Gestor de contraseñas: por qué usarlo y cómo empezar

La recomendación de seguridad más repetida es usar una contraseña distinta, larga y aleatoria en cada servicio. El problema es evidente: nadie puede recordar decenas de contraseñas así. Por eso acabamos repitiendo la misma, con variaciones fáciles de adivinar, y cuando una web sufre una filtración, los atacantes la prueban en el correo, la banca y las redes sociales.

Un gestor de contraseñas resuelve ese problema: las recuerda por ti.

Qué es

El INCIBE lo define como una aplicación que guarda tus credenciales (usuarios, contraseñas y las webs a las que corresponden) en una base de datos cifrada protegida por una contraseña maestra. Solo tienes que memorizar esa.

Además:

• Genera contraseñas aleatorias al registrarte en una web.
• Las rellena automáticamente, y solo en la web correcta. Esto también protege contra páginas falsas: si el gestor no te ofrece tu contraseña en una web que parece la de tu banco, desconfía.
• Te avisa de contraseñas repetidas, débiles o que han aparecido en filtraciones.
• Muchos guardan también llaves de acceso (passkeys), que sustituyen a la contraseña.

Opciones gratuitas que probablemente ya tienes

• Gestor de contraseñas de Google: integrado en Chrome y en Android, ligado a tu cuenta de Google.
• App Contraseñas de Apple: en iPhone, iPad y Mac, sincronizada con iCloud.
• Microsoft Edge: guarda contraseñas en tu cuenta de Microsoft. Ojo: Microsoft retiró en agosto de 2025 la función de contraseñas de la aplicación Microsoft Authenticator; las que tenías ahí siguen disponibles en Edge.

Son una buena opción si usas siempre el mismo ecosistema (por ejemplo, Chrome en el PC y Android en el móvil).

Gestores independientes

Si usas dispositivos de varias marcas (un iPhone y un PC con Chrome, por ejemplo), un gestor independiente funciona igual en todos. Hay opciones de pago y gratuitas, y algunas de código abierto. El INCIBE distingue dos tipos:

• En la nube: sincronizan tus contraseñas entre dispositivos a través de los servidores del proveedor. Son más cómodos.
• Locales: guardan el archivo cifrado solo en tu dispositivo. El INCIBE señala que en principio son más seguros, pero menos prácticos.

Al elegir, fíjate en que sea un servicio con trayectoria, que cifre los datos en tu dispositivo antes de enviarlos, que permita verificación en dos pasos y que se pueda exportar todo si un día quieres cambiar. Descárgalo siempre de su web oficial o de la tienda oficial de aplicaciones.

Cómo empezar sin agobiarte

1. Elige el gestor y crea una contraseña maestra larga que no uses en ningún otro sitio: por ejemplo, una frase de varias palabras sin relación entre sí. Puedes comprobar lo resistente que es con nuestro comprobador de contraseñas, que no envía nada a internet.
2. Activa la verificación en dos pasos en el gestor. Lo explicamos en verificación en dos pasos.
3. Guarda el método de recuperación que ofrezca (código o kit de emergencia) en papel, en un lugar seguro. Si olvidas la contraseña maestra, muchos gestores no pueden recuperarla.
4. Importa las contraseñas que tengas guardadas en el navegador, si las hay.
5. No cambies todo el mismo día. Empieza por las cuentas importantes (correo, banca, la cuenta de Google, Apple o Microsoft) y ve cambiando las demás cuando entres en cada web. Usa contraseñas generadas por el gestor o por nuestro generador de contraseñas.

Dudas frecuentes

• «¿Y si hackean el gestor?» Los buenos gestores cifran tu información en tu dispositivo con tu contraseña maestra, así que el proveedor no la tiene en claro. El riesgo nunca es cero, pero es mucho menor que el de repetir la misma contraseña en treinta webs.
• «¿Y si pierdo el móvil?» Los gestores en la nube siguen disponibles desde otros dispositivos con tu contraseña maestra y tu segundo factor.
• «¿Vale apuntarlas en una libreta?» Una libreta en casa es mejor que repetir contraseñas, pero no genera contraseñas seguras, no detecta webs falsas y no te acompaña fuera de casa.

Para tu familia

Al configurar el gestor, piensa en cómo accedería tu familia a lo imprescindible si te pasara algo. Algunos gestores tienen una función de acceso de emergencia; si no, guarda las instrucciones en un sobre cerrado en un lugar seguro.