Índice6
El día en que una empleada deja la empresa, alguien hace la pregunta incómoda: «¿a qué tenía acceso?». Sin gestor de contraseñas, la respuesta se reconstruye de memoria, rebuscando en el correo, en una hoja de cálculo compartida y en hilos de chat. Con un gestor de equipo, cabe en una pantalla.
Esta guía de nuestra sección Infraestructura y nube explica lo que un gestor de contraseñas cambia para un equipo de 20 a 500 personas, cómo elegir uno sin preferencia por ningún proveedor y por dónde empezar.
En resumen
- Un gestor de equipo sustituye la hoja de cálculo, la mensajería y los pósits por una caja fuerte cifrada, compartida por rol.
- La llegada y la salida de un empleado se convierten en gestos breves: se da o se retira un acceso al grupo.
- Hace posible lo que piden las recomendaciones oficiales: una contraseña larga y única por cuenta, sin cambio forzado en fecha fija.
- La doble autenticación sigue siendo imprescindible, empezando por la propia caja fuerte.
- Alojado por el proveedor o instalado en su casa: ambas opciones se defienden, el criterio es su capacidad para operarlo.
Por qué las contraseñas del equipo acaban en todas partes
Porque un acceso compartido tiene que circular, y gana el camino más corto. La cuenta del proveedor de alojamiento pasa por un mensaje, la de la red social de la empresa por una nota pegada en la pantalla de la recepción, el acceso de administrador de la tienda por una hoja de cálculo «Accesos» que todo el mundo ha acabado abriendo. Nadie eligió este sistema: se instaló solo.
El resultado se ve el día en que hay que actuar rápido. Una cuenta sospechosa, una salida, un proveedor que cambia: ya no se sabe quién conoce qué, y cambiar una contraseña compartida rompe el trabajo de todos los que la usaban sin que se supiera.
La ANSSI, la agencia francesa de ciberseguridad, zanjó la cuestión en sus recomendaciones sobre autenticación y contraseñas:
Utilizar una caja fuerte de contraseñas.
La CNIL, la autoridad francesa de protección de datos, va en el mismo sentido: su recomendación de 2022 sobre contraseñas sitúa el gestor de contraseñas entre las buenas prácticas de creación y renovación.
Lo que cambia un gestor, del primer al último día
El beneficio más visible no es técnico: es el tiempo ganado en los momentos en que un equipo se mueve.
La vida de un acceso en un gestor de equipo
- La llegada
El empleado se une a un grupo y recibe de una vez los accesos de su rol.
- El reparto
Un acceso nuevo se guarda una vez, en la carpeta correcta, y no en un mensaje.
- El cambio
Una contraseña cambiada está actualizada para todos los que la usan.
- La salida
Se retira a la persona del grupo y se sabe qué accesos cambiar.
La llegada: un grupo en lugar de una lista
Ya no se dan los accesos uno por uno: se coloca a la persona en su grupo (comercial, contabilidad, marketing) y hereda lo que su puesto necesita. El día en que se añade una herramienta al rol, todo el grupo la recibe.
La salida: la pregunta incómoda tiene respuesta
El gestor indica qué contraseñas podía leer la persona. Retirarle el acceso a la caja fuerte no basta, porque lo que vio puede seguir sabiéndolo: los accesos sensibles que consultaba se cambian, y el gestor dice cuáles. Es la misma lógica que con un proveedor que se va.
El día a día: por fin contraseñas largas y únicas
Nadie recuerda cuarenta contraseñas distintas de veinte caracteres. Un gestor, sí: las genera, las rellena y las guarda. Es lo que hace sostenibles las reglas actuales. El NIST, el instituto estadounidense de normalización cuya guía sirve de referencia mucho más allá de Estados Unidos, revisó las suyas en la versión 4 de su guía sobre autenticación:
- una contraseña usada sola debe tener al menos 15 caracteres;
- ya no se fuerza el cambio en fecha fija, solo cuando una cuenta está comprometida;
- cada contraseña nueva se compara con una lista de contraseñas comunes o ya comprometidas;
- los servicios deben aceptar los gestores de contraseñas y el autocompletado.
Lo esencial
La seguridad ya no viene de la complejidad impuesta a las personas, sino de la longitud y la unicidad, que solo un gestor hace practicables.
Cómo elegir: alojado por el proveedor o instalado en su casa
Existen las dos familias, con productos serios en cada lado. Los gestores alojados por su proveedor (1Password, Bitwarden, Dashlane, Keeper, Proton Pass, entre otros) se ponen en marcha en un día. Otros se instalan también en su propio servidor: Bitwarden publica el procedimiento para alojarlo en un servidor Linux, y soluciones libres como Passbolt o Vaultwarden siguen el mismo camino.
Alojado por el proveedor
En servicio el mismo día, sin servidor que mantener
Actualizaciones y disponibilidad a cargo del proveedor
Suscripción por usuario, que sigue el tamaño del equipo
Instalado en su casa
La caja fuerte cifrada no sale de su infraestructura
Actualizaciones, copias de seguridad y supervisión a su cargo
Coste del servidor y del tiempo de operación, no por usuario
Sea cual sea la elección, cuatro criterios deciden:
- el cifrado se hace en el dispositivo, antes del envío al servidor: el proveedor o el alojador no deben poder leer la caja fuerte;
- el reparto por grupos y carpetas, y un registro que indique quién ha consultado qué;
- el inicio de sesión mediante el directorio de la empresa cuando lo tenga, para que una cuenta desactivada cierre también la caja fuerte;
- un acceso de emergencia: el procedimiento que permite recuperar los accesos críticos si la única persona que los tenía está ausente.
Instalar la caja fuerte en casa solo tiene sentido si alguien la mantiene al día, la respalda y la vigila: es un servicio crítico, ya que abre todos los demás. Nuestro artículo sobre las herramientas que conviene sacar primero del SaaS ayuda a situar el gestor en ese orden de prioridad.
Atención
La caja fuerte que lo abre todo se protege primero
La contraseña principal del gestor no se guarda en ningún otro sitio que en la cabeza de su titular, y la doble autenticación se activa en la caja fuerte antes que en cualquier otra cuenta. Una caja fuerte protegida por una contraseña corta y nada más concentra el riesgo en lugar de reducirlo.
Lo que aprendimos ordenando nuestros propios accesos
Sobre el terreno
El día en que decidimos ejecutar nuestros agentes en la nube en lugar de en un ordenador, algunas de nuestras claves todavía vivían en un archivo en el equipo del fundador: una sola máquina que falla, y nadie sabía ya dónde estaban las claves ni cuáles cambiar. En Palmora Property, un portal inmobiliario que operamos, fue esa misma dependencia de una sola máquina la que motivó la implantación de una caja fuerte de secretos autoalojada.
Estos dos casos mezclan contraseñas humanas y claves técnicas. La distinción importa: el gestor de equipo sirve a las personas, mientras que las claves de API que usan programas y agentes de IA corresponden a una caja fuerte de secretos, que detallamos en nuestro artículo sobre la caja fuerte de secretos. El riesgo propio de esas claves, el de una factura que se dispara, es objeto de un artículo aparte: claves de API robadas, el riesgo olvidado de los proyectos de IA.
Por dónde empezar
- Haga el inventario de los accesos compartidos
Alojamiento, nombre de dominio, banca en línea, redes sociales, tienda, herramientas de negocio. Anote quién los usa.
- Elija el gestor
Según los cuatro criterios y active la doble autenticación en la caja fuerte.
- Cree los grupos por rol
Y guarde cada acceso en la carpeta del grupo que lo necesita.
- Cambie de paso las contraseñas que han circulado
Por mensajería u hoja de cálculo, y borre esas copias.
- Redacte el procedimiento de salida
Retirar del grupo y cambiar los accesos sensibles que indique el gestor.
El gestor forma parte de la base de infraestructura común a sus proyectos, junto con las cuentas nominativas, las copias de seguridad y la supervisión. El resto de la sección cubre las decisiones vecinas: las cinco partidas que inflan una factura de nube, servidor dedicado, VPS o nube, Kubernetes y las pymes, la supervisión, el plan de recuperación ante desastres, NIS2 en Francia, las copias de seguridad de un servidor propio, n8n autoalojado en producción, el coste de salir del SaaS a tres años, la migración a la nube sin romperlo todo, la dependencia de la nube estadounidense, el hardware para ejecutar un modelo de IA en casa, Postgres gestionado o propio y la elección de un correo de empresa.
Para instalar el gestor en su servidor con sus demás herramientas, copias de seguridad y supervisión incluidas, vea nuestra oferta de salida del SaaS. Para un simple encuadre, descríbanos su equipo.
Preguntas frecuentes
¿Es un gestor de contraseñas realmente más seguro que una hoja de cálculo protegida?
Sí. Una hoja de cálculo se copia, se comparte entera y no indica quién ha leído qué línea. Un gestor cifra cada entrada, muestra a cada persona solo lo que concierne a su rol, registra las consultas y rellena los formularios de inicio de sesión, lo que hace posibles contraseñas largas y únicas para cada cuenta.
¿Qué pasa si el proveedor del gestor sufre un ataque?
Si el cifrado se hace en el dispositivo, el atacante obtiene cajas fuertes cifradas, ilegibles sin la contraseña principal de cada usuario. Por eso esa contraseña debe ser larga y única, y la doble autenticación debe estar activa. Después, cambie primero los accesos más sensibles, por precaución.
¿Hay que seguir cambiando las contraseñas cada 90 días?
No. La guía del NIST pide dejar de imponer cambios periódicos y forzar el cambio solo cuando una cuenta está comprometida. Una contraseña larga, única y comprobada contra las listas de contraseñas ya filtradas protege mejor que una corta cambiada cada trimestre.
¿Pueden las claves de API ir en el mismo gestor?
Para unas pocas claves que consultan personas, es posible. En cuanto las usan programas, automatizaciones o agentes de IA, es más adecuada una caja fuerte de secretos: entrega la clave al programa en el momento de la llamada, sin que una persona la copie, y registra cada uso.
Fuentes
- ANSSI, recomendaciones sobre la autenticación multifactor y las contraseñas, octubre de 2021 (nueva pestaña)messervices.cyber.gouv.fr
- CNIL, contraseñas: una nueva recomendación, octubre de 2022 (nueva pestaña)cnil.fr
- NIST SP 800-63B-4, Authentication and Authenticator Management (nueva pestaña)pages.nist.gov
- Bitwarden, Install and Deploy: Linux (nueva pestaña)bitwarden.com
ANSSI, recomendaciones sobre la autenticación multifactor y las contraseñas, octubre de 2021
Leer en messervices.cyber.gouv.fr(nueva pestaña)NIST SP 800-63B-4, Authentication and Authenticator Management
Leer en pages.nist.gov(nueva pestaña)Jim · fundador de Brain Plus AI
Más artículos sobre infraestructura y nube
Entender13 min
Caja fuerte de secretos: su IA usa las claves sin verlas
Contraseñas enviadas por correo, claves de API olvidadas en el código, agentes de IA que podrían copiarlo todo: estas son las fugas que encontramos con más frecuencia. Y así es como una caja fuerte a su nombre permite a su IA usar sus claves sin leerlas nunca.
Entender9 min
Claves de API robadas: el riesgo olvidado de los proyectos de IA
Un proyecto de IA multiplica las claves de API, y cada una, si la roban, se convierte en una factura que otra persona consume a su costa. Dónde se filtran, cómo limitar los daños antes de la filtración y qué hacer en la primera hora.
Guía práctica14 min La guía del tema
Infraestructura en la nube: la base común de todos sus proyectos
Antes del primer proyecto, una base de infraestructura en la nube resuelve de una vez por todas las cuentas, los accesos, las copias de seguridad y el presupuesto, y cada proyecto siguiente la hereda. Qué contiene, dónde montarla, cuánto cuesta y por qué su explotación cuenta más que su instalación.