En casi todas las pymes que revisamos, las contraseñas viven en tres sitios: un cuaderno, una hoja de cálculo compartida y la cabeza de una persona. Funciona hasta que esa persona está de vacaciones, hasta que la hoja se comparte por correo, o hasta que una contraseña reutilizada aparece en una filtración de otro servicio y alguien la prueba en tu web.
Un gestor de contraseñas arregla las tres cosas a la vez. Implantarlo cuesta una tarde. Esta es la forma de hacerlo sin que el equipo lo rechace, que es la parte que de verdad falla.
Qué problema resuelve exactamente
- Reutilización. El ataque más rentable que existe no es adivinar tu contraseña: es probar en tu web una que ya se filtró en otro servicio. Con un gestor, cada sitio tiene la suya y una filtración no contagia al resto.
- Contraseñas débiles. Nadie memoriza cadenas largas y aleatorias; una máquina sí.
- Compartir sin enviar. Se comparte el acceso, no el texto de la contraseña por WhatsApp.
- Salidas ordenadas. Cuando alguien se va, sabes exactamente a qué tenía acceso: la mitad del trabajo de cerrar accesos ya está hecha.
Cómo elegir uno sin volverte loco
No hace falta una comparativa de veinte productos. Con estos cinco criterios descartas casi todo:
| Criterio | Qué mirar |
|---|---|
| Cifrado en el cliente | Que el proveedor no pueda leer tus contraseñas aunque quiera |
| Carpetas compartidas por equipo | Compartir por grupos, no persona a persona |
| Segundo factor en la cuenta maestra | Imprescindible: es la llave de todo |
| Recuperación de emergencia | Qué pasa si el administrador pierde el acceso o se va |
| Auditoría | Que avise de contraseñas repetidas, débiles o aparecidas en filtraciones |
Los hay de pago por usuario y los hay libres que puedes alojar tú. Si eliges alojarlo tú, recuerda que pasas a ser responsable de sus copias y de su actualización: no es gratis, es distinto.
La implantación, en cinco pasos
1. Empieza por lo crítico, no por todo
Nadie migra 200 contraseñas el primer día. Empieza por las que tumban el negocio si caen: registrador del dominio, hosting, correo, banca, WordPress, redes sociales y pasarela de pago. Con eso cubres el 90 % del riesgo real.
2. Una carpeta por área, no una por persona
«Dominio y hosting», «Web», «Marketing», «Administración». Se dan permisos por carpeta y se acabó el «pásame la del panel».
3. Cambia mientras migras
Aprovecha el traslado para generar contraseñas nuevas donde había reutilización. Si copias las viejas tal cual, has ordenado el problema, no lo has resuelto.
4. Activa el segundo factor en la cuenta maestra y en lo crítico
El gestor guarda contraseñas; el segundo factor es lo que salva cuando una se filtra. En tu WordPress se activa en cinco minutos: cómo hacerlo bien. Guarda los códigos de respaldo fuera del gestor: si pierdes el acceso al gestor, los necesitarás.
5. Define qué pasa si desapareces
Es la pregunta incómoda que nadie hace y la que más problemas causa. Dos personas de confianza con acceso de emergencia, o un sobre cerrado en la caja fuerte con la contraseña maestra. Cualquier cosa menos «solo lo sabe Juan».
Errores que vemos: guardar la contraseña maestra en el navegador; usar la misma para el gestor y para el correo; y meter en el gestor los códigos de respaldo del segundo factor, que convierte los dos factores en uno solo.
Y las contraseñas de la web, en particular
Las cuentas con permisos altos en WordPress merecen un trato aparte:
- Contraseña única, larga y generada, nunca derivada del nombre de la empresa.
- Segundo factor obligatorio para administradores y gestores de tienda.
- Menos administradores. Cada cuenta con permisos totales es una llave maestra más: revisa los roles.
- Vigila los intentos fallidos. Si empiezan a llegar a chorros, es que alguien está probando listas: cómo cortarlo.
Cómo convencer al equipo
La resistencia nunca es técnica, es de costumbre. Lo que nos ha funcionado:
- Instalarlo con ellos, no mandar un manual. Quince minutos por persona.
- Empezar por lo que les ahorra trabajo: autocompletar el acceso que usan diez veces al día.
- Prohibir de verdad la hoja de cálculo. Si sigue existiendo, el gestor no se usa.
- Revisar a los tres meses el informe de contraseñas débiles o repetidas, y arreglar lo que salga.
Lo que esto tiene que ver con el cumplimiento
Gestionar credenciales de forma ordenada es una medida técnica y organizativa de las que el Reglamento espera que apliques según el riesgo, y es de las primeras que se preguntan cuando hay que demostrar diligencia tras un incidente. Lo traducimos a lenguaje llano en las medidas de seguridad apropiadas.
Si quieres una referencia pública para justificar la decisión ante tu equipo o tu asesoría, las guías para empresas de INCIBE recomiendan exactamente esto: contraseñas únicas, gestor y segundo factor.
Seguir leyendo en esta sección
- Cómo auditar la web que te ha entregado una agencia
- Se va un empleado o cambias de agencia: cómo cerrar los accesos
- Roles y permisos de WordPress: quién debería ser administrador y quién no
- Contraseñas y verificación en dos pasos en WordPress: cómo hacerlo bien
- Cómo proteger wp-login.php de los ataques de fuerza bruta
- Cómo leer los logs de tu web y detectar lo que no encaja
Ver todo en Accesos y contraseñas → · Mapa completo del sitio