Esto es lo segundo de mayor valor en este sitio después de una llave de seguridad, y ambas funcionan juntas: la llave impide que alguien inicie sesión como tú, y el gestor impide que un sitio vulnerado se convierta en todos ellos. Haz ambas cosas y la vía ordinaria hacia tu vida queda cerrada.
01Por qué uno sin conexión
La mayoría de los gestores de contraseñas almacenan tu bóveda en los servidores de la empresa. Es una comodidad genuina y no es automáticamente incorrecto; los buenos la cifran para que no puedan leerla. Pero crea un objetivo único, permanente y bien conocido: una base de datos de millones de bóvedas, en un solo lugar, gestionada por una empresa que puede ser vulnerada, comprada, objeto de una citación judicial o simplemente cometer un error. Esto ha ocurrido, más de una vez, con grandes proveedores.
KeePassXC mantiene la base de datos como un archivo en tu propio disco. No hay empresa, ni cuenta, ni servidor, ni nada que vulnerar a gran escala. Si alguien quiere tus contraseñas tiene que ir específicamente a por ti, lo cual es una propuesta completamente distinta a recolectar a todos a la vez.
- Ningún tercero custodia tu bóveda, así que ningún tercero puede perderla, ser obligado a entregarla ni cambiar sus términos.
- Funciona sin conexión, incluso en una máquina que nunca ha tocado internet.
- Código abierto y auditado, con un formato de archivo abierto que muchos programas independientes pueden leer, no quedas atrapado.
- Gratis para siempre, sin ningún nivel que retenga una función de seguridad hasta que pagues.
- Las copias de seguridad son tu responsabilidad. Pierde el archivo sin ninguna copia y las contraseñas se habrán ido. No hay servicio de asistencia.
- Sincronizar entre dispositivos es tu responsabilidad, y es la parte en la que la mayoría se equivoca. Consulta la sección 05.
- El móvil es una aplicación aparte de otro desarrollador, no una oficial.
- Nadie puede restablecer tu contraseña maestra. Ese es el objetivo, y también es el riesgo.
Si lo de funcionar sin conexión te parece más responsabilidad de la que quieres, usa Bitwarden o Proton Pass y sigue con tu vida. La opción catastrófica es la que usas ahora, la misma contraseña en cincuenta sitios. No dejes que la búsqueda de la herramienta perfecta te deje con la peor.
02La contraseña maestra, que lo es todo
Todo depende de una sola frase de contraseña. Si es débil, nada más en esta guía importa; si es fuerte, un atacante con tu archivo de base de datos sigue sin tener nada.
Cuatro a seis palabras aleatorias — no una frase que hayas compuesto, que es mucho menos aleatoria de lo que parece. Algo como harbour-plum-ditch-tractor-vine. Es larga, genuinamente aleatoria, y puedes memorizarla de verdad, cosa que una cadena de símbolos nunca es. Deja que KeePassXC la genere por ti usando su modo de frase de contraseña, luego escríbela en papel hasta que la tengas en la cabeza, y destruye el papel después.
La frase de contraseña maestra debe existir en exactamente dos lugares: tu memoria y, si necesitas una, una copia de seguridad física sellada en algún lugar seguro. Nunca en un archivo, nunca en una app de notas, nunca en un mensaje para ti mismo, y nunca en este ni en ningún otro documento.
03Configurarlo
-
Instálalo desde la fuente oficial
Descárgalo de keepassxc.org, o en Linux desde el repositorio de tu distribución o Flatpak. Escribe la dirección a mano — los dominios que imitan gestores de contraseñas son un ataque muy manido, por razones obvias.
-
Crea la base de datos
Database → New Database. Dale un nombre que no sea "passwords". Se te preguntará sobre la configuración de cifrado, los valores predeterminados son buenos, y vale la pena entender el deslizador de tiempo de descifrado: un valor más alto hace que cada intento de un atacante sea más lento. Un segundo en tu propia máquina es una configuración razonable y un obstáculo serio para la fuerza bruta.
-
Establece la frase de contraseña maestra
Usa el generador, en modo frase de contraseña, como se describe arriba. Tómate el tiempo de memorizarla antes de llenar la base de datos con cualquier cosa, porque este es el único momento en el que empezar de nuevo es gratis.
-
Decide sobre un archivo de clave — con cuidado
KeePassXC puede requerir un segundo archivo junto a tu frase de contraseña. Aumenta la seguridad: alguien que obtenga la base de datos y adivine la frase de contraseña todavía no puede abrirla. También duplica el número de cosas que puedes perder, y el archivo de clave no debe estar en la misma carpeta que la base de datos, o no protege contra nada. Omítelo a menos que tengas un lugar sensato para guardarlo, como una memoria USB que mantengas por separado.
-
Guárdala en un lugar del que realmente hagas copia de seguridad
No el escritorio. Una carpeta de documentos que esté incluida en cualquier copia de seguridad que ya hagas.
04Usarla en el día a día
Deja que lo genere todo
El objetivo de un gestor no es almacenar las contraseñas que tienes, sino que nunca vuelvas a inventar una. Para cada cuenta nueva, haz clic en el icono del dado y toma lo que produzca. Nunca la verás, nunca la escribirás y nunca necesitarás recordarla, así que la longitud es gratis: usa 20+ caracteres donde el sitio lo permita.
Ve pasando por tus cuentas existentes gradualmente, empezando por las más importantes — el correo, luego cualquier cosa con dinero, luego cualquier cosa desde la que publiques. No hay necesidad de hacer las doscientas en una sola noche; hacer las diez principales esta semana es la mayor parte del beneficio.
La extensión del navegador
KeePassXC-Browser rellena las contraseñas en las páginas por ti. Instálala desde la tienda oficial de complementos de tu navegador y conéctala a la aplicación de escritorio, que te pedirá que apruebes el enlace.
La extensión solo ofrece una contraseña en el dominio para el que se guardó. En un dominio de phishing similar, permanece en silencio, y ese silencio es una advertencia que deberías aprender a notar. Si el gestor no ofrece rellenar, detente y revisa la barra de direcciones en lugar de escribirla manualmente.
Códigos de dos factores
KeePassXC puede almacenar secretos TOTP y generar los códigos de seis dígitos por sí mismo. Esto es cómodo e implica una compensación real: tu contraseña y tu segundo factor ahora viven en el mismo archivo, así que un solo compromiso obtiene ambos. Para la mayoría de las cuentas, la comodidad gana. Para tus cuentas más importantes, usa una llave de seguridad en su lugar, que es más fuerte que cualquiera de las dos.
Qué más guardar ahí
La base de datos es un contenedor cifrado, así que es un hogar sensato para más que contraseñas: códigos de recuperación de cada cuenta, claves de licencia de software, las respuestas a las "preguntas de seguridad" (que deberían ser cadenas aleatorias, no respuestas verdaderas), y el documento escaneado ocasional. Cada entrada tiene un campo de notas y puede llevar archivos adjuntos.
05Sincronización y copias de seguridad, donde la gente se equivoca
Tienes un archivo. Lo quieres en tu portátil y en tu teléfono. No hay ningún servidor haciendo esto por ti, así que tienes que elegir un método, y la elección importa.
| Método | Veredicto | Notas |
|---|---|---|
| Almacenamiento en la nube ordinario (Drive, Dropbox, Proton) | Bien | El archivo ya está cifrado, así que el proveedor almacena un blob opaco. Esta es la configuración común y es razonable. Tu frase de contraseña maestra está haciendo todo el trabajo, haz que sea una buena. |
| Syncthing | Mejor | De dispositivo a dispositivo, sin terceros involucrados en absoluto. Más configuración, y lo más coherente con la razón por la que elegiste un gestor offline. |
| Enviártelo por correo a ti mismo | No | Aterriza en un buzón, de forma permanente, en varias copias, en servidores que no controlas. |
| Dos dispositivos editando a la vez | Cuidado | El peligro real. Dos copias modificadas antes de una sincronización producen un archivo de conflicto, y la resolución incorrecta pierde silenciosamente entradas nuevas. Cierra la base de datos en un dispositivo antes de trabajar en el otro. |
Sincronizar no es hacer copia de seguridad. Una sincronización copia fielmente un borrado o una corrupción a todos tus dispositivos. Mantén una copia periódica en algún lugar que no se sincronice, un disco externo, un pendrive en un cajón, y comprueba de vez en cuando que todavía se abre. KeePassXC también puede mantener copias de seguridad automáticas de la versión anterior cada vez que guardas; actívalo en los ajustes.
06Emparejarlo con una YubiKey
Esta es la combinación que hace que ambas herramientas sean sustancialmente más fuertes, y es una de las características menos conocidas de cualquiera de las dos. KeePassXC puede requerir un desafío-respuesta por hardware de una YubiKey además de tu frase de contraseña. Sin la llave física presente, la frase de contraseña correcta por sí sola no abrirá la base de datos.
-
Configura una ranura en la llave
Usando el YubiKey Manager, configura una de las dos ranuras para challenge-response HMAC-SHA1. Hazlo en ambas de tus llaves, con el mismo secreto, o tu llave de respaldo no abrirá tu base de datos, lo cual es una tarde muy mala.
-
Agrégalo a la base de datos
Database → Database Security → Change Key File / Challenge-Response, y selecciona la llave. Guarda.
-
Prueba la llave de respaldo de inmediato
Cierra la base de datos, desconecta la primera llave y ábrela con la segunda. Si eso no funciona, arréglalo ahora, mientras todavía tienes una llave funcional en la máquina.
Tu base de datos ahora no se puede abrir sin hardware. Ese es el beneficio de seguridad y el riesgo operativo en la misma frase. También complica el uso móvil, ya que la app del teléfono debe soportar el mismo challenge-response por NFC. Vale la pena si la base de datos protege trabajo que pone a personas en riesgo; probablemente sea más fricción que valor si no lo hace.
07De lo que no te protege
- La reutilización de contraseñas, y por lo tanto que un sitio vulnerado se convierta en todos ellos.
- Las contraseñas débiles, de forma permanente, porque dejas de inventarlas.
- Phishing, parcialmente, la negativa de la extensión a rellenar es una señal real.
- Perder el acceso a cuentas que configuraste hace años y olvidaste.
- Malware en tu computadora. Un keylogger captura la frase de contraseña maestra mientras la escribes, y luego lo tiene todo. El gestor asume que la máquina no está ya comprometida.
- Una frase de contraseña maestra débil. Todo el diseño se reduce a este único secreto.
- Ser obligado a abrirlo.
- Una brecha en el propio sitio, una contraseña única limita el daño, no previene la brecha.
- Una pantalla desbloqueada y desatendida. Configura la base de datos para que se bloquee tras unos minutos de inactividad y cuando se bloquee la pantalla.
08Preguntas que la gente realmente hace
¿Qué pasa si olvido la frase de contraseña maestra?
Los datos se pierden. No hay restablecimiento, ni recuperación, ni línea de soporte, esta es la consecuencia directa de que nadie más tenga tu bóveda. En las primeras semanas, guarda una copia escrita en algún lugar físicamente seguro hasta que estés seguro de haberla memorizado. Muchas personas guardan una copia sellada de forma permanente, con alguien de confianza o en una caja fuerte; eso es un intercambio razonable en lugar de una falta de nervios.
¿Es seguro poner el archivo en Google Drive o Dropbox?
Sí, con la advertencia de que convierte tu frase de contraseña maestra en lo único que se interpone entre el almacenamiento de ese proveedor y toda tu vida digital. El archivo está fuertemente cifrado y el proveedor solo ve ruido. Si te sientes cómodo con eso, es la sincronización más sencilla que existe. Si no, usa Syncthing.
¿Y mi teléfono?
KeePassDX en Android y Strongbox en iOS leen el mismo formato de archivo y están bien considerados. Ninguno está hecho por el equipo de KeePassXC, así que verifícalos tú mismo antes de confiar en ellos. Apunta la aplicación al mismo archivo sincronizado y se comporta como esperarías.
¿Debería dejar de usar el gestor de contraseñas integrado en mi navegador?
Sí, con el tiempo, pero no dejes que la migración te impida usar uno en absoluto. Los gestores del navegador están vinculados a la cuenta del navegador, a menudo se desbloquean siempre que el navegador lo está, y son un objetivo habitual del malware que roba información. Exporta desde el navegador, importa en KeePassXC, luego elimina el archivo de exportación de forma segura, es una lista en texto plano de todas las contraseñas que posees, y un número sorprendente de ellas sigue en las carpetas de descargas.
¿En qué se diferencia de KeePass, KeePassX, KeeWeb?
Comparten un formato de archivo y un árbol genealógico. KeePassXC es el que se mantiene activamente y es multiplataforma, con una interfaz moderna y la extensión de navegador, por eso es la recomendación aquí. Tu base de datos se abrirá en los otros si alguna vez quieres cambiar.
09Fuentes y lecturas adicionales
- KeePassXC — sitio oficial y descargas keepassxc.org
- Guía del usuario de KeePassXC, el manual completo keepassxc.org/docs
- Syncthing — sincronización de dispositivo a dispositivo sin terceros syncthing.net
- Have I Been Pwned, comprueba cuáles de tus cuentas ya están en una filtración haveibeenpwned.com
- Privacy Guides — gestores de contraseñas comparados privacyguides.org
Última revisión: 25 de septiembre de 2026