¡Tus contraseñas no son “cosas que recordar”: son llaves maestras a tu dinero, tus clientes, tu marca y tu reputación. Perder el control de una bóveda puede significar desde compras no autorizadas hasta el secuestro de tus cuentas de trabajo. La buena noticia: hoy existen gestores modernos con cifrado extremo a extremo, arquitectura de conocimiento cero y passkeys que reducen radicalmente ese riesgo.
En esta guía te explico qué mirar, qué evita el humo de marketing y cuáles son, a mi criterio, las cinco opciones más sólidas que encontramos!.
Que es un gestor de contraseñas y porque usarlo
Un gestor de contraseñas es una aplicación que genera, guarda y completa credenciales de forma cifrada del lado del cliente: tus datos se cifran y descifran en tus dispositivos, no en los servidores del proveedor. Los mejores implementan modelos de zero-knowledge (el proveedor no puede ver tu bóveda) y hoy también almacenan y usan passkeys (credenciales FIDO2/WebAuthn resistentes al phishing).
¿El beneficio real? Dejas de reutilizar claves, elevás la entropía con contraseñas únicas y largas, simplificás el ingreso con autocompletado seguro y recibís alertas si algún servicio filtra datos. Las passkeys, además, eliminan la “contraseña” como secreto compartido y cortan ataques por suplantación y relleno de credenciales.
Criterios de seguridad (zero-knowledge, auditorías, passkeys, respuesta a incidentes).
Al elegir, concentráte en cuatro pilares verificables:
Zero-knowledge y cifrado en el cliente. Buscá pruebas claras de que el cifrado ocurre antes de salir de tu dispositivo. Algunas soluciones añaden un segundo secreto local (p. ej., la Secret Key en 1Password) que nunca llega al servidor y endurece la derivación de claves.
Auditorías y cumplimiento. Valen las auditorías de terceros (p. ej., Cure53 en Bitwarden y Proton Pass) y, en entornos de trabajo, certificaciones tipo SOC 2 Type II para acreditar controles operativos. Pedí informes o notas técnicas públicas; no te quedes con slogans.
Passkeys (FIDO2/WebAuthn). Elegí gestores que guarden y usen passkeys en navegadores y móviles. Esto reduce phishing y elimina reutilización de contraseñas. Verificá compatibilidad real en tu sistema y navegadores.
Historial y respuesta a incidentes. Los incidentes existen; lo clave es cómo comunican y corrigen: líneas de tiempo transparentes, recomendaciones accionables y cambios técnicos verificables. Un proveedor serio publica actualizaciones completas, no solo comunicados de prensa.
5 Gestores de contraseñas que recomiendo!
Las recomendaciones de abajo combinan diseño criptográfico sólido, soporte actual de passkeys y buena madurez multiplataforma. Incluyo LastPass y aclaro algo importante: es el que yo uso personalmente, en versión de pago para sincronizar entre múltiples dispositivos. También explico su contexto y cómo configuro medidas adicionales para un riesgo residual bajo.
1Password
1Password destaca por su enfoque de dos secretos: tu contraseña maestra se combina con una Secret Key generada localmente, que el proveedor no conoce ni almacena. Esa clave adicional endurece el derivado criptográfico: aun si alguien robara datos del lado servidor, sin tu Secret Key los registros se mantienen inservibles. Es un diseño documentado con detalle y una de las razones por las que 1Password es referencia en seguridad de bóvedas personales y de equipo. En el día a día, ofrece apps y extensiones muy estables, “Watchtower” (revisiones de higiene de contraseñas) y espacios para segmentar datos personales, familiares y laborales.
En passkeys, 1Password te permite crear, guardar y usar passkeys directamente desde el navegador, administrarlas como cualquier ítem y compartirlas de forma segura cuando el caso lo amerita. Esto facilita la transición a experiencias “passwordless” sin cambiar de herramienta ni de hábitos, y con soporte consistente entre escritorio y móvil. Para organizaciones, agrega políticas, SSO y SCIM, con buen equilibrio entre control y usabilidad.
Por qué elegirlo. Modelo criptográfico con una capa extra (Secret Key) que añade fricción real al atacante y una UX impecable.
Qué considerar. No ofrece auto-hosting; si tu política exige operar tu propia infraestructura, quizá prefieras una opción abierta. También exige disciplina en el resguardo de la Secret Key y en copias de seguridad del “Emergency Kit”.
Bitwarden
Bitwarden es la alternativa open-source más consolidada: código abierto, auditorías de terceros de manera regular (incluida Cure53) y una comunidad activa que presiona para mejorar seguridad y características. Podés usar la nube oficial o auto-hospedar (Docker/Kubernetes), lo que resulta atractivo para empresas con requisitos estrictos de control de datos. Su cifrado es de extremo a extremo y la arquitectura está bien documentada para revisión pública.
En passkeys, Bitwarden avanzó fuerte: hoy permite gestionar passkeys y, además, ofrece mecanismos modernos para iniciar sesión en su bóveda web con mayor resistencia a phishing (consulta siempre la documentación vigente para tu plataforma/navegador). A nivel experiencia, las extensiones completan de forma fiable y las apps son consistentes en Windows, macOS, Linux, iOS y Android. La curva de aprendizaje es amable para uso personal; en empresas, cuenta con colecciones compartidas, políticas, SSO y auditoría de eventos.
Por qué elegirlo. Transparencia total (código + auditorías), opción de auto-hosting, plan gratuito sólido y comunidad amplia. Qué considerar. Si decidís auto-hospedar, asumís responsabilidad de parches, respaldos y monitoreo; y algunas mejoras de UX “premium” pueden llegar un poco después que en suites comerciales.
Dashlane
Dashlane mantiene una arquitectura zero-knowledge y es de los que más empujan la adopción de passkeys con guías claras y buen soporte en apps/extensión. Su producto integra monitorización proactiva (alertas ante phishing y fugas), autocompletado fiable y una interfaz directa para usuarios individuales y equipos. Para empresas, suma tablero de seguridad, políticas y flujos de incorporación ordenados; en personal, su propuesta combina facilidad de uso con funciones modernas.
Un punto clave para 2025: el plan Free se descontinúa el 16 de septiembre de 2025. Si estás en el gratuito, deberás exportar o migrar; si ya sos de pago (o familia/empresa), la experiencia no cambia. En cualquier caso, conviene revisar planes y decidir con tiempo. Más allá de ello, la compañía viene comunicando avances de seguridad —incluida adopción agresiva de passkeys— y materiales para facilitar el salto a flujos “passwordless”.
Por qué elegirlo. Implementación cuidada de passkeys, buenas protecciones anti-phishing y herramientas claras para gobierno de credenciales en equipos. Qué considerar. La eliminación del plan gratuito complica el try-before-buy, y el costo puede resultar más alto que alternativas abiertas si solo buscás lo básico.
Proton Pass
Proton Pass hereda el ADN de privacidad de Proton (Mail/VPN/Drive) y publica señales fuertes de transparencia: en 2023 sometió apps móviles, extensiones y API a una auditoría de Cure53, y en 2025 el grupo Proton anunció su primer SOC 2 Type II, que acredita controles operativos seguidos en la práctica—dato relevante para empresas que evalúan no solo criptografía, sino procesos. En funcionalidad, Proton Pass integra passkeys en navegador y móviles, alias de email y una experiencia consistente si ya vivís en el ecosistema Proton (Drive, Mail, Authenticator).
Su enfoque “privacy-first” es claro y sus aplicaciones, ligeras. En crecimiento, el roadmap va cerrando brechas con veteranos del sector, y su postura de abrir código facilita escrutinio externo. Para uso personal y de pequeñas organizaciones, el balance privacidad/usabilidad es atractivo; para empresas grandes, conviene revisar si sus integraciones y políticas ya cubren necesidades complejas (SSO, SCIM, flujos avanzados).
Por qué elegirlo. Open-source + auditoría pública, SOC 2 Type II del grupo, y passkeys para una transición ordenada a passwordless, con foco en privacidad. Qué considerar. Algunas funciones de gobierno muy avanzadas pueden ir llegando por etapas; verificá compatibilidad de passkeys según navegador/SO de tu parque.
LastPass (mi elección personal de uso diario)
Yo uso LastPass en versión de pago para trabajar en múltiples dispositivos y compartir ítems con familia/equipo. Me resultó históricamente cómodo por su autocompletado y por la curva de aprendizaje baja. Hoy, además, ya soporta passkeys de forma generalizada: podés crear, guardar y gestionar passkeys en la bóveda y usarlas en navegadores, iOS y Android, lo que facilita adoptar flujos más resistentes al phishing sin reconstruir todo tu ecosistema.
Dicho esto, corresponde el contexto: en 2022/2023 LastPass tuvo incidentes de seguridad con acceso no autorizado a copias de bóvedas cifradas, comunicado en su blog con actualizaciones y acciones recomendadas (reforzar contraseña maestra, revisar ítems críticos, habilitar MFA). Desde entonces, la empresa publicó avances y guías; parte de la comunidad decidió migrar, y otra —como en mi caso— continuó con configuración estricta: contraseña maestra larga, MFA robusta, auditorías periódicas del “security score” y adopción activa de passkeys.
Si tu organización es extremadamente sensible a antecedentes, evaluá 1Password/Bitwarden/Proton Pass. Si priorizás familiaridad y productividad, LastPass sigue siendo una opción válida, siempre con políticas internas claras y MFA obligatoria.
Recomendaciones generales de seguridad de contraseñas
Más allá del gestor, hay prácticas que marcan la diferencia:
Usá MFA en todas partes, preferentemente métodos resistentes a phishing. Las passkeys y autenticadores FIDO2 reducen ataques de suplantación y evitan la reutilización; SMS y TOTP son mejores que nada, pero siguen siendo phishable. En cuentas críticas, apuntá a factores resistentes (llaves de seguridad o passkeys) y mantené un segundo factor de respaldo seguro.
Largas y únicas (o passkeys). Si todavía necesitás contraseñas, seguí la guía NIST: priorizá longitud sobre “mezclas” arbitrarias y evitá políticas que fomenten patrones predecibles. Un gestor te permite tener una distinta por servicio sin recordarlas. Donde haya passkeys, úsalas: eliminan el secreto reutilizable.
Higiene continua. Revisá alertas de brechas y rotá credenciales expuestas. Separá ámbitos: personal, familia y trabajo en espacios o bóvedas distintas; definí quién puede ver/editar y documentá qué hacer si alguien deja el equipo o se pierde un dispositivo.
Políticas para equipos y familias. Establecé reglas de compartición, rotación de ítems críticos (dominios, banca, correo), requisitos de MFA y un procedimiento de emergencia (quién tiene acceso de ruptura de cristal). En empresas, sumá controles y auditorías periódicas y medí el tiempo promedio de remediación tras una alerta.
Educación y simulacros. El eslabón débil suele ser humano. Capacitación breve y frecuente sobre phishing/smishing, y simulacros sencillos, mejoran la respuesta real.
Elegí el gestor que mejor se adapte a tu flujo, activá 2FA y empezá a usar passkeys donde estén disponibles. La seguridad mejora con hábitos, no con promesas.
¿Dudas o una herramienta para que probemos a fondo? Te leo en los comentarios.
