# Dónde están tus contraseñas guardadas, y quién más puede abrirlas

> Si alguna vez pulsaste «Guardar contraseña», ya usas un gestor. La pregunta interesante no es dónde están tus contraseñas, sino qué hace falta para abrirlas: y ahí Chrome, Safari y Firefox no se parecen en nada.

Publicado el 2026-08-30 por David Carrero · password.es
Original: https://password.es/blog/donde-estan-tus-contrasenas-guardadas/

---

Si alguna vez pulsaste «Guardar contraseña» en esa ventanita que sale abajo, ya
usas un gestor de contraseñas. **Nadie te lo dijo, no elegiste ninguno, y aun así
tienes uno.** Probablemente con cien entradas dentro.

Eso explica por qué la pregunta más repetida sobre contraseñas no es «cómo hago
una buena», sino «dónde están las mías». La gente no busca un manual de
seguridad: busca una lista que sabe que existe y no encuentra.

La lista existe. Pero el sitio donde está guardada importa mucho menos que la
respuesta a la pregunta siguiente, que casi nadie hace: **¿qué hace falta para
abrirla?**

## Dónde están, según lo que uses

En **Chrome** están en el gestor de contraseñas de Google. Vives en dos sitios a
la vez: una copia en el ordenador y otra en tu cuenta de Google, sincronizadas.
Se ven en `passwords.google.com` o desde los ajustes del propio navegador.

En **Safari, iPhone y Mac** están en el llavero de iCloud, que desde hace poco
tiene además su propia aplicación, Contraseñas. Misma idea: en el dispositivo y
en tu cuenta de Apple.

En **Firefox** están en dos archivos dentro de tu perfil, con nombres que
conviene conocer: `logins.json`, donde van los usuarios y las contraseñas
cifrados, y `key4.db`, donde va la clave que los descifra. Mozilla lo documenta
así, con esos nombres.

En **Edge** están en tu cuenta de Microsoft, con el mismo esquema que Chrome. Y
en **Android** es el mismo gestor de Google que usa Chrome, aunque lo abras desde
los ajustes del teléfono.

Hasta aquí, la respuesta que buscabas. Ahora la parte que cambia algo.

## Los tres modelos, y por qué no son equivalentes

Todos dicen «tus contraseñas están cifradas». Es verdad en los tres casos y no
significa lo mismo en ninguno, porque lo que cambia es **quién tiene la llave**.

**El llavero de Apple está cifrado de extremo a extremo.** Las claves con las que
se abre no las conoce Apple; están únicamente en tus dispositivos de confianza.
Apple lo publica en su documentación de seguridad, y añade un detalle que se
agradece: el sistema limita los intentos, precisamente para que ni siquiera desde
dentro de su propia infraestructura se pueda ir probando a lo bruto. No hay nada
que activar. Ya está así.

**En Google, ese modo existe pero es opcional.** Por defecto tus contraseñas
viajan cifradas y se guardan cifradas, pero con claves que gestiona Google.
Puedes cambiarlo: una *frase de contraseña de sincronización* —o el cifrado en el
dispositivo, según por dónde entres— hace que las claves queden solo en tus
manos. La diferencia práctica es enorme y la mayoría de la gente no lo ha
activado nunca, porque nadie le ha explicado que existía. Tiene un precio que hay
que decir entero: **si olvidas esa frase, tus contraseñas guardadas no las
recupera nadie.** Ese es exactamente el sentido de la palabra «solo tú».

**En Firefox, sin contraseña maestra, el cifrado no te protege de quien tenga tu
archivo.** Es la parte más incómoda de este artículo, y la dice Mozilla, no
nosotros: sin una contraseña principal configurada, cualquiera que copie
`logins.json` y `key4.db` de tu perfil puede leer tus credenciales. Los dos
archivos van juntos: uno lleva el candado y el otro, la llave. Ponerle una
contraseña principal es lo que cifra esa llave y rompe el par.

## El escenario real no es una película

Cuando uno se imagina que le roban las contraseñas, se imagina a alguien
atacando servidores. En la práctica los dos casos que ocurren son mucho más
domésticos.

El primero: **alguien con acceso a tu ordenador desbloqueado.** No hace falta
saber nada. La lista está a dos clics en los ajustes del navegador, y aunque te
pida la contraseña del sistema para mostrarlas en claro, esa contraseña la sabe
quien vive contigo o la ha visto teclear.

El segundo: **un programa que copia el perfil de tu navegador.** No revienta
nada. Se lleva los archivos y los abre en otro sitio con calma. Es un tipo de
software tan común que tiene nombre propio en la industria, *infostealer*, y es
la razón exacta por la que la frase «pero es que están cifradas» necesita
siempre la pregunta de después: cifradas, sí, ¿y la llave dónde está?

Contra ese segundo escenario, el modelo de Apple aguanta, el de Google aguanta
si activaste la frase, y el de Firefox sin contraseña principal no aguanta nada.

## Qué hacer, por orden de lo que más cambia

**Uno.** Si usas Firefox, ponle una contraseña principal. Es una casilla en los
ajustes de privacidad y es, con diferencia, el cambio que más protege por menos
esfuerzo de toda esta lista.

**Dos.** Si usas Chrome o Android, entra en el gestor de Google y activa el
cifrado en el dispositivo o la frase de sincronización. Apúntala en algún sitio
físico antes de activarla, y entiende lo que estás firmando: a partir de ese
momento, esa frase es la única puerta.

**Tres.** Mira la contraseña de la cuenta que lo guarda todo. Tu cuenta de
Google, tu ID de Apple o tu cuenta de Microsoft dejaron de ser «una cuenta más»
en el momento en que empezaste a guardar contraseñas dentro: ahora son la llave
del resto. Si esa contraseña te la inventaste tú hace ocho años, pásala por el
[comprobador](/comprobador/) y mira qué dice. Y si te lo pide el cuerpo,
cámbiala por una del [generador](/).

**Cuatro.** Activa el segundo factor en esa cuenta. Es el paso que convierte
«saben tu contraseña» en «no entran igualmente».

## ¿Esto es suficiente, o necesito un gestor de verdad?

Depende de para qué, y aquí la respuesta honesta no es la que vende.

Para la mayoría de la gente, el gestor del navegador con el cifrado bien
configurado **es suficiente**, y es infinitamente mejor que la alternativa real,
que no es un gestor mejor: es la misma contraseña repetida en cuarenta sitios.

Un gestor dedicado gana cuando aparecen cosas que el del navegador hace mal o no
hace: usar dos navegadores distintos sin volverte loco, compartir una contraseña
con tu pareja sin mandarla por WhatsApp, guardar cosas que no son contraseñas,
salir de un ecosistema sin perderlo todo, o poder auditar el código de quien
guarda tus secretos. De eso hablamos en otro artículo, y el resumen es que el
salto grande no es de un gestor a otro: es de ninguno a cualquiera.

## Lo que en realidad estabas buscando

Buscabas una lista. Está en `passwords.google.com`, en la app Contraseñas de tu
iPhone o en los ajustes de tu navegador, según lo que uses.

Pero ya que estás dentro, mira una cosa más: **cuántas veces se repite la misma
contraseña en esa lista.** Los tres gestores te lo dicen si se lo preguntas. Esa
cifra explica mejor tu situación real que cualquier cosa que puedas leer sobre
cifrado, incluida esta.

---

*Fuentes: documentación de seguridad de Apple sobre el llavero de iCloud
—cifrado de extremo a extremo con claves que Apple no conoce y limitación de
intentos— · ayuda de Google Chrome sobre sincronización, frase de contraseña de
sincronización y cifrado en el dispositivo · documentación de Mozilla sobre cómo
guarda Firefox las contraseñas (`logins.json` y `key4.db`) y sobre la contraseña
principal.*