# Onde están os teus contrasinais gardados, e quen máis os pode abrir

> Se algunha vez premiches «Gardar contrasinal», xa usas un xestor. A pregunta interesante non é onde están os teus contrasinais, senón que fai falta para abrilos: e aí Chrome, Safari e Firefox non se parecen en nada.

2026-08-30 · David Carrero · password.es
Original: https://password.es/gl/blog/onde-estan-os-teus-contrasinais-gardados/

---

Se algunha vez premiches «Gardar contrasinal» naquela xaneliña que sae abaixo, xa
usas un xestor de contrasinais. **Ninguén cho dixo, non escolliches ningún, e tes
un igual.** Probablemente cun cento de entradas dentro.

Iso explica por que a pregunta máis repetida sobre contrasinais non é «como fago
un bo», senón «onde están os meus». A xente non busca un manual de seguridade:
busca unha lista que sabe que existe e non atopa.

A lista existe. Pero o sitio onde está gardada importa moito menos que a resposta
á pregunta seguinte, a que case ninguén fai: **que fai falta para abrila?**

## Onde están, segundo o que uses

En **Chrome** están no xestor de contrasinais de Google. Viven en dous sitios á
vez: unha copia no ordenador e outra na túa conta de Google, sincronizadas. Vense
en `passwords.google.com` ou desde a configuración do propio navegador.

En **Safari, iPhone e Mac** están no chaveiro de iCloud, que desde hai pouco ten
aplicación propia, Contrasinais. Mesma idea: no dispositivo e na túa conta de
Apple.

En **Firefox** están en dous ficheiros dentro do teu perfil, e paga a pena
coñecer os nomes: `logins.json`, onde van os usuarios e os contrasinais cifrados,
e `key4.db`, onde vai a chave que os descifra. Mozilla documéntao exactamente
así, con eses nomes.

En **Edge** están na túa conta de Microsoft, co mesmo esquema que Chrome. E en
**Android** é o mesmo xestor de Google que usa Chrome, aínda que o abras desde a
configuración do teléfono.

Ata aquí, a resposta que buscabas. Agora a parte que cambia algo.

## Os tres modelos, e por que non son equivalentes

Todos din «os teus contrasinais están cifrados». É certo nos tres casos e non
significa o mesmo en ningún, porque o que cambia é **quen ten a chave**.

**O chaveiro de Apple está cifrado de extremo a extremo.** As chaves coas que se
abre non as coñece Apple; están unicamente nos teus dispositivos de confianza.
Apple publícao na súa documentación de seguridade, e engade un detalle que se
agradece: o sistema limita os intentos, precisamente para que nin sequera desde
dentro da súa propia infraestrutura se poida ir probando ás bravas. Non hai nada
que activar. Xa está así.

**En Google ese modo existe pero é opcional.** Por defecto os teus contrasinais
viaxan cifrados e gárdanse cifrados, pero con chaves que xestiona Google. Podes
cambialo: unha *frase de contrasinal de sincronización* —ou o cifrado no
dispositivo, segundo por onde entres— fai que as chaves queden só nas túas mans. A
diferenza práctica é enorme e a maioría da xente non o activou nunca, porque
ninguén lle explicou que existía. Ten un prezo que hai que dicir enteiro: **se
esqueces esa frase, os teus contrasinais gardados non llos recupera ninguén.** Ese
é exactamente o sentido da palabra «só ti».

**En Firefox, sen contrasinal mestre, o cifrado non te protexe de quen teña o teu
ficheiro.** É a parte máis incómoda deste artigo, e dío Mozilla, non nós: sen un
contrasinal principal configurado, calquera que copie `logins.json` e `key4.db` do
teu perfil pode ler as túas credenciais. Os dous ficheiros van xuntos: un leva o
cadeado e o outro, a chave. Poñerlle un contrasinal principal é o que cifra esa
chave e rompe a parella.

## O escenario real non é unha película

Cando un imaxina que lle rouban os contrasinais, imaxina alguén atacando
servidores. Na práctica os dous casos que ocorren son moito máis domésticos.

O primeiro: **alguén con acceso ao teu ordenador desbloqueado.** Non fai falta
saber nada. A lista está a dous clics na configuración do navegador, e aínda que
che pida o contrasinal do sistema para mostralos en claro, ese contrasinal sábeo
quen vive contigo ou llo viu teclear.

O segundo: **un programa que copia o perfil do teu navegador.** Non rebenta nada.
Leva os ficheiros e ábreos noutro sitio con calma. É un tipo de software tan común
que ten nome propio na industria, *infostealer*, e é a razón exacta pola que a
frase «pero se están cifrados» necesita sempre a pregunta de despois: cifrados,
si, e a chave onde está?

Contra ese segundo escenario, o modelo de Apple aguanta, o de Google aguanta se
activaches a frase, e o de Firefox sen contrasinal principal non aguanta nada.

## Que facer, por orde do que máis cambia

**Un.** Se usas Firefox, ponlle un contrasinal principal. É unha caixa na
configuración de privacidade e é, con diferenza, o cambio que máis protexe por
menos esforzo de toda esta lista.

**Dous.** Se usas Chrome ou Android, entra no xestor de Google e activa o cifrado
no dispositivo ou a frase de sincronización. Apúntaa nalgún sitio físico antes de
activala, e entende o que estás asinando: a partir dese momento, esa frase é a
única porta.

**Tres.** Mira o contrasinal da conta que o garda todo. A túa conta de Google, o
teu ID de Apple ou a túa conta de Microsoft deixaron de ser «unha conta máis» no
momento en que empezaches a gardar contrasinais dentro: agora son a chave do
resto. Se ese contrasinal inventáchelo ti hai oito anos, pásao polo
[comprobador](/gl/comprobador/) e mira que di. E se che pide o corpo, cámbiao por
un do [xerador](/gl/).

**Catro.** Activa o segundo factor nesa conta. É o paso que converte «saben o teu
contrasinal» en «non entran igual».

## Chega con isto, ou necesito un xestor de verdade?

Depende de para que, e aquí a resposta honesta non é a que vende.

Para a maioría da xente, o xestor do navegador co cifrado ben configurado
**abonda**, e é infinitamente mellor que a alternativa real, que non é un xestor
mellor: é o mesmo contrasinal repetido en corenta sitios.

Un xestor dedicado gaña cando aparecen cousas que o do navegador fai mal ou non
fai: usar dous navegadores distintos sen volverte tolo, compartir un contrasinal
coa túa parella sen mandalo por WhatsApp, gardar cousas que non son contrasinais,
saír dun ecosistema sen perdelo todo, ou poder auditar o código de quen garda os
teus segredos. Diso falamos noutro artigo, e o resumo é que o salto grande non é
dun xestor a outro: é de ningún a calquera.

## O que en realidade buscabas

Buscabas unha lista. Está en `passwords.google.com`, na app Contrasinais do teu
iPhone ou na configuración do teu navegador, segundo o que uses.

Pero xa que estás dentro, mira unha cousa máis: **cantas veces se repite o mesmo
contrasinal nesa lista.** Os tres xestores dinllo se llelo preguntas. Esa cifra
explica mellor a túa situación real que calquera cousa que poidas ler sobre
cifrado, incluída esta.

---

*Fontes: documentación de seguridade de Apple sobre o chaveiro de iCloud —cifrado
de extremo a extremo con chaves que Apple non coñece e limitación de intentos— ·
axuda de Google Chrome sobre sincronización, frase de contrasinal de
sincronización e cifrado no dispositivo · documentación de Mozilla sobre como
garda Firefox os contrasinais (`logins.json` e `key4.db`) e sobre o contrasinal
principal.*