¿Por qué importa que un gestor sea de código abierto?
Un software es de código abierto cuando su código fuente se publica bajo una licencia que permite estudiarlo, modificarlo y redistribuirlo; la Open Source Initiative (OSI) mantiene la definición y la lista de licencias reconocidas. En un gestor de contraseñas esto tiene ventajas concretas:
- Transparencia. Cualquiera puede comprobar cómo se cifra la bóveda, qué datos se envían a los servidores y si hay telemetría.
- Revisión continua. Investigadores y usuarios pueden detectar y notificar fallos, y ver cómo y cuándo se corrigen.
- Menos dependencia. Si el proyecto cambia de rumbo o desaparece, la comunidad puede continuarlo (lo que se conoce como fork), y los formatos abiertos facilitan llevarte tus datos.
Lo que el código abierto no garantiza
Conviene no idealizarlo. Que el código sea público no significa que alguien lo haya revisado a fondo. Tampoco garantiza por sí solo que la aplicación que descargas se haya compilado exactamente a partir de ese código (para eso existen las compilaciones reproducibles, que pocos proyectos ofrecen), ni que el proyecto vaya a seguir mantenido dentro de unos años. Y en muchos servicios solo son abiertas las aplicaciones cliente, no necesariamente toda la infraestructura del servidor.
¿Qué criterios debes revisar antes de elegir?
Auditorías independientes
Busca si el proyecto publica auditorías de seguridad realizadas por empresas externas, con fecha, alcance (qué se auditó: cliente, servidor, extensión del navegador) e informe completo o resumen público. Una auditoría de hace muchos años sobre una versión muy distinta aporta poco. Valora también que exista un programa de divulgación responsable de vulnerabilidades o de recompensas (bug bounty).
Actividad y mantenimiento
Mira el repositorio: frecuencia de versiones, tiempo de respuesta a fallos de seguridad, número de mantenedores. Un gestor con un único desarrollador y sin actualizaciones en mucho tiempo es un riesgo, por bueno que fuera en su día.
Modelo de financiación
Alguien tiene que pagar el desarrollo. Los modelos habituales son freemium (plan gratuito más planes de pago con funciones extra), suscripción empresarial o donaciones. Ninguno es malo en sí mismo; lo importante es que sea sostenible y que no dependa de explotar tus datos.
Cifrado y función de derivación de claves
Todo gestor serio cifra la bóveda en tu dispositivo (normalmente con AES-256 o un algoritmo equivalente) usando una clave derivada de tu contraseña maestra. Lo que más varía es esa función de derivación de claves (KDF), que hace costoso probar contraseñas maestras por fuerza bruta si alguien roba la bóveda cifrada:
- Argon2id: diseño moderno que exige mucha memoria además de tiempo de cálculo, lo que dificulta los ataques con tarjetas gráficas o hardware específico.
- PBKDF2: más antigua y muy extendida; sigue siendo aceptable con un número alto de iteraciones.
Comprueba qué usa el gestor por defecto, si te permite cambiarlo y qué parámetros aplica. Y recuerda que ninguna KDF salva una contraseña maestra débil: dedícale el tiempo que merece con nuestra guía de contraseña maestra paso a paso.
Modelo de sincronización: local o en la nube
Es probablemente la decisión más importante:
- Local: la bóveda es un archivo en tu equipo (por ejemplo, el formato KDBX de KeePass). Tú decides si lo sincronizas y cómo (con tu nube, con herramientas como Syncthing o a mano). Máximo control, más trabajo y más riesgo de perder datos si no haces copias.
- En la nube con cifrado de extremo a extremo: el proveedor guarda tu bóveda cifrada y la sincroniza entre dispositivos sin poder leerla. Más cómodo y con menos mantenimiento.
- Autoalojado: tú gestionas el servidor de sincronización. Control total, pero también toda la responsabilidad de mantenerlo seguro y actualizado.
Plataformas, importación y exportación
Asegúrate de que funciona en todos tus dispositivos (Windows, macOS, Linux, Android, iOS) y navegadores, con autocompletado fiable. Comprueba que puedes importar desde tu gestor actual o desde el navegador, y exportar en un formato abierto. Un gestor del que no puedes salir con tus datos es una trampa, por muy abierto que sea su código.
Soporte de passkeys y 2FA
Cada vez más servicios permiten iniciar sesión con passkeys. Un gestor moderno debería poder guardarlas y sincronizarlas. Valora también que la cuenta del gestor admita verificación en dos pasos robusta (app TOTP o llave física) y si puede generar códigos TOTP para otras cuentas, teniendo en cuenta que guardar contraseña y segundo factor en el mismo sitio reduce la separación entre ambos.
Ejemplos de gestores de código abierto
Estos son algunos de los proyectos más conocidos. No es una clasificación: cada uno encaja con un perfil distinto. Revisa siempre su documentación actual, porque las funciones y licencias evolucionan.
| Gestor | Modelo | Plataformas | Para quién |
|---|---|---|---|
| Bitwarden | Nube con cifrado de extremo a extremo; servidor autoalojable. Plan gratuito y planes de pago. Permite elegir PBKDF2 o Argon2id. | Escritorio, móvil, extensiones de navegador y web | Quien quiere sincronización sencilla entre muchos dispositivos. |
| KeePassXC | Local, archivo KDBX. Sin servidor propio; financiado por la comunidad. Admite Argon2. | Windows, macOS, Linux (con extensión de navegador) | Quien prefiere no depender de ningún proveedor y gestionar su propio archivo. |
| KeePassDX | Local, compatible con archivos KDBX. | Android | Complemento móvil de KeePassXC. En iOS existen otras apps compatibles con KDBX. |
| Proton Pass | Nube con cifrado de extremo a extremo, aplicaciones cliente de código abierto. Plan gratuito y de pago. | Escritorio, móvil y extensiones de navegador | Quien ya usa el ecosistema de Proton o busca una alternativa en la nube. |
| Vaultwarden | Implementación no oficial y ligera del servidor de Bitwarden, para autoalojar. Se usa con las apps de Bitwarden. | Servidor propio (Docker, Linux) | Usuarios con experiencia administrando servidores. |
Para ver estos y otros gestores (también de código cerrado) en contexto, consulta nuestra guía general de gestores de contraseñas.
Lista de comprobación para decidir
Antes de migrar tus contraseñas
- Licencia y código accesibles.¿El código de las aplicaciones que vas a usar es público y con una licencia reconocida por la OSI?
- Auditorías recientes.¿Hay informes de auditorías externas recientes y un canal para reportar vulnerabilidades?
- Proyecto vivo.¿Publica versiones con regularidad y corrige rápido los fallos de seguridad?
- Cifrado local y KDF robusta.¿Cifra en tu dispositivo y usa Argon2id o PBKDF2 con parámetros altos?
- Sincronización a tu medida.¿Local, nube cifrada o autoalojado? Elige el que de verdad vas a mantener.
- Todas tus plataformas.¿Funciona bien en tus dispositivos y navegadores, con autocompletado?
- Salida garantizada.¿Puedes exportar todo en un formato abierto cuando quieras?
- Passkeys y 2FA.¿Guarda passkeys y permite proteger la cuenta con un segundo factor fuerte?
Una vez elegido, el primer paso es crear una contraseña maestra robusta (una frase de varias palabras aleatorias funciona muy bien; puedes generarla con el generador de frases de contraseña), activar la verificación en dos pasos y guardar el kit de recuperación en un lugar físico seguro. Después, importa tus contraseñas y aprovecha el informe de seguridad del gestor para sustituir poco a poco las claves débiles o repetidas.