Elegir y usar gestores de contraseñas

Módulo 2: Contraseñas e inicio de sesión · Tiempo de lectura: 9 minutos

Objetivo de aprendizaje: Tras esta lección podrá elegir y configurar un gestor de contraseñas, proteger la contraseña maestra y compartir contraseñas de forma segura en un equipo.

Conceptos clave: gestor de contraseñas, contraseña maestra, bóveda, cifrado de extremo a extremo, bóveda compartida, acceso de emergencia, gestor de contraseñas del navegador

Qué hace un gestor de contraseñas

En la lección 2.1 vio que cada cuenta necesita una contraseña propia, larga y aleatoria. Nadie recuerda ochenta de ellas. Un gestor de contraseñas es un programa que hace eso por usted. El gestor:

• crea para cada servicio una contraseña fuerte y aleatoria;
• guarda todas las contraseñas cifradas en una bóveda;
• las rellena en el sitio web correcto, y solo ahí;
• a menudo avisa de contraseñas débiles, duplicadas o filtradas;
• en muchos productos también puede guardar los códigos de verificación en dos pasos y almacenar passkeys (lecciones 2.3 y 2.4).

Usted solo tiene que recordar una: la contraseña maestra con la que abre la bóveda. INCIBE recomienda usar un gestor de contraseñas como base habitual, también para organizaciones pequeñas, con acuerdos claros sobre qué gestor se utiliza y para qué cuentas es obligatorio.

Tipos de gestores de contraseñas

No existe un único tipo mejor. INCIBE distingue entre el gestor integrado en el navegador, la aplicación independiente, y en línea (nube) frente a local (sin conexión). En la práctica se encuentra con estas formas:

Ejemplos conocidos de gestores independientes son Bitwarden, 1Password, KeePassXC y Proton Pass, además de los gestores integrados en navegadores y sistemas operativos. Esto no es una recomendación: elija según las preguntas que figuran a continuación.

Preguntas para elegir

• ¿Funciona en todos sus dispositivos y navegadores, también los de sus compañeros?
• ¿Puede compartir bóvedas con permisos por carpeta, y volver a excluir a alguien de una bóveda?
• ¿Está la bóveda cifrada de extremo a extremo, y qué queda cifrado y qué no (por ejemplo, las direcciones de los sitios web)?
• ¿Puede proteger la bóveda con verificación en dos pasos (2FA) o una passkey?
• ¿Existe acceso de emergencia o un sistema de recuperación, y cómo funciona exactamente?
• ¿Puede exportar sus datos si quiere cambiar de gestor?
• En las versiones gratuitas: ¿cuál es el modelo de negocio?

Cifrado de extremo a extremo: ¿qué pasa si hackean al proveedor?

En un buen gestor en la nube, su bóveda se cifra en su propio dispositivo con una clave derivada de su contraseña maestra. El proveedor solo recibe el paquete cifrado. Esto se llama cifrado de extremo a extremo (a veces "zero knowledge" o conocimiento cero). El proveedor no puede leer sus contraseñas, y por tanto tampoco puede restaurarle su contraseña maestra.

Si hackean al proveedor, un atacante puede robar las bóvedas cifradas. Entonces puede intentar descifrarlas sin conexión, como vio en la lección 2.1. En ese momento, su contraseña maestra es su única protección. Por eso:

• La contraseña maestra es larga y única: una frase de contraseña de al menos cinco, preferiblemente seis palabras aleatorias.
• No la utiliza en ningún otro sitio.
• Tras una filtración en el proveedor, cambia su contraseña maestra y las contraseñas de sus cuentas más importantes. Al fin y al cabo, la bóveda antigua robada está cifrada con la contraseña maestra antigua.

La verificación en dos pasos en la bóveda ayuda contra alguien que tiene su contraseña maestra y quiere iniciar sesión a través del sitio web. No ayuda contra el descifrado de un archivo de bóveda robado. INCIBE también lo señala: la 2FA en el gestor no es motivo para usar una contraseña maestra débil.

Proteger la contraseña maestra

Olvidar la contraseña maestra suele ser definitivo en un buen gestor: el proveedor no puede recuperarla. Por eso, prepárelo de antemano:

• Anote la contraseña maestra en papel y guárdelo en casa en un lugar seguro. INCIBE considera esto correcto, siempre que no anote para qué sirve.
• Cree el kit de recuperación o el código de emergencia que ofrece su gestor, imprímalo y guárdelo junto al papel.
• Escriba la contraseña maestra únicamente en la propia aplicación o extensión del gestor, nunca en un sitio web que se la pida.
• Active el bloqueo automático tras unos minutos de inactividad.

Por qué el autorrelleno ayuda contra el phishing

Un gestor de contraseñas vincula cada contraseña a la dirección del sitio web. En https://mijnbank.example rellena su contraseña. En una imitación como https://rnijnbank.example (rn en lugar de m) o https://mijnbank-veilig.example no hace nada, porque esas direcciones no están asociadas al elemento.

Una persona a menudo no distingue entre rn y m. El gestor compara los caracteres y no se cansa ni se apresura. Es una protección real, pero solo si deja que funcione:

¿De repente su gestor no rellena nada en un sitio donde siempre lo hacía? No lo evite copiando la contraseña a mano. Mire primero con mucha atención la dirección. Este es exactamente el momento en que el gestor le está avisando.

A veces existe un buen motivo para que no se rellene: un servicio que se ha trasladado a una nueva dirección. En ese caso, compruébelo por otra vía, por ejemplo escribiendo usted mismo la dirección que ya conocía.

Compartir en equipo

En una pequeña empresa siempre hay cuentas que se usan en común: la tienda en línea en webwinkelplatform.example, la cuenta en koeriersdienst.example, las redes sociales del negocio. Lo mejor es que cada persona tenga su propia cuenta (módulo 7). Si no es posible, utilice una bóveda compartida:

• Cree bóvedas o carpetas por tema ("Tienda en línea", "Finanzas", "Redes sociales") y dé acceso solo a quien lo necesite.
• No comparta nunca por correo, chat o una hoja de cálculo. Quien tenga acceso a la bóveda compartida verá ahí la contraseña.
• ¿Se va alguien? Sáquelo de la bóveda y cambie las contraseñas que podía ver. Sacarlo solo de la bóveda no basta: puede haberlas copiado o guardado.
• Prepare el acceso de emergencia: ¿qué ocurre si usted, el propietario, enferma o no está disponible? Muchos gestores tienen una función con la que una persona de confianza recibe acceso tras un periodo de espera. O bien guarda los datos de recuperación en un sobre precintado junto a una segunda persona.

En la práctica: cambiar de gestor en una tarde

1. Elija un gestor e instálelo en el ordenador y el teléfono, con la extensión de navegador.
2. Cree una contraseña maestra (frase de contraseña), anótela y guarde el kit de recuperación.
3. Active la verificación en dos pasos en la bóveda.
4. Importe las contraseñas que ya guardaba su navegador. Una exportación suele ser un archivo sin cifrar: elimínelo de inmediato tras la importación, también de la papelera.
5. Empiece por las cuentas más importantes y asigne a cada una una contraseña nueva y aleatoria: su buzón de correo (info@example.com), su alojamiento y registro de dominio, su banco y su contabilidad (por ejemplo en boekhoudpakket.example).
6. Actualice el resto a medida que vaya iniciando sesión. Los avisos de contraseñas duplicadas le ayudarán.

¿Utiliza un servicio del entorno de WebOké, como un buzón de correo o Nextcloud, con aplicaciones en su teléfono? Para eso a veces crea una contraseña de aplicación aparte (consulte la Base de conocimientos 436). Guárdela también en el gestor, en el elemento correspondiente. En otros proveedores funciona de forma parecida.

Resumen

• Un gestor de contraseñas crea, guarda y rellena contraseñas únicas; usted solo tiene que recordar la contraseña maestra.
• Tipos: integrado en el navegador o el sistema, aplicación independiente con nube, local, código abierto o autoalojado. Elija según dispositivos, posibilidad de compartir, cifrado y recuperación.
• Con el cifrado de extremo a extremo, su contraseña maestra es la última defensa si hackean al proveedor.
• Si el gestor no rellena la contraseña, mire la dirección en lugar de copiarla.
• Comparta mediante una bóveda compartida y cambie las contraseñas cuando alguien se vaya.

Cuestionario

Ejercicio

Ejercicio D2.2: Configurar su gestor de contraseñas. Elija un gestor de contraseñas, cree una contraseña maestra y un kit de recuperación, active la verificación en dos pasos en la bóveda y asigne a sus cinco cuentas más importantes una contraseña nueva y única. Marque la lista de comprobación y responda a las preguntas de reflexión. No va a introducir ninguna contraseña en ningún sitio.

Para saber más

Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores funciona de forma parecida.

• Manual de DirectAdmin 3.7: Contraseñas seguras y qué hacer en caso de filtración de una contraseña
• Crear una contraseña de aplicación (necesaria para conectar apps y dispositivos)
• Manual de Nextcloud 3.5: Contraseñas de aplicación: cuándo y cómo
• INCIBE, recursos de ciberseguridad para empresas: https://www.incibe.es/empresas
• Línea de Ayuda en Ciberseguridad de INCIBE (017): https://www.incibe.es/linea-de-ayuda-en-ciberseguridad