Gestor de contraseñas KeePassXC: código abierto y sin ataduras
KeePassXC es un gestor de contraseñas local y de código abierto que guarda todas tus credenciales en una única bóveda KDBX offline bajo tu control total.
Úsalo como gestor de contraseñas en Linux y desbloquea la misma bóveda en Android con apps confiables como KeePassDX o KeePass2Android.
Índice
Por qué KeePassXC sigue siendo la opción más segura
Seguridad auditada y transparente
KeePassXC es completamente de código abierto, permitiendo auditar el código y evitar telemetría oculta.
Bóvedas locales por defecto
Tu bóveda KDBX permanece offline salvo que decidas sincronizarla bajo tus condiciones.
Acceso multiplataforma
Una base de datos KDBX portátil funciona en Linux, Windows, macOS y Android.
- Criptografía robusta con Argon2id y cifrados modernos.
- Soporte para tokens hardware (YubiKey, Nitrokey) para archivo clave o desafío-respuesta.
- Sin suscripciones ni muros de pago: seguridad sin costes adicionales.
Llave de hardware recomendada para KeePassXC
Un único archivo de bóveda portátil para todo
Tu base de datos KeePass es un único .kdbx archivo. Guarda la bóveda KDBX en un USB cifrado, un repositorio Git privado o un almacenamiento autoalojado.
Abrirla en otro dispositivo no requiere cuenta, solo la contraseña maestra (y archivo clave si está configurado).
Usa sincronización con control de versiones (Syncthing o Git) para evitar conflictos y mantener copias de seguridad offline. La descifrado es local, sin compartir datos con terceros.
Apps oficiales y clientes confiables
Utiliza estos clientes mantenidos que siguen el estándar abierto de KeePass.
| Plataforma | Paquete o código fuente | Notas |
|---|---|---|
| Linux | Repositorios, Flatpak, AppImage | Prefiere paquetes de la distribución para actualizaciones; Flatpak ofrece aislamiento. |
| Windows | Instalador firmado, versión portátil | Activa bloqueo automático al reanudar y usa Windows Hello solo para facilitar desbloqueo. |
| Android | KeePassDX (F-Droid) o KeePass2Android | Activa limpieza del portapapeles y biometría solo para desbloqueo local. |
| Navegadores | KeePassXC-Browser (Firefox/Chromium) | Usa el cliente de escritorio activo, sin necesidad de puente en la nube. |
Lista de verificación para reforzar la bóveda
- Crea una contraseña maestra larga y única y añade opcionalmente un archivo clave offline.
- Usa Argon2id con alta memoria (64–128 MB) e iteraciones para ralentizar ataques de fuerza bruta.
- Agrupa entradas, añade etiquetas y guarda secretos TOTP para generar códigos offline.
- Activa bloqueo automático por inactividad, suspensión o bloqueo de pantalla.
- Haz copia de seguridad del archivo .kdbx y del archivo clave en un lugar cifrado y externo.
Flujos de trabajo recomendados
Escritorio Linux y Windows
- Ejecuta KeePassXC con integración de navegador solo en perfiles confiables.
- Usa reenvío de agente SSH desde KeePassXC para Git o acceso a servidores y evita guardar claves en disco.
- Guarda secretos de infraestructura (tokens API, accesos a bases de datos) en grupos separados por proyecto.
Android
- Instala desde F-Droid para evitar rastreadores y asegurar compilaciones reproducibles.
- Mantén la base de datos en almacenamiento cifrado del dispositivo; evita carpetas en la nube de terceros.
- Activa desbloqueo rápido con biometría solo tras pedir la contraseña maestra una vez por sesión.
Estrategias de sincronización y copia de seguridad
Elige un modelo de sincronización que mantenga el archivo KDBX bajo tu control:
- Syncthing: punto a punto, cifrado de extremo a extremo, ideal para compartir en familia o equipo.
- Git : historial de versiones con commits firmados; evita repositorios públicos y rota credenciales.
- Almacenamiento autoalojado: WebDAV o SFTP en un servidor propio, usando solo autenticación por clave.
- Rotación offline: copia periódica a un disco cifrado guardado fuera de sitio para recuperación ante ransomware.
Apps que no recomiendo
Estos servicios añaden fricción, bloquean funciones clave tras pago o tienen historial de incidentes:
- LastPass: múltiples brechas y funciones clave bloqueadas tras la versión Pro.
- Dashlane: modelo solo en la nube con control limitado sobre el almacenamiento de la bóveda.
- 1Password: backend de sincronización cerrado y acceso solo por suscripción.
- Bitwarden: planes solo en la nube: convenientes, pero el autoalojamiento o KeePassXC ofrecen mejor control.
Preguntas frecuentes
Todas las respuestas sobre KeePassXC, archivos KDBX y sincronización segura.
Lecturas adicionales y recursos internos
Sigue reforzando tu privacidad con estas guías: