Si alguna vez pulsaste «Guardar contraseña» en esa ventanita que sale abajo, ya usas un gestor de contraseñas. Nadie te lo dijo, no elegiste ninguno, y aun así tienes uno. Probablemente con cien entradas dentro.
Eso explica por qué la pregunta más repetida sobre contraseñas no es «cómo hago una buena», sino «dónde están las mías». La gente no busca un manual de seguridad: busca una lista que sabe que existe y no encuentra.
La lista existe. Pero el sitio donde está guardada importa mucho menos que la respuesta a la pregunta siguiente, que casi nadie hace: ¿qué hace falta para abrirla?
Dónde están, según lo que uses
En Chrome están en el gestor de contraseñas de Google. Vives en dos sitios a
la vez: una copia en el ordenador y otra en tu cuenta de Google, sincronizadas.
Se ven en passwords.google.com o desde los ajustes del propio navegador.
En Safari, iPhone y Mac están en el llavero de iCloud, que desde hace poco tiene además su propia aplicación, Contraseñas. Misma idea: en el dispositivo y en tu cuenta de Apple.
En Firefox están en dos archivos dentro de tu perfil, con nombres que
conviene conocer: logins.json, donde van los usuarios y las contraseñas
cifrados, y key4.db, donde va la clave que los descifra. Mozilla lo documenta
así, con esos nombres.
En Edge están en tu cuenta de Microsoft, con el mismo esquema que Chrome. Y en Android es el mismo gestor de Google que usa Chrome, aunque lo abras desde los ajustes del teléfono.
Hasta aquí, la respuesta que buscabas. Ahora la parte que cambia algo.
Los tres modelos, y por qué no son equivalentes
Todos dicen «tus contraseñas están cifradas». Es verdad en los tres casos y no significa lo mismo en ninguno, porque lo que cambia es quién tiene la llave.
El llavero de Apple está cifrado de extremo a extremo. Las claves con las que se abre no las conoce Apple; están únicamente en tus dispositivos de confianza. Apple lo publica en su documentación de seguridad, y añade un detalle que se agradece: el sistema limita los intentos, precisamente para que ni siquiera desde dentro de su propia infraestructura se pueda ir probando a lo bruto. No hay nada que activar. Ya está así.
En Google, ese modo existe pero es opcional. Por defecto tus contraseñas viajan cifradas y se guardan cifradas, pero con claves que gestiona Google. Puedes cambiarlo: una frase de contraseña de sincronización —o el cifrado en el dispositivo, según por dónde entres— hace que las claves queden solo en tus manos. La diferencia práctica es enorme y la mayoría de la gente no lo ha activado nunca, porque nadie le ha explicado que existía. Tiene un precio que hay que decir entero: si olvidas esa frase, tus contraseñas guardadas no las recupera nadie. Ese es exactamente el sentido de la palabra «solo tú».
En Firefox, sin contraseña maestra, el cifrado no te protege de quien tenga tu
archivo. Es la parte más incómoda de este artículo, y la dice Mozilla, no
nosotros: sin una contraseña principal configurada, cualquiera que copie
logins.json y key4.db de tu perfil puede leer tus credenciales. Los dos
archivos van juntos: uno lleva el candado y el otro, la llave. Ponerle una
contraseña principal es lo que cifra esa llave y rompe el par.
El escenario real no es una película
Cuando uno se imagina que le roban las contraseñas, se imagina a alguien atacando servidores. En la práctica los dos casos que ocurren son mucho más domésticos.
El primero: alguien con acceso a tu ordenador desbloqueado. No hace falta saber nada. La lista está a dos clics en los ajustes del navegador, y aunque te pida la contraseña del sistema para mostrarlas en claro, esa contraseña la sabe quien vive contigo o la ha visto teclear.
El segundo: un programa que copia el perfil de tu navegador. No revienta nada. Se lleva los archivos y los abre en otro sitio con calma. Es un tipo de software tan común que tiene nombre propio en la industria, infostealer, y es la razón exacta por la que la frase «pero es que están cifradas» necesita siempre la pregunta de después: cifradas, sí, ¿y la llave dónde está?
Contra ese segundo escenario, el modelo de Apple aguanta, el de Google aguanta si activaste la frase, y el de Firefox sin contraseña principal no aguanta nada.
Qué hacer, por orden de lo que más cambia
Uno. Si usas Firefox, ponle una contraseña principal. Es una casilla en los ajustes de privacidad y es, con diferencia, el cambio que más protege por menos esfuerzo de toda esta lista.
Dos. Si usas Chrome o Android, entra en el gestor de Google y activa el cifrado en el dispositivo o la frase de sincronización. Apúntala en algún sitio físico antes de activarla, y entiende lo que estás firmando: a partir de ese momento, esa frase es la única puerta.
Tres. Mira la contraseña de la cuenta que lo guarda todo. Tu cuenta de Google, tu ID de Apple o tu cuenta de Microsoft dejaron de ser «una cuenta más» en el momento en que empezaste a guardar contraseñas dentro: ahora son la llave del resto. Si esa contraseña te la inventaste tú hace ocho años, pásala por el comprobador y mira qué dice. Y si te lo pide el cuerpo, cámbiala por una del generador.
Cuatro. Activa el segundo factor en esa cuenta. Es el paso que convierte «saben tu contraseña» en «no entran igualmente».
¿Esto es suficiente, o necesito un gestor de verdad?
Depende de para qué, y aquí la respuesta honesta no es la que vende.
Para la mayoría de la gente, el gestor del navegador con el cifrado bien configurado es suficiente, y es infinitamente mejor que la alternativa real, que no es un gestor mejor: es la misma contraseña repetida en cuarenta sitios.
Un gestor dedicado gana cuando aparecen cosas que el del navegador hace mal o no hace: usar dos navegadores distintos sin volverte loco, compartir una contraseña con tu pareja sin mandarla por WhatsApp, guardar cosas que no son contraseñas, salir de un ecosistema sin perderlo todo, o poder auditar el código de quien guarda tus secretos. De eso hablamos en otro artículo, y el resumen es que el salto grande no es de un gestor a otro: es de ninguno a cualquiera.
Lo que en realidad estabas buscando
Buscabas una lista. Está en passwords.google.com, en la app Contraseñas de tu
iPhone o en los ajustes de tu navegador, según lo que uses.
Pero ya que estás dentro, mira una cosa más: cuántas veces se repite la misma contraseña en esa lista. Los tres gestores te lo dicen si se lo preguntas. Esa cifra explica mejor tu situación real que cualquier cosa que puedas leer sobre cifrado, incluida esta.
Fuentes: documentación de seguridad de Apple sobre el llavero de iCloud
—cifrado de extremo a extremo con claves que Apple no conoce y limitación de
intentos— · ayuda de Google Chrome sobre sincronización, frase de contraseña de
sincronización y cifrado en el dispositivo · documentación de Mozilla sobre cómo
guarda Firefox las contraseñas (logins.json y key4.db) y sobre la contraseña
principal.
Foto de Ron Lach · Pexels