Explicación · Conceptos de seguridad
¿Son seguros los gestores de contraseñas?
Es la pregunta correcta antes de confiar a una sola herramienta las llaves de toda tu vida en internet. La respuesta: sí, uno de confianza es mucho más seguro que lo que hace la mayoría ahora, pero la brecha de LastPass dejó claro por qué importa cuál eliges. Aquí tienes cómo funcionan y a qué prestar atención.
Última actualización: July 10, 2026 · Escrito por el equipo de Privacy Intact; consulta cómo evaluamos.
Cómo te protege de verdad un gestor de contraseñas
Un gestor guarda todos tus inicios de sesión en una «caja fuerte» cifrada. La parte clave es el cifrado de conocimiento cero: tu caja fuerte se bloquea y se desbloquea en tu propio dispositivo con tu contraseña maestra, y la empresa solo llega a tener la versión cifrada. No pueden leer tus contraseñas y, lo que es crucial, tampoco un atacante que entre en sus servidores, porque lo que robaría es ilegible sin tu contraseña maestra.
Ese es todo el modelo de seguridad en una frase: la empresa guarda tus datos pero nunca puede verlos. Por eso un buen gestor es de fiar aunque custodie tanta información.
«Pero ¿no es una única caja fuerte un único punto de fallo?»
Es la preocupación más común, y plantea el riesgo al revés. Para casi todo el mundo, el peligro real no es una caja fuerte descifrada, sino la reutilización de contraseñas. Usa la misma contraseña en diez sitios y una sola filtración se las entrega todas a un atacante. Así es como se ve comprometida en realidad la mayoría de la gente.
El trabajo entero de un gestor es acabar con la reutilización: cada cuenta recibe su propia contraseña larga y aleatoria que nunca tienes que recordar. Sí, concentras el riesgo en una sola caja fuerte, pero es una caja fuerte con cifrado de conocimiento cero y, con una contraseña maestra fuerte, mucho más difícil de descifrar que las contraseñas débiles y repetidas a las que sustituye. El cambio te favorece de forma abrumadora.
La lección de LastPass: importa qué gestor eliges
Y aquí viene el matiz importante. LastPass, durante mucho tiempo una opción por defecto, sufrió una brecha importante en 2022–2023 en la que los atacantes robaron copias cifradas de las cajas fuertes de contraseñas de más de 25 millones de usuarios; y, como muchas cajas fuertes antiguas usaban ajustes débiles de refuerzo de contraseña y guardaban las direcciones de los sitios web sin cifrar, los investigadores de seguridad han vinculado desde entonces los datos robados con robos de criptomonedas a gran escala. El cifrado hizo que las contraseñas maestras fuertes aguantaran en gran medida, pero las más débiles quedaron expuestas a ataques de fuerza bruta, y la magnitud por sí sola fue una llamada de atención.
La conclusión no es desconfiar de todos los gestores, sino que la ingeniería y el historial de un gestor forman parte de su seguridad. Elige uno que use ajustes de cifrado sólidos por defecto y que no haya entregado las cajas fuertes de sus usuarios a los atacantes. Nuestras elecciones superan todas ese listón; LastPass es el que recomendamos evitar.
Los riesgos reales (y cómo cerrarlos)
- Una contraseña maestra débil. Todo descansa sobre ella. Usa una frase de contraseña larga de varias palabras aleatorias, única para tu gestor, y nunca la escribas en un correo ni en una nota.
- Sin un segundo factor. Activa la autenticación en dos factores en tu gestor, para que una contraseña maestra filtrada no baste por sí sola para abrir tu caja fuerte.
- El phishing. Un gestor no rellenará los datos en un dominio falso (un superpoder silencioso), pero si tecleas a mano tu contraseña maestra en una página falsa convincente, queda expuesta. Ve despacio con los mensajes urgentes de «inicia sesión ya».
- Un dispositivo infectado. El gestor no puede protegerte si ya hay malware vigilando lo que tecleas, y por eso la higiene básica del dispositivo y las actualizaciones siguen importando.
En resumen
Un gestor de contraseñas de confianza es una de las mejoras de mayor impacto y menor esfuerzo que puedes hacer por tu seguridad, y encima no tienes que pagar por ella. Los únicos deberes de verdad son elegir uno fiable y proteger tu contraseña maestra.
Preguntas frecuentes
La seguridad de los gestores de contraseñas, sin rodeos
¿Es seguro usar un gestor de contraseñas?
Sí: para la gran mayoría, un gestor de contraseñas de confianza es mucho más seguro que la alternativa de reutilizar o memorizar contraseñas. Usan cifrado de conocimiento cero, lo que significa que ni la propia empresa puede leer tu caja fuerte, ni tampoco un atacante que entre en sus servidores. Los datos son inútiles sin tu contraseña maestra. Lo que hay que elegir con cuidado es cuál, según su ingeniería y su historial.
¿No es arriesgado poner todas mis contraseñas en un solo sitio?
Lo parece, pero es justo al revés. Para la mayoría, la amenaza realista no es una caja fuerte descifrada, sino la reutilización de contraseñas, donde una contraseña filtrada desbloquea diez cuentas. Un gestor arregla exactamente eso al dar a cada cuenta una contraseña fuerte y única que no tienes que recordar. Con cifrado de conocimiento cero y una contraseña maestra fuerte, esa «única cesta» está muy bien cerrada.
¿Qué pasó con LastPass?
LastPass, en su día una de las principales recomendaciones, sufrió una brecha importante en 2022–2023 en la que los atacantes robaron copias cifradas de las cajas fuertes de contraseñas de más de 25 millones de usuarios; y, como muchas cajas fuertes antiguas usaban ajustes débiles de refuerzo de contraseña y guardaban las direcciones de los sitios web sin cifrar, los investigadores de seguridad han vinculado desde entonces los datos robados con robos de criptomonedas a gran escala. La lección no es que «los gestores de contraseñas son inseguros»; es que la ingeniería y el historial importan, y que deberías elegir un gestor que no haya expuesto las cajas fuertes de sus usuarios. Muchos no lo han hecho.
¿Qué es lo único más importante que hay que hacer bien?
Tu contraseña maestra. Es la única llave de todo, así que tiene que ser larga, única y no estar reutilizada en ningún otro sitio; una frase de contraseña de varias palabras aleatorias funciona bien. Combínala con la autenticación en dos factores en tu gestor, y hasta un atacante decidido se queda fuera.