Alternativa a LastPass y 1Password: un gestor de contraseñas en tu propia infraestructura

Es una implementación ligera del servidor de Bitwarden, escrita en Rust y mantenida por la comunidad, que funciona con las aplicaciones y extensiones oficiales de Bitwarden. Te permite tener la bóveda de contraseñas de la empresa en tu propio servidor en lugar de en el servicio de un tercero, con organizaciones, colecciones compartidas y permisos por persona. Consume muy pocos recursos, así que no necesita una máquina grande.

Sí, es software libre y sin licencia por usuario, e incluye de serie funciones que en el servicio de Bitwarden pertenecen a planes de pago, como las organizaciones con colecciones compartidas. El gasto que queda es el servidor donde vive y el trabajo de mantenerlo actualizado y con copias verificadas. Tratándose de la bóveda de toda la empresa, ese mantenimiento no es opcional.

Bitwarden es el producto oficial, con su servicio en la nube, su servidor autoalojable, soporte de fabricante y auditorías externas detrás. Vaultwarden es un servidor alternativo no oficial que habla el mismo protocolo, mucho más liviano de desplegar y sin las funciones de gran cuenta como el inicio de sesión único empresarial o el aprovisionamiento automático de usuarios. Para un equipo pequeño o mediano que quiere la bóveda en su infraestructura, Vaultwarden cumple de sobra; si necesitáis soporte del fabricante o certificaciones concretas para un contrato, id al Bitwarden oficial.

1Password está más pulido y suma una clave secreta propia que se combina con la contraseña maestra, lo que sube el listón si alguien se hiciera con la bóveda cifrada, pero es propietario y solo funciona como servicio en su nube. Bitwarden es código abierto, auditado por terceros, más barato y se puede autoalojar. Si tu criterio es control del dato y coste por usuario, Bitwarden; si es comodidad y soporte de fabricante sin querer saber nada de servidores, 1Password.

Los tres hacen lo mismo, guardar y compartir credenciales cifradas con extensiones de navegador y aplicaciones. La diferencia de fondo está en el modelo y en la confianza. LastPass arrastra el incidente de 2022, en el que los atacantes se llevaron copias cifradas de bóvedas de clientes; 1Password es la opción propietaria más pulida; Bitwarden es la única de las tres que puedes auditar y alojar tú. Para una empresa, ese último punto suele ser el que decide.

KeePass guarda todo en un fichero cifrado local que cada persona tiene que sincronizar por su cuenta, así que en cuanto sois varios aparecen las copias descuadradas y no hay forma limpia de saber quién tiene acceso a qué. Vaultwarden es un servidor central con usuarios, grupos y colecciones compartidas, y permite retirar el acceso de alguien al instante. Para uso individual KeePass es perfectamente válido; para una empresa con equipo, se queda corto.

No hay uno mejor en abstracto, pero sí un criterio claro. Necesitas bóvedas compartidas por equipo con permisos, retirada inmediata de accesos, doble factor, extensiones y apps que la gente use de verdad, y un modelo de cifrado en el que el proveedor no pueda leer tus claves. Si además quieres que la bóveda no salga de tu infraestructura, la respuesta práctica es Vaultwarden con los clientes de Bitwarden; si prefieres no tener servidor propio, Bitwarden o 1Password en sus planes de empresa.

Con un gestor bien montado le retiras el acceso a las colecciones compartidas y deja de ver nada en ese mismo momento, sin ir servicio por servicio. Aun así conviene rotar las credenciales críticas que esa persona haya manejado, porque pudo memorizarlas o anotarlas fuera. Sin gestor, la única salida honesta es cambiar todas las contraseñas que conocía, y precisamente por lo costoso que resulta casi nadie lo hace.