Guías de compra · Gestores de contraseñas

Gestores de contraseñas.Los de pago, los gratis y el del navegador: dónde vive tu clave y cuándo compensa cambiar.

Un gestor de contraseñas guarda tus claves cifradas detrás de una sola contraseña maestra y genera una distinta para cada web. El 7 de septiembre de 2026, cuatro de los nueve primeros resultados de «gestor de contraseñas» en España llevan al de Google: la pregunta no es solo cuál instalar, es si te vale el que ya tienes puesto.

Elegir el mío ›Dónde vive tu clave ›

Revisado a mano el 7 de septiembre de 2026Una elección con enlace de afiliado, declarado junto al botónSin publicidad y sin pago por aparecer

Las tres vías

Tres vías para guardar tus contraseñas, y cuándo se queda corta cada una

La primera no hay que instalarla porque ya la tienes puesta. Solo una de las tres tiene hoy una guía nuestra con elección detrás, y así está enseñada.

GoogleApple

Sin instalar nada

El del navegador o el del sistema

Es lo que usa casi todo el mundo sin haberlo elegido, y a mucha gente le basta: con un solo ecosistema y el doble factor puesto, cubre lo básico y no cuesta nada.

  • Te vale sisolo rellenas en el navegador y no cambias de sistema.
  • Se queda corto simezclas sistemas, rellenas dentro de aplicaciones o quieres aviso de filtraciones.
  • Dónde guardaChrome, en tu cuenta de Google con la sesión iniciada, y en el dispositivo sin ella.
La tabla caso por caso ›

Dónde guarda, en su propia ayuda: Chrome, guardar contraseñas › leído el 7 de septiembre de 2026.

NordPass

La elección de nuestra guía: NordPass

Un gestor dedicado, con la bóveda en la nube

Una bóveda de conocimiento cero que se abre igual en los cuatro sistemas y rellena dentro de las aplicaciones. Es el salto que compensa al mezclar sistemas.

  • Te vale simezclas sistemas, compartes claves en casa o quieres la lista de las repetidas.
  • Qué exigirlelos seis criterios: cifrado moderno, conocimiento cero, auditoría publicada, doble factor y llaves de acceso, aviso de filtraciones y exportación libre.
  • Para quién no esquien quiere la sesión en varios dispositivos a la vez sin pagar.
Ver NordPass ›

Enlace de afiliado: si contratas desde aquí, m8d.io recibe una comisión sin coste adicional para ti. No altera nuestro análisis.

Sin guía nuestra todavía

Un gestor local, con la bóveda en tu equipo

La bóveda es un fichero tuyo y no sale del equipo salvo que la muevas. El INCIBE la separa de la de servidor: más segura y menos práctica.

  • Te vale siprefieres hacerte cargo de la copia y no necesitas la bóveda en cinco sitios.
  • Qué exigirleexportación libre y, si es de código abierto, repositorio público con auditoría.
  • Lo que faltatodavía no hay guía nuestra de bóveda local: cuando la haya, aparece aquí con su elección.
Sin elección de la casa

El criterio del organismo público: INCIBE, gestión de contraseñas ›

Y dentro de esa vía, qué cambia de un plan a otro. Sin cifras: el precio de una suscripción no está en nuestro registro y no se escribe a mano.

Gratis

Bóveda cifrada, generador y autocompletado. Ninguno serio limita cuántas contraseñas guardas: el tope está en otro sitio, y en cada uno en un sitio distinto. Se cambia el día que ese tope molesta.

Una persona

Añade lo que convierte un almacén en herramienta: aviso cuando una clave tuya aparece en una filtración, análisis de las repetidas y compartición cifrada. Se contrata por periodos largos, así que es aquí donde se lee la renovación.

Familia o equipo

Varias bóvedas bajo una cuenta, con carpetas compartidas y administración. Por persona suele salir por debajo del individual, y evita que la clave del banco viaje por mensajes.

Por qué la primera vía es la que ya tienes puesta, y no la que se vende: en el resultado de búsqueda de «gestor de contraseñas» en España del 7 de septiembre de 2026, cuatro de los nueve primeros enlaces llevan al gestor de Google y seis de las ocho relacionadas nombran un ecosistema. Recuento propio. Ninguna marca paga por aparecer aquí y el enlace de afiliado no cambia lo que pagas ni lo que decimos.

Los cuatro sitios

Dónde vive una contraseña: cuatro sitios y qué pasa en cada uno

Antes de comparar funciones hay una decisión de arquitectura, y es la que casi ninguna lista nombra: dónde quieres que estén tus claves cuando pase algo.

Comparador de dónde vive tu contraseña, escenario a escenario

Cuatro sitios y cuatro cosas que pasan de verdad: cambiar de sistema, que se filtre una web, dejarse el portátil abierto y olvidar la clave. Las 16 casillas, escritas y visibles sin pulsar nada.

El resultado. Ninguna columna gana las cuatro filas. El gestor dedicado gana las dos primeras y empata la tercera; el local gana la segunda y te deja a ti la copia; y el del navegador es el único que puede devolverte el acceso, que es lo que lo hace más cómodo y menos hermético.

Comparación de arquitecturas, no de marcas: es la única que publicamos en este vertical, y la separación entre servidor y equipo la hace el INCIBE. En pantallas estrechas la tabla se desplaza a los lados.
Qué pasa siEn tu cabezay por tanto repetidasEn el navegador o el sistemael del móvil, el del portátilEn un gestor dedicado, en la nubecon conocimiento ceroEn un gestor local, en tu equipola bóveda es un fichero tuyo
Mezclas Windows con iPhone, o Mac con AndroidAcabas usando la misma en los dos, que es justo el problema.Se queda a medias: sincroniza dentro de su ecosistema y regular fuera.La misma bóveda se abre igual en los cuatro sistemas y dentro de las aplicaciones.La misma, si eres tú quien lleva el fichero de un equipo a otro.
Se filtra una web donde te habías registradoCae también tu correo y tu banco, porque la clave es la misma.Aviso básico de que esa contraseña aparece comprometida.Aviso y, además, la lista de las repetidas y las débiles para ir cambiándolas.Solo cae esa cuenta, siempre que no repitieras la clave.
Te dejas el portátil abierto y con la sesión iniciadaNo hay nada que abrir, salvo el papel donde las apuntaste.Las guardadas están a un clic desde los ajustes del navegador.Se bloquea solo y vuelve a pedir la maestra o la huella.Se bloquea solo y vuelve a pedir la maestra.
Olvidas la clave que lo abre todoNo aplica: la clave la llevas puesta, con el riesgo que eso tiene.La recupera la cuenta del sistema, con su propio proceso.Nadie puede devolvértela: para eso está el código de recuperación.Nadie puede devolvértela: para eso está tu copia de seguridad.

El análisis completo

Las guías de gestores de contraseñas de m8d, y qué resuelve cada una

Abrir la guía ›
Cuándo te basta el del navegador, qué seis criterios filtran de verdad y cómo migrar en veinte minutosCon comprobador de contraseñas dentroy su fecha de revisión a la vistaLeer ›
VPNLas llaves las guarda el gestor; la conexión, otra cosa ›Antivirus y seguridadLo que vigila lo que entra en el equipo ›Seguridad digital desde ceroCinco lecciones gratis, sin cuenta ›

El mapa de decisión

Qué gestor de contraseñas elegir según tu caso

Las 8 formas de buscarlo que devuelve hoy el buscador en España, con el eje del que cuelga cada una y qué mirar en su letra pequeña.

plataformaEl que ya tienes: el del navegador o el del sistemaCubre lo básico con un solo ecosistema y el doble factor puesto, y se queda corto en cuanto mezclas dos sistemas o rellenas dentro de una aplicación.Qué mirar: Dónde guarda: en la cuenta o en el aparato.Ver la sección ›precioGratuito y sin límite de contraseñasEl eje de precio. Ninguno serio limita cuántas claves guardas: el tope está en los dispositivos, en la compartición o en el aviso de filtraciones.Qué mirar: El tope concreto de su página de precios.Ver la sección ›usoMultiplataforma: Windows con iPhone, Mac con AndroidEl caso que rompe el gestor del sistema: la misma bóveda abriéndose igual en los cuatro y rellenando dentro de las aplicaciones, no solo en la web.Qué mirar: Aplicación nativa, no solo extensión.Ver la sección ›característicaCon llaves de acceso (passkeys)En el trabajo ya no es opcional. Una llave tiene que vivir en algún sitio, y el gestor la sincroniza entre sistemas sin atarte a una marca de teléfono.Qué mirar: Que las sincronice y que puedas exportarlas.Ver la sección ›
formatoLocal, con la bóveda en tu dispositivoEl organismo público la separa de la bóveda en servidor: se considera más segura y menos práctica, y la copia de seguridad es cosa tuya.Qué mirar: Dónde va la copia y con qué la restauras.Sin guía todavía
característicaDe código abiertoNo es una etiqueta: es lo que permite que una auditoría externa revise algo más que la interfaz, y se comprueba en el repositorio y en el informe.Qué mirar: Repositorio público e informe con su año.Sin guía todavía
plataformaPara Android y para iPhoneEn el móvil se adopta o se abandona por una cosa: si el autocompletado entra en las aplicaciones y no solo en el navegador.Qué mirar: El servicio de autocompletado, en los ajustes.Sin guía todavía
destinatarioPara la familia o para un equipoEl destinatario cambia el producto: compartición cifrada por elemento y poder retirar un acceso de golpe, sin cambiar todas las claves.Qué mirar: Compartir por elemento y retirar un acceso.Sin guía todavía

Recuento del 7 de septiembre de 2026 sobre las sugerencias de «gestor de contraseñas», «gestor de contraseñas gratis» y «passkeys» en España: de esas 8 formas, 4 las resuelve una sección de nuestra guía y 4 se nombran sin enlace, porque lo que no lleva a ningún sitio no puede parecer que lleva.

El miedo número uno

Qué pasa si pierdes la contraseña maestra de tu gestor

Cuatro piezas sostienen tu bóveda. En dos de ellas nadie puede devolvértela, y eso no es un fallo: es lo mismo que impide que la abra un tercero.

1La contraseña maestraLa única que memorizas. Tipo frase: cuatro palabras con separador y un número, muy por delante de cambiar letras por símbolos.Nadie puede devolvértela
2El doble factor de la cuentaImpide que alguien con tu maestra entre desde otro equipo. Se activa dentro de la cuenta del gestor, no solo en las webs que guardas.Tú, con los códigos de respaldo que te dio al activarlo
3El código de recuperaciónSe genera al crear la cuenta y es la única red si pierdes la maestra. Se imprime y se guarda fuera del ordenador.Nadie puede volver a emitírtelo
4La bóveda cifradaLo que hay dentro. Con conocimiento cero se descifra en tu dispositivo: el proveedor la guarda y no la puede leer.El proveedor la custodia y no puede abrirla
Cuánto aguanta una contraseña según cómo esté hecha4 formas de hacerla · la barra ordena, la palabra manda
8 letras minúsculasgirasoleMinutos o menos
10 caracteres mezcladosGira5ol-e2Meses
14 o más, tipo frasetortuga-Lila-mar-91Siglos
16 o más, generada por el gestorx9Kp2vLq7mZ4wEdades geológicas

Órdenes de magnitud, no una promesa de plazo: suponen un ataque fuera de línea contra un resumen rápido y cambian con el hardware del atacante. Salen del Comprobador de cuánto aguanta una contraseña, de m8d.io ›, que calcula dentro de tu navegador y no envía nada, y de la tabla anual de Hive Systems que esa guía cita. La lectura útil es la última fila: el gestor genera las claves largas que no tienes que recordar, y deja tu única tarea en memorizar una frase.

2 de las 4 piezas no las puede reponer nadie, y van juntas: la maestra la memorizas y el código de recuperación se imprime el primer día y se guarda fuera del ordenador. Con esas dos y el doble factor, un gestor deja de ser un punto único de fallo. Sin ellas, lo es.

El contraste

Las 5 trampas de los gestores de contraseñas, con su prueba

Volver a las tres vías ›
01Apaga el relleno automático y usa el atajo del gestor: dos segundos por sesión a cambio de la única vía que no depende de que la web sea honesta.El autocompletado automático rellena también en una página preparada para robarloLa prueba ›
Lo que se anuncia

«Rellena tus contraseñas solo» como la ventaja número uno de la categoría, en todas las fichas y en todas las listas.

Lo comprobable

El centro de coordinación CERT publicó la nota de vulnerabilidad VU#516608, actualizada el 17 de octubre de 2025, sobre extensiones de gestor de contraseñas vulnerables a clickjacking: una página puede volver invisible el desplegable del gestor y colocar encima un banner inocente, de modo que un clic normal entrega los datos rellenados. La nota lista siete fabricantes y su recomendación al usuario es literal: «consider disabling or limiting autofill functionality or adjusting related settings to reduce exposure». Y añade que puede ocurrir en webs de confianza si han sido comprometidas.

Prueba: nuestra guía de cómo se elige un gestor de contraseñas › · CERT/CC, nota de vulnerabilidad VU#516608, 17 de octubre de 2025

02Decide dónde vive la bóveda antes de comparar funciones: en la nube el requisito es conocimiento cero, y en local el requisito es tu copia de seguridad.La bóveda en la nube y la bóveda en tu equipo no son el mismo productoLa prueba ›
Lo que se anuncia

«Sincronizado en todos tus dispositivos» como una característica más de la lista, sin decir que eso significa que la bóveda vive en un servidor ajeno.

Lo comprobable

El INCIBE, el organismo público español de ciberseguridad, separa los dos tipos y lo escribe sin adornos: los que almacenan las claves en un servidor dan acceso desde cualquier dispositivo «pero están más expuestas a posibles ataques de ciberseguridad», y los que las almacenan en el propio dispositivo «se consideran más seguros, pero son menos prácticos si se necesita consultar alguna contraseña». Es una decisión de arquitectura, y casi ninguna lista comercial la nombra.

Prueba: nuestra guía de cómo se elige un gestor de contraseñas › · INCIBE, gestión de contraseñas para la ciudadanía, 3 de septiembre de 2026

03Busca el tope concreto en su página de precios, no si pone gratis, y elige el que no toque lo que vas a hacer todos los días.El plan gratuito no limita cuántas contraseñas guardas, y por eso hay que leer dónde limitaLa prueba ›
Lo que se anuncia

«Gratis para siempre» y una lista de funciones, sin decir cuál es el tope que te va a molestar dentro de un mes.

Lo comprobable

En esta categoría el número de contraseñas casi nunca es el límite. La página de precios de Bitwarden lo escribe así para su plan gratuito: «Unlimited devices, unlimited passwords» y «Free sharing with another user», leída el 7 de septiembre de 2026. Otros planes gratuitos serios de la misma categoría ponen el tope en la sesión simultánea, en la compartición o en el aviso de filtraciones. Son topes distintos y solo uno de ellos te va a estorbar a ti.

Prueba: nuestra guía de cómo se elige un gestor de contraseñas › · Bitwarden, su página de precios, 7 de septiembre de 2026

04El precio que decide es el del segundo periodo y se lee antes de meter la tarjeta. Pon el recordatorio un mes antes de que toque.El precio grande es el del primer periodo y se cobra entero por adelantadoLa prueba ›
Lo que se anuncia

Una cuota por mes en letras grandes con un porcentaje de descuento al lado, sin decir cuánto dura ese porcentaje.

Lo comprobable

En toda la categoría de suscripciones de seguridad el primer periodo es una promoción y la renovación se hace a tarifa. La cuota mensual que se anuncia es el resultado de dividir un pago único de uno o dos años, y el importe de renovación aparece en letra pequeña en la pantalla de pago. Es el mismo modelo en gestores, en redes privadas y en antivirus, y nuestra guía lo desarrolla con la tabla de qué ves, qué significa y qué hacer con cada línea.

Prueba: nuestra guía de cómo se elige un gestor de contraseñas ›

05El día uno: maestra tipo frase, código de recuperación impreso fuera del ordenador y doble factor en la cuenta. Los tres, o es un punto único de fallo.Nadie puede devolverte la contraseña maestra, y eso es el producto funcionando bienLa prueba ›
Lo que se anuncia

«Recupera tu cuenta en un clic» como en cualquier otro servicio, cuando aquí el mecanismo es exactamente el contrario.

Lo comprobable

Un gestor de conocimiento cero descifra en tu dispositivo y la empresa no guarda con qué abrir tu bóveda: no puede devolverte la maestra ni entregarla a nadie. Por eso al crear la cuenta se genera un código de recuperación, que es la única red que existe. Sin maestra y sin ese código la bóveda es irrecuperable por diseño, y eso es lo mismo que la protege si alguien roba el servidor donde está guardada.

Prueba: nuestra guía de cómo se elige un gestor de contraseñas ›

Las preguntas de hoy

Qué pregunta la gente sobre los gestores de contraseñas, y qué contesta el dato

Las cuatro que Google enseña hoy para «gestor de contraseñas» en España. Las cuatro preguntan por plataforma o por precio, ninguna por marca.

¿Qué programa gratuito puedo usar para guardar contraseñas?

Casi todos tienen plan gratuito y ninguno limita cuántas claves guardas: el tope está en la sesión simultánea, en la compartición o en el aviso de filtraciones.

El dato. La página de precios de Bitwarden declara para su plan gratuito «Unlimited devices, unlimited passwords», leída el 7 de septiembre de 2026; el que elige nuestra guía mantiene la sesión en un dispositivo a la vez. Decide el tope que toca lo que haces a diario.

Las tres vías, con lo que limita cada una ›

¿Qué gestor de contraseñas puedo usar en Windows 11?

En un ordenador con Windows, el que ya tienes puesto es el del navegador, y la pregunta útil no es la marca: es dónde guarda tus claves.

El dato. La ayuda de Chrome lo escribe así: con la sesión iniciada, las contraseñas van a tu cuenta de Google; sin ella, al dispositivo. El cifrado en el propio dispositivo se explica en otra página. Leído el 7 de septiembre de 2026.

La tabla de las cuatro arquitecturas ›

¿Qué aplicación puedo usar para guardar contraseñas?

Cualquiera que cumpla seis cosas comprobables en la web del fabricante: cifrado moderno, conocimiento cero, auditoría publicada, doble factor, aviso de filtraciones y exportación libre.

El dato. Y una que no sale en ninguna lista: la nota VU#516608 del CERT, del 17 de octubre de 2025, sobre extensiones vulnerables a clickjacking, con siete fabricantes. Su recomendación es literal: «consider disabling or limiting autofill functionality».

La trampa del autocompletado ›

¿Qué aplicaciones para Android puedo usar para guardar contraseñas?

En Android y en iPhone se adopta o se abandona por una cosa: si el autocompletado se activa dentro de las aplicaciones. Los dos sistemas dejan elegir ese servicio.

El dato. La ruta que da nuestra guía: en Android, Ajustes, Contraseñas y cuentas; en iPhone, Ajustes, Contraseñas, Opciones. Y con el relleno automático apagado, la vía del CERT se cierra sin renunciar al gestor.

Qué gestor según tu caso ›

Preguntas leídas el 7 de septiembre de 2026 con la API de resultados de búsqueda, sobre «gestor de contraseñas» en España. Cambian con la temporada, y por eso van con su fecha.

Lo que ha cambiado

Novedades de los gestores de contraseñas y lo que cambia la decisión este año

Dos de los últimos cuarenta y cinco días, con su fuente y su fecha. Las dos van de lo mismo: dónde vive la llave de acceso que sustituye a la contraseña.

SMS y vozLlave de accesoel método por defecto en Microsoft Entra desde el 1 de septiembre de 2026Cambia la decisión

Microsoft pone las llaves de acceso por defecto y retira el SMS como segundo factor

La documentación de Microsoft Entra ID fija dos fechas: desde el 1 de septiembre de 2026 las llaves de acceso son el inicio de sesión por defecto, y desde el 1 de febrero de 2027 se retira la entrega de SMS y voz, sin posibilidad de quedarse fuera. Una llave tiene que vivir en algún sitio, y ese sitio es el gestor o el sistema.

Microsoft Learn, documentación de Entra ID, 10 de agosto de 2026
32 bytesel secreto que protege todas las llaves de acceso sincronizadas de una cuentaEstá por resolverse

Una investigación enseña que dónde guardas la llave de acceso también importa

Unit 42, la división de investigación de Palo Alto Networks, publicó tres técnicas que permiten a un programa malicioso ya instalado en Windows usar las llaves de acceso sincronizadas sin huella, sin PIN y sin aviso. La más grave llega al secreto de 32 bytes que las protege. A 3 de agosto de 2026, sin CVE asignado ni explotación conocida.

The Hacker News, sobre la investigación de Unit 42, 3 de agosto de 2026

El método

Cómo analizamos los gestores de contraseñas, y qué no puede afirmar el dato

Cómo lo decidimos ›

Qué analizamos

  • La página del proveedor, leída y fechada. Qué limita el plan gratuito, qué cifrado usa y si hay conocimiento cero se lee en su web, se cita literal y se fecha.
  • La auditoría del tercero, con su firma y su año. Un cifrado moderno y el conocimiento cero solo se dan por comprobados con un informe externo publicado. Sin informe, es una declaración.
  • Los avisos oficiales, citados por su identificador. Una nota de vulnerabilidad que cambia cómo se usa un gestor se cita por su número, con su enlace y su fecha.
  • Lo que se busca en España, contado y con fecha. Las formas de buscar y las preguntas salen del buscador español del 7 de septiembre de 2026, contadas una a una.
  • La guía, revisada y fechada. Lleva su fecha de revisión a la vista, con su comprobador dentro, y se corrige cuando un plan cambia.

Qué no puede afirmar el dato

  • Una suscripción no entra en el registro de precios. El registro lee catálogos de comercios y una suscripción no está en ellos: aquí no hay mediana, ni tramos, ni bajadas.
  • El tiempo de rotura es una estimación, no una medición. Salen de tablas publicadas que suponen un ataque fuera de línea y un ritmo de intentos concreto: ordenan, no prometen un plazo.
  • Una auditoría dice lo que encontró el día que se hizo. Demuestra que un tercero miró y qué vio entonces. No es un certificado permanente.
  • El precio de un servicio cambia por promoción y por país. Se puede afirmar dónde está escrito el importe de renovación, no cuál es hoy.
  • La página que calla no prueba nada. Si un proveedor no publica su límite, dónde vive la bóveda o su auditoría, escribimos que no lo publica.
Independencia y cómo citar esta página ›

Ningún fabricante paga por aparecer y esta página no lleva publicidad. La elección es la de nuestra guía y lleva enlace de afiliado, declarado junto a cada botón: si contratas desde ahí, m8d.io recibe una comisión sin coste adicional para ti y no altera el análisis. Las páginas de proveedores y de organismos que citamos van sin comisión, para que se puedan comprobar en un clic.

«Según m8d, un gestor de contraseñas se decide primero por dónde vive la bóveda: 16 casillas comparan cuatro arquitecturas frente a cuatro escenarios, y 2 de las 4 piezas que la sostienen no las puede reponer nadie. En el resultado de búsqueda español del 7 de septiembre de 2026, cuatro de los nueve primeros enlaces de la consulta cabeza son el gestor del navegador». Fuente: m8d.io/gestores-de-contrasenas/, revisado el 7 de septiembre de 2026.

El gestor no te pide que confíes en él: te pide que decidas dónde vive tu bóveda, quién puede abrirla y qué pasa el día que pierdas la llave.

1 guía de gestores de contraseñas · 5 contrastes con su prueba · 16 casillas escritas · 4 piezas de la cadena de recuperación · revisado a mano el 7 de septiembre de 2026

Elegir el mío ›Las tres vías ›