Elegir y usar un gestor de contraseñas

Módulo 2: Contraseñas e inicio de sesión · Tiempo de lectura: 9 minutos

Objetivo de aprendizaje: Después de esta lección, podrá elegir y configurar un gestor de contraseñas, proteger la contraseña maestra y compartir contraseñas de forma segura en un equipo.

Conceptos clave: gestor de contraseñas, contraseña maestra, bóveda, cifrado de extremo a extremo, bóveda compartida, acceso de emergencia, gestor de contraseñas del navegador

Qué hace un gestor de contraseñas

En la lección 2.1 vio que cada cuenta necesita su propia contraseña, larga y aleatoria. Nadie recuerda ochenta. Un gestor de contraseñas es un software que lo hace por usted. Este:

• crea una contraseña segura y aleatoria para cada servicio;
• guarda todas las contraseñas cifradas en una bóveda;
• las rellena en el sitio web correcto, y solo allí;
• a menudo le avisa de contraseñas débiles, repetidas o filtradas;
• en muchos productos también puede guardar los códigos de la verificación en dos pasos (2FA) y almacenar passkeys (lecciones 2.3 y 2.4).

Usted solo tiene que recordar una: la contraseña maestra con la que abre la bóveda. El NCSC neerlandés recomienda un gestor de contraseñas como base fija, también para organizaciones pequeñas, con acuerdos claros sobre qué gestor se utiliza y para qué cuentas es obligatorio.

Tipos de gestores de contraseñas

No existe un único tipo mejor. El NCSC neerlandés distingue entre el gestor del navegador y la aplicación independiente, y entre en línea (nube) y sin conexión (local). En la práctica encontrará estas formas:

Ejemplos conocidos de gestores independientes son Proton Pass, 1Password, Bitwarden y KeePassXC, además de los gestores integrados en navegadores y sistemas operativos. En la guía El gestor de contraseñas en la práctica comparamos 23 gestores de contraseñas en comodidad, seguridad y privacidad (UE y RGPD), con el país de la empresa, el precio y opiniones (consulte Lecturas adicionales). Nuestra recomendación allí: Proton Pass, o 1Password si quiere lo más sencillo posible. Si tiene dudas, elija según las preguntas siguientes.

Preguntas para elegir

• ¿Funciona en todos sus dispositivos y navegadores, también en los de sus compañeros?
• ¿Puede compartir bóvedas con permisos por carpeta, y volver a quitar a alguien de una bóveda?
• ¿Está la bóveda cifrada de extremo a extremo, y qué se guarda cifrado y qué no (por ejemplo, las direcciones de los sitios web)?
• ¿Puede proteger la bóveda con verificación en dos pasos (2FA) o una passkey?
• ¿Hay acceso de emergencia o un procedimiento de recuperación, y cómo funciona exactamente?
• ¿Puede exportar sus datos si quiere cambiar de gestor?
• En las versiones gratuitas: ¿cuál es el modelo de negocio?

Cifrado de extremo a extremo: ¿y si hackean al proveedor?

En un buen gestor en la nube, su bóveda se cifra en su propio dispositivo con una clave que se deriva de su contraseña maestra. El proveedor solo recibe el paquete cifrado. Esto se llama cifrado de extremo a extremo (a veces "conocimiento cero" o "zero knowledge"). El proveedor no puede leer sus contraseñas y, por tanto, tampoco puede restablecer su contraseña maestra.

Si hackean al proveedor, un atacante puede robar las bóvedas cifradas. Después puede intentar descifrarlas sin conexión, como en la lección 2.1. En ese momento, su contraseña maestra es su única protección. Por eso:

• La contraseña maestra es larga y única: una frase de contraseña de al menos cinco, y mejor seis, palabras aleatorias.
• No la utiliza en ningún otro sitio.
• Tras una filtración en el proveedor, cambie su contraseña maestra y también las contraseñas de sus cuentas más importantes. Al fin y al cabo, la bóveda antigua robada está cifrada con la contraseña maestra antigua.

La verificación en dos pasos (2FA) en la bóveda protege frente a alguien que conoce su contraseña maestra e intenta iniciar sesión a través del sitio web. No protege frente al descifrado de un archivo de bóveda robado. El NCSC neerlandés también lo dice: la 2FA en el gestor no justifica una contraseña maestra débil.

Proteger la contraseña maestra

Olvidar la contraseña maestra suele ser definitivo en un buen gestor: el proveedor no puede recuperarla. Por eso, prepárelo de antemano:

• Anote la contraseña maestra en papel y guárdelo en casa en un lugar seguro. El NCSC neerlandés lo considera aceptable, siempre que no escriba para qué sirve.
• Cree el kit de recuperación o el código de emergencia que ofrece su gestor, imprímalo y guárdelo junto al papel.
• Escriba la contraseña maestra solo en la aplicación o la extensión del propio gestor, nunca en un sitio web que se la pida.
• Active el bloqueo automático tras unos minutos de inactividad.

Por qué el autorrelleno ayuda contra el phishing

Un gestor de contraseñas vincula cada contraseña a la dirección del sitio web. En https://mibanco.example rellena su contraseña. En una imitación como https://rnibanco.example (rn en lugar de m) o https://mibanco-seguro.example no hace nada, porque esas direcciones no figuran en el elemento.

Una persona a menudo no ve la diferencia entre rn y m. El gestor compara caracteres y no se cansa ni tiene prisa. Es una protección real, pero solo si deja que funcione:

¿Su gestor de repente no rellena nada en un sitio donde siempre lo hacía? No lo esquive copiando la contraseña a mano. Mire primero con mucha atención la dirección. Este es precisamente el momento en que el gestor le está avisando.

A veces también hay un buen motivo para que no rellene: un servicio que se ha trasladado a una dirección nueva. Compruébelo entonces por otra vía, por ejemplo escribiendo usted mismo la dirección que ya conocía.

Compartir en un equipo

En una pequeña empresa siempre hay cuentas que se usan entre varios: la tienda online en plataforma-tienda-online.example, la cuenta en mensajeria.example, las redes sociales del negocio. Lo mejor es que cada persona tenga su propia cuenta (módulo 7). Si no es posible, utilice una bóveda compartida:

• Cree bóvedas o carpetas por tema ("Tienda online", "Finanzas", "Redes sociales") y dé acceso solo a quien lo necesite.
• No comparta nunca por correo, chat o una hoja de cálculo. Quien tiene acceso a la bóveda compartida ve allí la contraseña.
• ¿Se marcha alguien? Quítelo de la bóveda y cambie las contraseñas que podía ver. Quitarlo de la bóveda no basta: puede haberlas copiado o guardado.
• Organice el acceso de emergencia: ¿qué ocurre si usted, como propietario, está enfermo o falta? Muchos gestores tienen una función con la que una persona de confianza obtiene acceso tras un periodo de espera. O bien guarde los datos de recuperación en un sobre sellado en manos de una segunda persona.

En la práctica: cambiar en una tarde

1. Elija un gestor e instálelo en el ordenador y en el teléfono, con la extensión del navegador.
2. Cree una contraseña maestra (frase de contraseña), anótela y guarde el kit de recuperación.
3. Active la verificación en dos pasos (2FA) en la bóveda.
4. Importe las contraseñas que ya guardaba su navegador. Una exportación suele ser un archivo sin cifrar: elimínelo justo después de importar, también de la papelera.
5. Empiece por las cuentas más importantes y dé a cada una una contraseña nueva y aleatoria: su buzón de correo (info@example.com), su alojamiento (hosting) y registro de dominio, su banco y su contabilidad (por ejemplo en contafacil.example).
6. Actualice el resto cuando vaya iniciando sesión. Los avisos de contraseñas repetidas le ayudarán.

¿Utiliza un servicio del entorno de WebOké, como un buzón de correo o Nextcloud, con aplicaciones en su teléfono? Para ello a veces crea una contraseña de aplicación aparte (consulte la Base de conocimientos 436). También esa la guarda en el gestor, en el elemento correspondiente. Con otros proveedores funciona de forma similar.

Resumen

• Un gestor de contraseñas crea, guarda y rellena contraseñas únicas; usted solo recuerda la contraseña maestra.
• Tipos: integrado en el navegador o el sistema, aplicación independiente con nube, local, código abierto o autoalojado. Elija según dispositivos, uso compartido, cifrado y recuperación.
• Con cifrado de extremo a extremo, su contraseña maestra es la última defensa si hackean al proveedor.
• Si el gestor no rellena, mire la dirección en lugar de copiar la contraseña.
• Comparta mediante una bóveda compartida y cambie las contraseñas cuando alguien se marche.

Cuestionario

Ejercicio

Ejercicio D2.2: Configurar su gestor de contraseñas. Elija un gestor de contraseñas, cree una contraseña maestra y un kit de recuperación, active la verificación en dos pasos (2FA) en la bóveda y dé a sus cinco cuentas más importantes una contraseña nueva y única. Marque la lista de comprobación y responda a las preguntas de reflexión. No tendrá que introducir ninguna contraseña.

Lecturas adicionales

Los pasos de los artículos de WebOké se aplican al entorno de WebOké; con otros proveedores funciona de forma similar.

• Manual de DirectAdmin 3.7: Contraseñas seguras y qué hacer en caso de filtración de una contraseña
• Crear contraseña de aplicación (necesaria para conectarse con aplicaciones y dispositivos)
• Manual de Nextcloud 3.5: Contraseñas de aplicación: cuándo y cómo
• INCIBE, ciberseguridad para empresas: https://www.incibe.es/empresas
• INCIBE (Instituto Nacional de Ciberseguridad): https://www.incibe.es/
• Gestor de contraseñas y passkeys: así gestiona su inicio de sesión de forma segura
• El gestor de contraseñas en la práctica 1.1: Por qué usar un gestor de contraseñas y qué aprenderá en este manual
• El gestor de contraseñas en la práctica 1.2: Proton Pass, 1Password o su navegador: ¿cuál le conviene?
• El gestor de contraseñas en la práctica 1.3: Su contraseña maestra: crearla, guardarla y no perderla nunca
• El gestor de contraseñas en la práctica 1.4: Todos los gestores de contraseñas conocidos, comparados: país, funciones, reseñas y puntuaciones