite que importa, según su página |
|---|---|---|
| Contraseñas de Apple | Viene con el sistema | Aparatos de Apple, y Windows con iCloud para Windows |
| Gestor de Google | Viene con Android y Chrome | Sin sesión en Chrome, en computadora o iPhone, no sale del aparato |
| Gestor de Microsoft en Edge | Viene con Edge | Solo con perfil de cuenta personal |
| Bitwarden | Sí | Aparatos y contraseñas ilimitados; compartir con otra persona |
| Proton Pass | Sí | Aparatos ilimitados; hasta tres códigos de verificación |
| NordPass | Sí | Una sesión activa en un aparato a la vez |
| LastPass | Sí | Un solo tipo de aparato: computadoras o teléfonos |
| Dashlane | No, desde el 16 de septiembre de 2025 | Prueba de 14 días |
| 1Password | No | Prueba de 14 días |
| KeePassXC | Es gratuito y de código abierto | Archivo local; la sincronización corre por tu cuenta |
El límite de NordPass se lee mejor con sus palabras: «This version only allows users to have one active session on one device». Traducción nuestra: esta versión solo permite tener una sesión activa en un aparato. Puedes instalarlo en todos tus aparatos, pero usarlo en uno a la vez. El de LastPass es parecido: su plan gratuito funciona en computadoras o en teléfonos, no en los dos.
Lectura nuestra: si vas a usar el gestor en el teléfono y en la computadora, el límite de aparatos decide más que cualquier función. De los planes gratuitos de la tabla, Bitwarden y Proton Pass no lo tienen. Las demás herramientas gratuitas que conviene conocer para un negocio pequeño están en las mejores herramientas gratis para emprendedores.
Los planes de pago, en pesos
La serie ya había señalado el gestor como la única app en la que conviene gastar, en las mejores apps para productividad diaria. Estos son los precios oficiales que se pudieron leer el 9 de octubre de 2026, con cobro anual.
| Plan | Dólares al año | Pesos al año | Pesos al mes |
|---|---|---|---|
| Bitwarden Premium, una persona | 19.80 | 355.96 | 29.66 |
| Bitwarden Families, hasta seis personas | 47.88 | 860.79 | 71.73 |
| 1Password Individual, primer año con descuento | 35.88 | 645.05 | 53.75 |
| 1Password Individual, precio original | 47.88 | 860.79 | 71.73 |
| 1Password Families, cinco personas, primer año con descuento | 53.88 | 968.65 | 80.72 |
| 1Password Families, precio original | 71.88 | 1,292.26 | 107.69 |
Tres notas para leer la tabla.
El descuento de 1Password dura un año. Su página ofrece 25 % menos los primeros 12 meses, solo para clientes nuevos que compran directo en su sitio y no en las tiendas de aplicaciones. Cuenta propia: en el segundo año, el plan individual sube 33.4 %, unos 215.74 pesos más. Cómo leer una rebaja antes de comprar está en cómo detectar una buena oferta de verdad.
Bitwarden no incluye los impuestos. Lo dice al pie de sus precios: «Pricing shown in USD and based on an annual subscription. Taxes not included». Traducción nuestra: precios en dólares estadounidenses, con suscripción anual; impuestos no incluidos. Si al cobro se agrega el IVA de 16 %, los 355.96 pesos de Premium pasan a 412.92. Información general, no asesoría fiscal.
El tipo de cambio se mueve. Cada peso que sube el dólar encarece Premium 19.80 pesos al año. Con el dólar a 17 pesos serían 336.60; a 19, serían 376.20.
En pesos al día, Bitwarden Premium cuesta 0.98. Es una suscripción anual chica, de las que conviene apuntar entre los gastos que revisas cada mes.
El mismo precio para una persona o para seis
Hay una coincidencia en la tabla que dice mucho. El plan familiar de Bitwarden, para hasta seis personas, cuesta 47.88 dólares al año. El plan individual de 1Password, a su precio original, también cuesta 47.88.
Son los mismos 860.79 pesos. Con uno pagan seis personas; con el otro, una. Cuenta propia: en el plan familiar de Bitwarden, cada persona sale en 143.46 pesos al año, 11.96 al mes.
Las demás razones van en la misma línea. Cuenta propia: el individual de 1Password cuesta 2.42 veces lo que Bitwarden Premium a precio original, y 1.81 veces en el primer año con descuento. Su plan familiar cuesta 1.50 veces el de Bitwarden y cubre a una persona menos.
Lectura nuestra: esto no dice cuál es mejor. Dice cuánto más pagas por lo que el más caro ofrece de distinto, como la clave secreta que se explica en «La clave secreta de 1Password».
Los precios que no se pudieron leer
Las páginas de precios de Proton Pass, Dashlane, NordPass y LastPass no mostraron cifras cuando las consulté con una herramienta automática, y no copié esos precios de otros sitios.
Si vas a comparar uno de esos, la cuenta es corta. Multiplica el precio anual en dólares por el tipo de cambio FIX del día, que publica el Banco de México. Divide entre 12 para el mes, o entre las personas del plan.
Qué compras cuando pagas
Pagar no compra más contraseñas, porque los planes gratuitos de Bitwarden y Proton Pass ya las tienen ilimitadas.
Bitwarden lista en su ayuda lo que agrega Premium: «advanced 2FA options, the Bitwarden authenticator (TOTP), encrypted file attachments, emergency access and more». Traducción nuestra: opciones avanzadas de verificación en dos pasos, el autenticador de Bitwarden para códigos temporales, archivos adjuntos cifrados, acceso de emergencia y más.
Proton Pass Plus agrega, entre otras cosas, el autenticador integrado, compartir bóvedas, archivos adjuntos y acceso de emergencia. LastPass Premium agrega el acceso de emergencia, compartir con varias personas y todos los tipos de aparato.
Lectura nuestra: de esas funciones, la que más cambia las respuestas a las cuatro preguntas del principio es el acceso de emergencia, y lo verás en «Si te pasa algo». En LastPass, pagar también quita el límite de aparatos. Las demás suman comodidad o refuerzan la entrada.
Mi criterio, y va como criterio: si vas a pagar por una sola razón, que sea esa. El autenticador integrado es cómodo, pero guardar la contraseña y el segundo factor en la misma bóveda junta las dos llaves en un mismo llavero.
Si olvidas la contraseña maestra
Conviene hacerse esta pregunta el día que instalas el gestor, no el día que la olvidas. La respuesta depende de quién guarda la llave.
La empresa no te la puede restablecer
En Bitwarden y en 1Password, la respuesta corta es que la empresa no te la puede restablecer. Bitwarden lo explica así: «Bitwarden operates with zero-knowledge encryption». Traducción nuestra: Bitwarden funciona con cifrado de conocimiento cero. Es decir, la empresa no conoce tu contraseña maestra.
La consecuencia va en la frase siguiente de su ayuda: «Bitwarden has no way to access, retrieve, or reset your master password». Traducción nuestra: Bitwarden no tiene forma de acceder a tu contraseña maestra, de recuperarla ni de restablecerla.
1Password dice lo mismo con otras palabras: «This makes sure that your data is safe from intruders, but it also means that no one can reset your password». Traducción nuestra: esto asegura que tus datos estén a salvo de intrusos, pero también significa que nadie puede restablecer tu contraseña.
Lectura nuestra: el mismo diseño que deja fuera a un intruso te deja fuera a ti si olvidas la llave. No es un defecto. Es el precio de que la empresa no pueda leer tu bóveda.
Con los gestores de Apple, Google y Microsoft el esquema cambia. Lectura nuestra: ahí la llave es tu cuenta de esa empresa, así que recuperar tus contraseñas depende de poder recuperar esa cuenta. No revisé las reglas de recuperación de esas cuentas para esta guía.
Las salidas que se preparan antes
Que la empresa no te la restablezca no significa que no haya salida. Significa que la salida se prepara antes de necesitarla. Esto es lo que ofrecen las dos empresas en sus ayudas.
| Gestor | ¿Te restablecen la maestra? | Salidas que hay que preparar antes |
|---|---|---|
| Bitwarden | No | Un aparato donde sigas dentro, un contacto de emergencia si tú tienes plan de pago, una llave de acceso para entrar o, en una organización, la recuperación por su administrador |
| 1Password | No | El kit de emergencia si anotaste ahí la contraseña, un código de recuperación, o un organizador familiar o un administrador de equipo |
| Apple, Google y Microsoft | La llave es tu cuenta de la empresa | Las reglas de recuperación de esa cuenta, que no se revisaron aquí |
1Password pone primero el kit de emergencia: si lo preparaste, revisa el campo de la contraseña. Describe otra salida así: «You can regain access to your 1Password account by using a recovery code on 1Password.com». Traducción nuestra: puedes recuperar el acceso a tu cuenta de 1Password con un código de recuperación en 1Password.com.
En 1Password hay una segunda llave que la empresa tampoco recupera: la clave secreta, que se explica en «La clave secreta de 1Password». Su ayuda dice: «We don’t have a copy of your Secret Key or any way to recover or reset it for you». Traducción nuestra: no tenemos una copia de tu clave secreta ni forma de recuperarla o restablecerla por ti. También dice dónde está: «It’s stored on devices you’ve already used and in your Emergency Kit». Traducción nuestra: está guardada en los aparatos que ya usaste y en tu kit de emergencia.
Si no preparaste nada, las dos empresas dicen lo mismo. Bitwarden propone borrar la cuenta y empezar de nuevo, y avisa: «Deleting your account will delete all individually-owned items stored in it, this will include any saved attachments». Traducción nuestra: borrar tu cuenta eliminará todos los elementos de tu propiedad guardados en ella, incluidos los archivos adjuntos.
1Password dice que, si ningún paso funciona, tendrás que empezar de nuevo.
Un detalle sobre la huella y la cara. Abrir el gestor con biometría ayuda a no teclear la maestra todos los días, pero 1Password advierte que ese desbloqueo «will eventually expire». Traducción nuestra: terminará por vencer. La maestra hay que recordarla igual.
Mi criterio, y va como criterio: imprime el código de recuperación o el kit de emergencia el mismo día que creas la cuenta, y guárdalo con tus papeles importantes. Una copia dentro del mismo gestor no sirve, porque es justo la puerta que se cerró.
El matiz del NCSC
El NCSC lo plantea así: «If you forget your primary password, password managers offer the option of password recovery so it won’t mean losing access to all the passwords in your password manager». Traducción nuestra: si olvidas tu contraseña principal, los gestores ofrecen la opción de recuperarla, así que no significa perder el acceso a todas las contraseñas de tu gestor.
Las dos cosas son ciertas a la vez. Lectura nuestra: la opción existe, pero en Bitwarden y en 1Password es una opción que activas o guardas tú, antes. Quien no la preparó termina donde dicen las dos empresas: empezar de nuevo.
Si te pasa algo
Si mañana alguien de tu familia tuviera que entrar a tu correo, a tu banca en línea o a la cuenta de tu negocio, ¿podría? Con un gestor, la respuesta depende de qué pasa con la bóveda cuando su dueño ya no puede abrirla. De las cuatro páginas en español que revisé, solo una menciona el acceso de emergencia, de pasada, y es el blog de una de las empresas.
El contacto de legado de Apple no recibe tus contraseñas
Apple permite nombrar un contacto de legado para tu cuenta. Su ayuda, publicada el 14 de septiembre de 2026, dice qué recibe: «The data might include photos, messages, notes, files, device backups, and more». Traducción nuestra: los datos pueden incluir fotos, mensajes, notas, archivos, respaldos de los aparatos y más.
Y qué no recibe: «Inaccessible data includes movies, music, books, or subscriptions you purchased with your Apple Account, and data stored in your iCloud Keychain (payment information, passwords, and passkeys)». Traducción nuestra: los datos inaccesibles incluyen películas, música, libros o suscripciones que compraste con tu cuenta de Apple. También los datos guardados en tu llavero de iCloud: información de pago, contraseñas y llaves de acceso.
Para pedir el acceso, la persona necesita dos cosas: «Your Legacy Contact must have both the access key and your death certificate to request access after you pass away». Traducción nuestra: tu contacto de legado debe tener la clave de acceso y tu acta de defunción para solicitar el acceso después de que fallezcas.
Lectura nuestra: si todas tus contraseñas viven en la aplicación Contraseñas de Apple, tu contacto de legado puede recibir tus fotos y no las llaves de tu correo ni de tu banco. Para eso hace falta otra vía, y la última parte de esta sección propone una.
La ayuda de Google no aclara qué pasa con tus contraseñas
Google tiene el administrador de cuentas inactivas. Su ayuda lo describe como «a way for users to share parts of their account data or notify someone if they’ve been inactive for a certain period of time». Traducción nuestra: una forma de que quien usa la cuenta comparta partes de sus datos, o avise a alguien, si pasó cierto tiempo sin actividad. El plazo de espera lo fijas tú al configurarlo.
Permite elegir a varias personas: «You can select up to 10 people to receive this data». Traducción nuestra: puedes elegir hasta 10 personas para recibir estos datos. Y advierte: «some information can’t be shared». Traducción nuestra: cierta información no se puede compartir.
Esa página no menciona las contraseñas ni el gestor de contraseñas, así que no sé si tus contraseñas guardadas entran en lo que se comparte. Si dependes de ese gestor, conviene preguntárselo a Google antes de que haga falta.
El acceso de emergencia, en los planes de pago
Bitwarden, Proton Pass y LastPass lo resuelven con una función propia, en sus planes de pago. Bitwarden la describe así: permite nombrar «trusted emergency contacts who can request access to your Bitwarden vault if needed». Traducción nuestra: contactos de emergencia de confianza que pueden solicitar acceso a tu bóveda de Bitwarden si hace falta.
Funciona con una espera que fijas tú, salvo que apruebes la solicitud antes. Hay dos niveles: uno para ver tu bóveda y otro para tomar el control, con una contraseña maestra nueva que reemplaza la tuya y quita tu verificación en dos pasos.
Bitwarden dice que el acceso de emergencia está «available to premium users». Traducción nuestra: disponible para cuentas premium. Según la misma ayuda, también para miembros de organizaciones de pago, y tu contacto puede tener una cuenta gratuita.
En Proton Pass, el acceso de emergencia aparece entre lo que agrega Pass Plus. En LastPass, entre lo que agrega Premium.
Cuenta propia: con Bitwarden Premium, esa función cuesta 355.96 pesos al año, 0.98 al día.
Un sobre cerrado también cuenta
Hay una vía que funciona con cualquier gestor, incluidos los de Apple y Google, y no cuesta nada: el papel.
Mi criterio, y va como criterio: escribe en una hoja tu contraseña maestra, el nombre de tu gestor y dónde está tu kit o tu código de recuperación. Si tu gestor es el de Apple o el de Google, en lugar de la maestra va lo que hace falta para entrar a esa cuenta. Métela en un sobre cerrado, con tus papeles importantes, y dile a una sola persona de confianza dónde está.
El riesgo es obvio: quien abra el sobre tiene todo. Por eso el sobre va cerrado, en un lugar que se cierra, y conviene revisarlo cuando cambias la maestra. Si usas el acceso de emergencia de Bitwarden o de Proton, el sobre es un respaldo. Con Apple, es la única vía de las que revisé.
Si administras cuentas de un negocio, la conversación es otra y está en «Para un negocio pequeño».
Si hackean a la empresa
Es la duda razonable: si todo está en un lugar, basta con entrar a ese lugar. El caso de LastPass muestra qué pasa de verdad, porque una autoridad lo contó con detalle.
Qué se llevaron de LastPass
Según la resolución de la autoridad británica, del 20 de noviembre de 2025, una alerta de seguridad saltó el 11 de agosto de 2022. Al día siguiente, un atacante vulneró la computadora personal de escritorio de una persona del equipo de operaciones de LastPass, en Estados Unidos. La copia de la base de datos de respaldo salió entre el 19 de agosto y el 22 de septiembre de 2022. Cuenta propia: son 34 días.
LastPass lo contó el 22 de diciembre de 2022: «The threat actor was also able to copy a backup of customer vault data from the encrypted storage container». Traducción nuestra: el atacante también logró copiar un respaldo de los datos de las bóvedas de los clientes desde el contenedor de almacenamiento cifrado.
Lo cifrado eran los campos sensibles: «fully-encrypted sensitive fields such as website usernames and passwords, secure notes, and form-filled data». Traducción nuestra: campos sensibles totalmente cifrados, como los nombres de usuario y las contraseñas de los sitios, las notas seguras y los datos de formularios.
La resolución precisa la excepción. Los datos de las bóvedas se obtuvieron y se sacaron «in an encrypted form, with the exception of saved website URLs». Traducción nuestra: en forma cifrada, con excepción de las direcciones de los sitios web guardados.
La base de respaldo también traía datos de los clientes, como nombres, correos, teléfonos, direcciones de facturación y direcciones IP, según la resolución. En el Reino Unido hubo 1,631,410 clientes con datos afectados; de ellos, 159,809 con su nombre, 248,407 con su teléfono y 118,103 con su dirección física.
Lectura nuestra: lo que quedó legible fue la lista de sitios donde cada cliente tiene cuenta, junto con su correo. Con eso, un atacante sabe a qué banco o a qué tienda imitar en un correo falso dirigido a esa persona.
Lo que protegía cada bóveda
Las contraseñas iban cifradas, pero la copia quedó en manos del atacante, que podía intentar abrirla desde fuera. LastPass lo advirtió: «The threat actor may attempt to use brute force to guess your master password and decrypt the copies of vault data they took». Traducción nuestra: el atacante puede intentar adivinar tu contraseña maestra por fuerza bruta y descifrar las copias de las bóvedas que se llevó.
Fuerza bruta quiere decir probar contraseñas una tras otra. Para frenarla, LastPass y Bitwarden no cifran con tu contraseña directamente: la pasan antes por una función que repite un cálculo muchas veces. Cada intento del atacante tiene que repetir ese cálculo completo.
LastPass usaba, según su aviso, «a stronger-than-typical implementation of 100,100 iterations of the Password-Based Key Derivation Function». Traducción nuestra: una implementación más fuerte de lo habitual, de 100,100 iteraciones de la función de derivación de claves basada en contraseña. La resolución británica confirma ese valor, y en una nota al pie agrega: «The current default number of PBKDF2 iterations is 600,000». Traducción nuestra: el número predeterminado actual de iteraciones de PBKDF2 es de 600,000.
Bitwarden publica el mismo número para sus cuentas: «For PBKDF2 SHA-256, the default KDF iteration setting is 600,000». Traducción nuestra: para PBKDF2 SHA-256, el valor predeterminado de iteraciones de la función de derivación es de 600,000.
Cuenta propia: 600,000 entre 100,100 son 5.99 veces más trabajo por cada intento.
Lectura nuestra: en un gestor como LastPass, una vez robada la copia, solo dos cosas la protegen. El número de iteraciones, que la empresa fija por defecto, y tu contraseña maestra, que decides tú. La verificación en dos pasos protege la entrada al servidor, no la copia que ya salió de él. En «La contraseña maestra» está la cuenta de cuál de las dos pesa más.
La multa y lo que dijo el regulador
La autoridad británica anunció la sanción el 11 de diciembre de 2025: «We have fined password manager provider LastPass UK Ltd £1.2 million following a 2022 data breach». Traducción nuestra: multamos con 1.2 millones de libras al proveedor de gestores de contraseñas LastPass UK Ltd tras una filtración de datos de 2022.
Sobre las contraseñas fue clara: «There is no evidence that hackers were able to unencrypt customer passwords». Traducción nuestra: no hay evidencia de que los atacantes hayan podido descifrar las contraseñas de los clientes.
Entre el aviso de LastPass del 22 de diciembre de 2022 y el anuncio de la multa pasaron 1,085 días, casi tres años. Cuenta propia: la multa equivale a 0.74 libras por cada cliente británico afectado. Y en el mismo comunicado va la frase con la que empieza esta guía.
La clave secreta de 1Password
1Password responde a ese escenario con una segunda llave. Su ayuda dice de ella: «It works with your 1Password account password to encrypt and protect your data». Traducción nuestra: funciona junto con la contraseña de tu cuenta de 1Password para cifrar y proteger tus datos.
La describe con números: «Your Secret Key is 34 letters and numbers, separated by dashes». Traducción nuestra: tu clave secreta tiene 34 letras y números, separados por guiones. Y agrega: «It has 128 bits of entropy». Traducción nuestra: tiene 128 bits de entropía.
Para comparar, la misma página estima que las contraseñas de cuenta tienen «about 40 bits of entropy on average». Traducción nuestra: unos 40 bits de entropía en promedio.
La consecuencia, según la misma ayuda: nadie puede acceder a tus datos de 1Password sin tu clave secreta.
Lectura nuestra: en el escenario de LastPass, adivinar la maestra bastaba para abrir una bóveda robada. Con una clave secreta que no está en los servidores, no basta. A cambio, es una llave más que guardar, y 1Password no te la puede recuperar.
Lo que encontró ETH Zúrich
En 2026, cuatro investigadores de ETH Zúrich y de la Universidad de la Suiza Italiana publicaron un análisis de gestores en la nube. La versión del congreso USENIX Security cubre tres. La completa, revisada el 12 de agosto de 2026, suma un cuarto. Se titula «Zero Knowledge (About) Encryption: A Comparative Security Analysis of Four Cloud-based Password Managers».
Probaron una idea exigente: que el servidor de la empresa sea el atacante. Lo justifican así: «The security claims made by vendors imply that this should hold even if the server is fully malicious». Traducción nuestra: las afirmaciones de seguridad de los fabricantes implican que esto debería cumplirse incluso si el servidor es completamente malicioso.
El resultado: «We present 12 distinct attacks against Bitwarden, 7 against LastPass, 6 against Dashlane and 6 against 1Password». Traducción nuestra: presentamos 12 ataques distintos contra Bitwarden, 7 contra LastPass, 6 contra Dashlane y 6 contra 1Password. Y otra frase del resumen: «The majority of the attacks allow recovery of passwords». Traducción nuestra: la mayoría de los ataques permiten recuperar contraseñas.
Avisaron a las empresas: «We have disclosed our findings to the vendors and remediation is underway». Traducción nuestra: comunicamos nuestros hallazgos a los fabricantes y las correcciones están en marcha.
Una advertencia: el número de ataques no es una calificación. El resumen no ordena a los gestores de más a menos seguro. Lectura nuestra: contar más ataques contra uno puede reflejar cuánto se pudo revisar, y Bitwarden, por ejemplo, publica todo su código.
Lectura nuestra: el estudio no dice que los gestores fallen ante cualquiera. Dice que la promesa de conocimiento cero, puesta a prueba con el servidor en contra, tenía huecos en los cuatro.
Mi criterio, y va como criterio: actualiza la aplicación y la extensión de tu gestor en cuanto haya versión nueva. Si las correcciones de un estudio así están en marcha, llegan con las actualizaciones.
La contraseña maestra
Es la única contraseña que inventas tú, y la que más pesa si alguien se lleva una copia de la bóveda. Conviene dedicarle diez minutos.
Seis palabras al azar
El NCSC pide dos cosas de ella: «Use a strong primary password and never reuse it elsewhere». Traducción nuestra: usa una contraseña principal fuerte y nunca la repitas en otro lado.
La EFF propone un método concreto, con dados y una lista de palabras: «For most applications, we suggest making a six-word passphrase». Traducción nuestra: para la mayoría de los usos, sugerimos una frase de contraseña de seis palabras.
El método es simple. Por cada palabra, «Roll five dice all at once». Traducción nuestra: tira cinco dados a la vez. Los cinco números te dan una palabra de su lista larga, que tiene 7,776. Seis palabras son seis tiradas de cinco dados.
La EFF calcula el resultado: «This passphrase is one of 221073919720733357899776 (or about 2⁷⁷) alternatives». Traducción nuestra: esta frase es una entre 221073919720733357899776 alternativas, o unas 2⁷⁷. Y la recomienda, en especial, «for unlocking a password safe or password manager application». Traducción nuestra: para abrir una caja fuerte de contraseñas o una aplicación de gestión de contraseñas.
Cuenta propia: seis palabras de esa lista dan 77.55 bits. Doce caracteres al azar de los 94 de un teclado dan 78.66. Son casi lo mismo. Lectura nuestra: seis palabras se escriben y se recuerdan con menos esfuerzo que doce signos sueltos.
Un ejemplo inventado, solo para ver la forma: cometa ladrillo nube sartén violín tecla. No uses este, ni ninguno que hayas visto escrito. La lista de la EFF está en inglés; si armas la tuya en español, la cuenta solo vale si la lista tiene 7,776 palabras y las eliges con dados, no con la cabeza.
La regla 1 de NIST pide 15 caracteres como mínimo para una contraseña que va sola. Seis palabras pasan de sobra.
Una palabra más contra seis veces más trabajo
En «Lo que protegía cada bóveda» quedaron dos números. Uno lo fija la empresa: las iteraciones, que pasaron de 100,100 a 600,000 como valor predeterminado. El otro lo decides tú: el largo de tu maestra.
Deducción nuestra: subir las iteraciones de 100,100 a 600,000 multiplica por 5.99 el trabajo del atacante. Agregar una palabra al azar de la lista de la EFF lo multiplica por 7,776. Con la palabra extra, el atacante tiene 1,297 veces más trabajo que con el cambio de iteraciones.
En bits, el cambio de iteraciones suma 2.58; cada palabra, 12.92, y una sola minúscula al azar, 4.70. Hasta una letra más pesa más que ese cambio.
| Contraseña maestra, elegida al azar | Bits | Nota |
|---|---|---|
| Cinco palabras de la lista de la EFF | 64.62 | Una palabra menos que la propuesta de la EFF |
| Seis palabras | 77.55 | La propuesta de la EFF |
| Siete palabras | 90.47 | Una palabra más que la propuesta de la EFF |
| Doce caracteres de 94 posibles | 78.66 | Casi igual que seis palabras |
| Ocho caracteres de 94 posibles | 52.44 | La receta vieja, con todo y símbolos |
La cuenta supone que el atacante conoce tu método y tu lista. Es la suposición prudente.
Lectura nuestra: lo que controlas pesa más que lo que controla la empresa. Una maestra larga y al azar protege la copia robada mejor que el cambio de iteraciones.
El doble factor protege la entrada, no la copia
El NCSC pide activar la verificación en dos pasos en la cuenta del gestor. Lectura nuestra: tiene sentido, y su alcance tiene un límite que conviene entender.
El segundo factor frena a quien tiene tu maestra e intenta entrar al servidor para descargar tu bóveda. No frena a quien ya tiene una copia de la bóveda, porque esa copia se ataca fuera del servidor, como advirtió LastPass. Para esa copia cuentan la maestra y las iteraciones, y en 1Password, también la clave secreta.
Por eso las dos cosas van juntas. La maestra larga protege la copia; el segundo factor protege la puerta.
Bitwarden, por ejemplo, anunció en enero de 2026 que su plan Premium admite hasta 10 llaves de seguridad para el inicio de sesión. Una llave de seguridad física es un aparato pequeño que se conecta al teléfono o a la computadora y confirma que eres tú.
Mi criterio, y va como criterio: para la cuenta del gestor, usa como segundo factor una aplicación de códigos o una llave física, no un mensaje de texto. Y guarda los códigos de respaldo de ese segundo factor en papel, junto con lo demás del sobre de «Si te pasa algo».
Llaves de acceso: lo que viene
Las llaves de acceso, passkeys en inglés, sustituyen la contraseña por una clave que guarda tu aparato. No tienes que recordarla ni escribirla. Elegir gestor hoy es también elegir dónde van a vivir esas llaves.
Por qué no se pueden robar con una página falsa
El NCSC lo explica en su entrada de 2025: «Separate passkeys are used for each website, so your device can’t be tricked into logging into a fake website». Traducción nuestra: cada sitio usa una llave de acceso distinta, así que a tu aparato no se le puede engañar para que entre a un sitio falso.
Lo resume en tres palabras: «They stop phishing». Traducción nuestra: frenan el phishing. El phishing es el engaño con páginas o mensajes que imitan a un sitio real.
Quién las guarda
Las llaves de acceso que se copian entre tus aparatos tienen nombre técnico en la guía de NIST: son autenticadores sincronizables, los que «can manage their authentication keys using a sync fabric». Traducción nuestra: pueden administrar sus claves de autenticación mediante una red de sincronización.
En la práctica, esa red es tu gestor. Contraseñas de Apple guarda llaves de acceso, el gestor de Google también y Proton Pass las admite en su plan gratuito: «Passkeys supported on all devices». Traducción nuestra: llaves de acceso admitidas en todos los aparatos.
Lectura nuestra: si hoy guardas tus contraseñas en un gestor y mañana empiezas a crear llaves de acceso, se van a ir al mismo lugar. La pregunta de cómo salir de ese gestor, de la sección «Tres cambios que ya pasaron», ahora incluye también tus llaves.
Moverlas de un gestor a otro
Durante años, mover contraseñas entre gestores fue exportar un archivo e importarlo. La FIDO Alliance, que agrupa a empresas que impulsan las llaves de acceso, lo describió así en octubre de 2024: hasta entonces, «the movement of passwords or other credentials has been done in the clear». Traducción nuestra: el traslado de contraseñas u otras credenciales se ha hecho sin cifrar.
Ese mes publicó dos especificaciones para cambiarlo, que buscan «enable users to securely move passkeys and all other credentials across providers». Traducción nuestra: permitir que las personas muevan de forma segura sus llaves de acceso y todas sus demás credenciales entre proveedores. En ese anuncio eran borradores: «they are not yet intended for implementation as the specifications may change». Traducción nuestra: todavía no están pensadas para implementarse, porque las especificaciones pueden cambiar.
Apple anunció el cambio para sus sistemas en su congreso de desarrolladores de 2025. Dijo que las llaves de acceso «can now be transferred securely between participating credential manager apps on iOS, iPadOS, macOS, and visionOS 26». Traducción nuestra: ahora pueden transferirse de forma segura entre las aplicaciones de gestión de credenciales participantes en iOS, iPadOS, macOS y visionOS 26.
Lo comparó con el método anterior: «This new process is fundamentally different and more secure than traditional credential export methods». Traducción nuestra: este proceso nuevo es distinto de fondo y más seguro que los métodos tradicionales de exportación de credenciales. Según Apple, esos métodos suelen pasar por un archivo sin cifrar.
La palabra que importa es participantes. Funciona entre aplicaciones que lo implementen, y no revisé cuáles lo hacen hoy. Antes de mudarte, pregunta a tu gestor nuevo si recibe llaves de acceso por esa vía, y qué pasa con las que ya tienes si no las recibe.
Cómo cambiarte de gestor sin perder nada
Si después de leer hasta aquí decides mudarte, o si tu gestor cambia las condiciones como pasó en 2025, el procedimiento es corto. El riesgo está en un solo paso.
El archivo CSV no está cifrado
Apple y Microsoft describen la salida con un archivo CSV, que es texto plano con tus contraseñas, y ese archivo no lleva cerradura. Apple lo advierte en su ayuda para Mac: «Passwords you export are not encrypted and are visible to anyone who has access to the file». Traducción nuestra: las contraseñas que exportas no están cifradas y cualquiera con acceso al archivo puede verlas.
Y da la instrucción que sigue: «After you import the passwords into another password manager, delete the file you exported». Traducción nuestra: después de importar las contraseñas a otro gestor, borra el archivo que exportaste.
Lectura nuestra: ese archivo es tu bóveda entera, abierta. Trátalo como efectivo. No lo mandes por correo ni por mensaje. Si tu carpeta de descargas se sincroniza con una nube, el archivo puede subirse solo antes de que lo borres; cómo funcionan esos servicios está en almacenamiento en la nube: cuál conviene y cuánto cuesta.
El cambio, paso por paso
Mi criterio, y va como criterio: este es el orden que seguiría, y está pensado para que el archivo abierto viva el menor tiempo posible.
- Prepara el gestor nuevo antes de tocar el viejo. Crea la cuenta, una maestra de seis palabras, la verificación en dos pasos y el kit o código de recuperación en papel.
- Exporta desde el gestor viejo en tu propia computadora, no en una compartida ni en una del trabajo.
- Importa el archivo en el gestor nuevo de inmediato.
- Borra el archivo y vacía la papelera.
- Entra a tres cuentas que te importen, por ejemplo tu correo, tu banco y la tienda donde más compras, para comprobar que las contraseñas llegaron bien.
- Revisa tus llaves de acceso. Si tu gestor nuevo recibe la transferencia de la que habla «Moverlas de un gestor a otro», úsala. Si no, decide qué hacer con ellas antes de cerrar el viejo.
- Deja el gestor viejo unas semanas sin usarlo, y después cierra la cuenta.
El caso de Dashlane muestra por qué exportar tiene plazo. Quien dejó la exportación para después del 16 de septiembre de 2026 está en una zona que el anuncio de la empresa no describe.
Lo que conviene revisar después
Antes de cerrar el gestor viejo, revisa tres cosas que un archivo de exportación puede no llevar.
- Los códigos de verificación en dos pasos. Si el viejo los generaba y no llegaron, configúralos de nuevo en cada sitio.
- Las notas y los archivos adjuntos. Bitwarden avisa que borrar una cuenta elimina también los adjuntos.
- Lo que compartías con tu familia o tu equipo, que se vuelve a armar en el gestor nuevo.
Para un negocio pequeño
En un negocio, las contraseñas tienen un problema que en casa no existe: varias personas necesitan las mismas, y las personas cambian.
Compartir sin mandar contraseñas por WhatsApp
INCIBE tiene una página para empresas sobre gestores, del 17 de septiembre de 2024. Recomienda «Implementar un gestor de contraseñas fiable y que se ajuste a las necesidades de nuestra empresa». Y sobre la función de equipos dice: «esta función permite gestionar y compartir contraseñas de forma segura entre los empleados».
Lectura nuestra: una contraseña que mandaste por chat se queda en el historial de cada persona que la recibió, y en cada respaldo de ese chat. Compartirla desde un gestor deja un solo lugar donde vive, y un solo lugar donde se administra.
Cuánto cuesta por persona
Los planes para equipos se cobran de dos formas: por persona, o por paquete. Estos son los que se pudieron leer, al mismo tipo de cambio FIX de 17.9780.
| Plan | Cómo cobra | Pesos al año |
|---|---|---|
| Bitwarden Teams | 4 dólares por persona al mes, cobro anual | 862.94 por persona |
| Bitwarden Enterprise | 6 dólares por persona al mes, cobro anual | 1,294.42 por persona |
| 1Password Teams Starter Pack | 24.95 dólares al mes, cobro anual, hasta 10 personas | 5,382.61 por el paquete |
| 1Password Business | 8.99 dólares por persona al mes, cobro anual | 1,939.47 por persona |
1Password describe su paquete así: «Teams Starter Pack costs $24.95 per month when billed annually, or $299.40 per year, and includes 10 members». Traducción nuestra: el Teams Starter Pack cuesta 24.95 dólares al mes con cobro anual, o 299.40 dólares al año, e incluye 10 integrantes. Y su tope: «You can add up to 10 additional seats, for 20 members total». Traducción nuestra: puedes agregar hasta 10 lugares adicionales, para un total de 20 integrantes. Cada lugar extra cuesta 4.99 dólares al mes.
Un plan que cobra por persona y otro que cobra por paquete se cruzan en algún punto. Cuenta propia: el paquete de 1Password cuesta lo que 6.24 personas en Bitwarden Teams. Con seis personas o menos, Bitwarden Teams sale más barato; de siete a 20, el paquete, que no admite más.
| Personas | Bitwarden Teams, pesos al año | 1Password Teams Starter Pack, pesos al año |
|---|---|---|
| 3 | 2,588.83 | 5,382.61 |
| 5 | 4,314.72 | 5,382.61 |
| 6 | 5,177.66 | 5,382.61 |
| 7 | 6,040.61 | 5,382.61 |
| 10 | 8,629.44 | 5,382.61 |
| 15 | 12,944.16 | 10,765.23 |
| 20 | 17,258.88 | 16,147.84 |
Dos advertencias. Es una comparación de precios, no de funciones: no comparé lo que trae cada plan. Y los impuestos pueden ir aparte, como aclara Bitwarden en su página. Información general, no asesoría fiscal.
La misma forma de dividir un costo entre las personas que lo usan sirve para cualquier herramienta, como se hizo en cuánto cuesta usar IA en un negocio pequeño.
Lo que pide la ley de datos personales
Si tu negocio guarda datos de clientes, la ley te pide protegerlos. Es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025. Su artículo 18 dice que «Todo responsable deberá establecer y mantener medidas de seguridad administrativas, técnicas y físicas». Son medidas «que permitan proteger los datos personales contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado».
El mismo artículo dice cómo medirlas: «Asimismo, se tomará en cuenta el riesgo existente, las posibles consecuencias para las personas titulares, la sensibilidad de los datos y el desarrollo tecnológico».
El artículo 18 no menciona gestores de contraseñas ni ninguna herramienta concreta. Lectura nuestra: si los datos de tus clientes viven en tu tienda en línea, tu correo o tu sistema de citas, las contraseñas de esas cuentas son parte de cómo los proteges. Un gestor con una cuenta para cada persona es una de las medidas técnicas que encajan en esa descripción, no la única, y la ley no lo exige por nombre. Información general, no asesoría legal.
Las otras medidas que pide un sitio con datos de clientes, como los permisos de cada usuario, están en cómo proteger tu sitio web contra errores comunes.
Cuando alguien se va
Es el momento en que se nota si las contraseñas estaban bien administradas.
Mi criterio, y va como criterio: el mismo día que alguien deja el negocio, haz tres cosas. Quita su cuenta de la organización del gestor. Cambia las contraseñas que esa persona conoció antes de que existiera el gestor, o que recibió por chat. Y revisa quién más tiene permisos de administración.
NIST pide forzar un cambio de contraseña cuando hay evidencia de que quedó comprometida, como se vio en «Lo que pide NIST desde julio de 2025». Lectura nuestra: una contraseña que conoce alguien que ya no trabaja contigo no está comprometida por fuerza, pero ya no es solo del negocio. Cambiarla cuesta menos que averiguar después si alguien la usó.
Cómo elegir en diez minutos
Con todo lo anterior, la elección cabe en ocho preguntas. Contéstalas todas.
Ocho preguntas antes de elegir
- ¿Todos tus aparatos son de una marca? Si buscas comodidad, el que ya traen. Si no, uno de tercera parte.
- ¿Compartes contraseñas? Mira los planes familiares o de equipo, y su precio por persona.
- Si olvidas la maestra, ¿cuál es tu salida? Si es ninguna, prepárala hoy.
- Si te pasa algo, ¿quién recibe tus contraseñas? Con Apple, el contacto de legado no. Con Google, la ayuda no lo aclara. En Bitwarden, Proton Pass y LastPass, el acceso de emergencia es de pago.
- ¿Cuántos aparatos permite el plan gratuito? NordPass, una sesión activa a la vez; LastPass, un tipo de aparato.
- ¿Cuánto cuesta en pesos el segundo año? En 1Password, el individual sube 33.4 %.
- ¿Cómo sales? Exportando a un archivo CSV, que no va cifrado. Para las llaves de acceso, pregunta por la transferencia segura.
- ¿Qué reputación tiene? Busca si publica auditorías externas. Bitwarden dice que las suyas son anuales y que comparte los informes.
Cuatro casos, inventados
Mi criterio, y va como criterio: así contestaría las ocho preguntas en cuatro situaciones. Los cuatro casos son inventados y las cifras salen de las tablas de esta guía.
Caso 1, inventado. Lucía vive sola y todo lo suyo es de Apple. Su iPhone, su iPad y su Mac, actualizados a iOS 18, iPadOS 18 y macOS Sequoia o versiones posteriores, traen Contraseñas sin costo extra. Le basta, según la primera rama del NCSC. Lo que le falta es la herencia: como su contacto de legado no recibiría sus contraseñas, deja un sobre cerrado con lo que hace falta para entrar a su cuenta de Apple. Costo: cero pesos al año.
Caso 2, inventado. Jorge tiene un teléfono Android y una laptop con Windows y Chrome. El gestor de Google cubre los dos aparatos si inicia sesión en Chrome en ambos; si no, las contraseñas de la laptop se quedan en la laptop. Como la ayuda del administrador de cuentas inactivas no menciona las contraseñas, también deja el sobre. Costo: cero pesos al año.
Caso 3, inventado. Una familia de cinco con iPhone, Android y una computadora compartida. Es la mezcla de aparatos de la segunda rama del NCSC. Un plan familiar de tercera parte: Bitwarden Families cuesta 860.79 pesos al año, 172.16 por persona entre cinco, y 1Password Families, 968.65 el primer año y 1,292.26 después, 258.45 por persona. La diferencia de precio compra, entre otras cosas, la clave secreta de 1Password. Antes de pagar, la familia revisa si su plan incluye el acceso de emergencia para cada integrante.
Caso 4, inventado. Una papelería con siete personas en nómina. Siete personas cruzan el punto de empate: el paquete de 1Password cuesta 5,382.61 pesos al año y Bitwarden Teams, 6,040.61. Antes de decidir por precio, compara las funciones de equipo que necesita, porque esta guía no las comparó. El día que alguien se vaya, aplica los tres pasos de «Cuando alguien se va».
En los cuatro casos, lo más caro de equivocarse sería descubrir que no había salida el día que hacía falta.
Diez mitos sobre los gestores de contraseñas
Cada mito va con el documento que lo contesta. Donde la respuesta es una lectura nuestra y no una cita, va marcada.
«Guardar todas las contraseñas en un solo lugar es más peligroso»
La autoridad británica que multó a LastPass dice, en el mismo comunicado, que los gestores son una herramienta segura y eficaz. En esa filtración, los datos de las bóvedas salieron cifrados, salvo las direcciones de los sitios. Lectura nuestra: si la alternativa es repetir contraseñas, una sola filtración abre varias puertas.
«Una buena contraseña lleva mayúsculas, números y símbolos»
NIST prohíbe a los sitios exigir mezclas de caracteres y pide largo: 15 como mínimo si la contraseña va sola. Cuenta propia: quince minúsculas al azar tienen 275,155 veces más combinaciones que ocho caracteres con todo. Los símbolos no estorban; el largo pesa más.
«Hay que cambiar las contraseñas cada tres meses»
NIST dice que los sitios no deben exigir cambios periódicos, y que deben forzar un cambio cuando hay evidencia de que la contraseña quedó comprometida. Lectura nuestra: con un gestor, cambiarla cuesta un clic cuando hay motivo.
«El gestor del navegador no es seguro»
El NCSC lo recomienda a quien busca comodidad. Su advertencia apunta a otra cosa: esas contraseñas son tan seguras como tus aparatos y tus cuentas. Según el mismo NCSC, a menudo les faltan funciones como las notas seguras o compartir contraseñas.
«Si la empresa no puede ver mis datos, nada puede salir mal»
El estudio de ETH Zúrich y la Universidad de la Suiza Italiana describe ataques contra los cuatro gestores que revisó, con el servidor en contra, y dice que la mayoría permiten recuperar contraseñas. Lectura nuestra: el conocimiento cero reduce el riesgo; no lo borra.
«Si olvido la contraseña maestra, el soporte me la recupera»
Bitwarden dice que no tiene forma de restablecerla, y 1Password, que nadie puede. Las salidas existen, pero las preparas tú antes: código de recuperación, kit de emergencia, contacto de confianza o un aparato donde sigas dentro.
«Con el doble factor, una bóveda robada no sirve de nada»
LastPass advirtió que el atacante podía intentar adivinar la maestra por fuerza bruta. Lectura nuestra: el segundo factor protege la entrada al servidor, y una copia robada se ataca fuera de él. Actívalo igual: protege otra puerta.
«Pegar contraseñas es inseguro»
NIST dice que los sitios deberían permitir pegar, para facilitar el uso de un gestor cuando el autocompletado no funciona. Lectura nuestra: bloquear el pegado juega en contra de las contraseñas largas.
«Exportar a un archivo es un buen respaldo»
Apple avisa que el archivo exportado no va cifrado y pide borrarlo después de importarlo. Lectura nuestra: guardado como respaldo, es una segunda bóveda sin cerradura. Para recuperar el acceso sirve más un código de recuperación en papel.
«Lo gratis va a seguir siendo gratis»
Dashlane cerró su plan gratuito el 16 de septiembre de 2025, y Microsoft dejó de guardar contraseñas en Authenticator ese mismo año. Los dos dieron una salida con fecha. Lectura nuestra: lo que conviene es saber salir, no adivinar quién cambia después.
Preguntas frecuentes
¿Qué es un gestor de contraseñas?
Una aplicación que guarda tus contraseñas cifradas y las abre con una sola llave: una contraseña maestra o, en los gestores de Apple, Google y Microsoft, tu cuenta de esa empresa. También genera contraseñas largas y al azar, distintas para cada sitio, y las rellena cuando entras. Los de Apple y Google guardan además llaves de acceso.
¿Cuál es el mejor gestor de contraseñas gratis?
Depende de tus aparatos. Si buscas comodidad, el NCSC recomienda el que ya traen. Si mezclas marcas, mira el límite del plan: Bitwarden y Proton Pass permiten aparatos ilimitados, NordPass una sesión activa a la vez y LastPass un tipo de aparato.
¿Es seguro guardar mis contraseñas en el navegador o en el iPhone?
El NCSC lo recomienda a quien busca comodidad, con una advertencia: son tan seguras como tus aparatos y tus cuentas. Deducción nuestra: ahí la cuenta del gestor es tu cuenta de Apple, Google o Microsoft, y es la que necesita la verificación en dos pasos.
¿Conviene pagar por un gestor de contraseñas?
Puede convenir si compartes con tu familia, usas muchos aparatos o quieres acceso de emergencia. Bitwarden Premium cuesta 355.96 pesos al año y su plan familiar, 860.79 para hasta seis personas; 1Password Individual, 645.05 el primer año y 860.79 después.
¿Qué pasa si hackean a la empresa de mi gestor?
Depende del diseño. En la filtración de LastPass, las bóvedas salieron cifradas, salvo las direcciones de los sitios, y la autoridad británica no encontró evidencia de contraseñas descifradas. Una copia robada se protege con tu maestra y las iteraciones; en 1Password, también con la clave secreta.
¿Qué pasa si olvido la contraseña maestra?
Ni Bitwarden ni 1Password te la pueden restablecer. Las salidas se preparan antes: un aparato donde sigas dentro, un código de recuperación, un kit de emergencia o un contacto de confianza. Sin ninguna, toca empezar de nuevo.
¿Cómo hago una contraseña maestra segura?
Seis palabras al azar, como propone la EFF: cinco dados por palabra, de una lista de 7,776. Son unas 2⁷⁷ combinaciones y pasan de sobra los 15 caracteres de NIST. No la repitas en otro lado.
¿Puedo pasar mis contraseñas de un gestor a otro?
Sí: exportas a un archivo CSV, lo importas en el nuevo y lo borras, porque no va cifrado, como advierte Apple. Para las llaves de acceso, Apple anunció en 2025 una transferencia segura entre aplicaciones participantes; pregunta si tu gestor nuevo la acepta.
¿Qué son las llaves de acceso y dónde se guardan?
Una forma de entrar sin contraseña, con una clave que guarda tu aparato. Cada sitio usa una distinta, y por eso, dice el NCSC, frenan el phishing. Se guardan en tu gestor.
¿Cómo comparto contraseñas con mi equipo de trabajo?
Con un plan de equipo, no por chat. Bitwarden Teams cuesta 862.94 pesos por persona al año, y el paquete de 1Password, 5,382.61 para hasta 10 personas; de siete a 20 personas, el paquete sale más barato. Si guardas datos de clientes, la ley mexicana de datos personales pide medidas de seguridad. Información general, no asesoría legal.
Lo que este artículo no pudo verificar
Esto quedó fuera o a medias. Conviene saberlo antes de usar cualquier dato de arriba.
- Los precios vigentes de Proton Pass, Dashlane, NordPass y LastPass. Sus páginas no mostraron cifras a la consulta automatizada, y no se copiaron de otros sitios.
- El precio anterior de Bitwarden Premium. Su anuncio de enero de 2026 solo da el nuevo.
- Si el administrador de cuentas inactivas de Google incluye las contraseñas guardadas, y cómo se recupera una cuenta de Apple, Google o Microsoft. Sus ayudas no lo dicen o no se revisaron.
- Qué pasa con los datos de Dashlane después del 16 de septiembre de 2026. El anuncio no lo dice.
- Si alguna bóveda copiada de LastPass se descifró después. La autoridad británica no vio evidencia, y no se buscaron otras fuentes.
- Cuáles de los ataques del estudio suizo ya están corregidos, y qué gestores aceptan hoy la transferencia segura de llaves de acceso.
- Cuántas personas en México usan un gestor o sufrieron el robo de una cuenta. El MOCIBA del INEGI dice cubrir el hackeo, y sus reportes de 2024 y 2025 no traen el dato; sus tabulados no se revisaron.
- Las recomendaciones de la Secretaría de Seguridad y Protección Ciudadana. El portal federal no respondió, y una nota de la policía cibernética de la Ciudad de México sobre el tema prohíbe la lectura automática.
- Los precios en pesos de las tiendas de aplicaciones. No se revisaron.
Fuentes y metodología
Las traducciones del inglés de este artículo son nuestras, y cada cita está enlazada a su original en esta sección. Las fuentes se consultaron el 9 de octubre de 2026, salvo donde se indica otra fecha.
Fuentes primarias
Reglas y guías oficiales
- NIST, SP 800-63B-4, sección de autenticadores y texto completo, con su alcance. La ficha de publicación da julio de 2025.
- NIST, SP 800-63B de 2017, sección 5.1.1.2, en el repositorio oficial del instituto, y su ficha, que la da como sustituida.
- NCSC, «Trusting the tech: using password managers and passkeys to help you stay secure online», del 24 de junio de 2025, con la misma redacción en su versión en PDF.
- NCSC, página de gestores de contraseñas de su colección «Top tips for staying secure online», revisada el 21 de mayo de 2026.
- INCIBE, entrada sobre cómo funcionan los gestores de contraseñas, del 27 de enero de 2021, y su página para empresas, del 17 de septiembre de 2024.
- Secretaría de Seguridad Pública de Guanajuato, Ciberguía, sin fecha impresa.
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, artículo 18. Su texto coincide con el verificado el 25 de septiembre de 2026 para «Cómo proteger tu sitio web contra errores comunes».
Empresas: precios, planes y ayudas
- Bitwarden: precios, anuncio del nuevo Premium del 21 de enero de 2026, planes, contraseña maestra olvidada, acceso de emergencia, derivación de claves, phishing y auditorías.
- 1Password: precios personales, precios para empresas, contraseña olvidada, dónde está la clave secreta y cómo protege.
- Proton: precios de Pass y planes.
- NordPass: versión gratuita y planes.
- LastPass: Premium y Free.
- Dashlane: «The Dashlane Free Plan Is Ending Soon», del 5 de agosto de 2025, y precios personales.
- Las páginas de precios de Proton, NordPass, LastPass y Dashlane no mostraron cifras legibles.
- Apple: aplicación Contraseñas, del 5 de junio de 2026; contacto de legado, del 14 de septiembre de 2026; exportar desde Mac; y «What’s new in passkeys», de su congreso de 2025.
- Google: administrador de cuentas inactivas, contraseñas y llaves de acceso y contraseñas de Chrome en iPhone y en computadora.
- Microsoft: «Changes to Microsoft Authenticator autofill» y contraseñas en Edge.
- KeePassXC: página principal.
Incidentes y estudios
- LastPass, aviso del incidente de seguridad, del 22 de diciembre de 2022.
- ICO, la autoridad británica de protección de datos: comunicado de la multa, del 11 de diciembre de 2025, y resolución contra LastPass UK Limited, del 20 de noviembre de 2025.
- Scarlata, Torrisi, Backendal y Paterson, de ETH Zúrich y la Universidad de la Suiza Italiana. La versión completa, revisada el 12 de agosto de 2026, cubre cuatro gestores. La versión del congreso USENIX Security 2026 cubre tres.
- FIDO Alliance, anuncio de las especificaciones de intercambio de credenciales, del 14 de octubre de 2024.
- EFF, «EFF Dice-Generated Passphrases», modificada el 20 de enero de 2023.
- Have I Been Pwned, página de cumplimiento con NIST.
México
- INEGI, ENDUTIH 2025, reporte de resultados, del 16 de junio de 2026.
- INEGI, MOCIBA 2025, reporte de resultados, del 7 de julio de 2026, y MOCIBA 2024, del 17 de julio de 2025.
- Banco de México, tipo de cambio FIX: 17.9780 pesos por dólar, determinado el 7 de octubre de 2026.
Cálculos y supuestos
Todas las cuentas son propias y están en un guion que las recalcula.
- Pesos. Precio anual en dólares por 17.9780; el mes, entre 12; el día, entre 365; la persona, entre las personas del plan.
- 1Password. Del primer año, con 25 % menos, al segundo: 47.88 entre 35.88, una subida de 33.4 %.
- Impuestos. Bitwarden aclara que sus precios no incluyen impuestos. El IVA de 16 % se aplica solo como supuesto: 355.96 por 1.16 da 412.92. Información general, no asesoría fiscal.
- Tipo de cambio. Con el dólar a 17 y a 19 pesos, Premium costaría 336.60 y 376.20.
- Combinaciones. Los 94 caracteres son los imprimibles de un teclado en inglés sin el espacio: 26 minúsculas, 26 mayúsculas, 10 dígitos y 32 signos. Los bits son el largo por el logaritmo en base 2 de las opciones. La razón entre 26 elevado a la 15 y 94 elevado a la 8 es 275,155.
- Iteraciones. 600,000 entre 100,100 son 5.99 veces, o 2.58 bits. Una palabra más multiplica por 7,776, que entre 5.99 da 1,297. Una minúscula más multiplica por 26: 4.70 bits.
- LastPass. La multa entre los clientes afectados: 0.74 libras. Del 19 de agosto al 22 de septiembre de 2022, 34 días. Del 22 de diciembre de 2022 al 11 de diciembre de 2025, 1,085 días.
- Fechas. Del 5 de agosto al 16 de septiembre de 2025, 42 días.
- México. 104.9 millones por 37.3 % dan 39.1 millones. Las dos cifras son de la misma encuesta.
- Equipos. El paquete de 1Password, 299.40 dólares, entre los 48 de Bitwarden Teams por persona, da 6.24 personas. Del integrante 11 al 20, cada lugar suma 4.99 dólares al mes, y el paquete no admite más de 20.
- Redondeo. Desde el medio hacia arriba: dos decimales en pesos, uno en porcentajes.
Comprobaciones cruzadas
- Las citas clave se leyeron dos veces, en fragmentos cortos. Cuando dos lecturas dieron dos redacciones, la frase no se citó o se citó solo lo que coincidió. Pasó con la ayuda de Microsoft sobre Authenticator, con la clave secreta de 1Password y con la revisión de contraseñas de Chrome.
- El estudio de ETH Zúrich tiene dos versiones. La del congreso cubre tres gestores, y la completa, cuatro. Una lectura dio 25 ataques, la cifra de la versión de tres; el artículo usa la frase literal de la completa.
- Los porcentajes del MOCIBA por tipo de ciberacoso no se usaron. Una lectura los asignaba por el orden de una gráfica, y eso no basta.
- La regla contra los cambios periódicos no nació en 2025. La guía de 2017 ya la recomendaba, y la de 2025 la volvió obligatoria.
- Los precios de Bitwarden coinciden en su página de precios y en su anuncio de enero de 2026: 19.80 y 47.88 dólares al año.
- El descuento de 1Password cuadra. 3.99 por 0.75 da 2.99, y 5.99 por 0.75 da 4.49, redondeados al centavo.
- La cifra de la EFF se recalculó. 7,776 elevado a la sexta potencia da exactamente el número que publica.
- Las cifras de LastPass coinciden entre el aviso de la empresa y la resolución: 100,100 iteraciones. Y los 1,631,410 clientes de la resolución cuadran con los hasta 1.6 millones del comunicado.
- Coherencia con la serie. «Las mejores apps para productividad diaria» da precios de Bitwarden y 1Password en euros, tomados de un blog. Este artículo usa los de las páginas oficiales en dólares, convertidos con el FIX.
Limitaciones
- No se probó ningún gestor para este artículo, y no se compararon sus funciones una por una.
- Las páginas de precios y las ayudas cambian sin aviso. Son las del 9 de octubre de 2026.
- La resolución de la autoridad británica se leyó hasta el párrafo 134; la parte del cálculo de la multa no se alcanzó a leer.
- Los cálculos de combinaciones suponen elección al azar. No describen contraseñas elegidas por personas.
- La parte legal es una lectura de un artículo de la ley, no una opinión jurídica. Información general, no asesoría legal.
Declaración de intereses
Este artículo no contiene enlaces de afiliado, y no hay relación comercial con Bitwarden, 1Password, Proton, NordPass, LastPass, Dashlane, Apple, Google, Microsoft ni los autores de los estudios citados. Si en el futuro se agregan enlaces de afiliado, esta declaración se cambia el mismo día.