Un gestor de contraseñas para su empresa: por qué una hoja compartida no es un sistema

Las contraseñas son las llaves de todo el negocio a la vez: del correo, el banco, la caja registradora, la contabilidad, la web y las redes sociales. Sorprende, entonces, con qué descuido se suelen guardar. Una contraseña, en una nota pegada bajo el teclado. Otra, «la recordó el navegador». Una tercera vive en una hoja compartida en el disco, a la que puede entrar medio despacho. Una cuarta la conoce una sola persona, y mientras está de vacaciones, nadie puede usarla.

Cada uno de estos métodos parece cómodo justo hasta la primera vez que falla. Le contamos por qué no conviene hacerlo así — y cómo es un gestor de contraseñas en condiciones para el equipo cuando los secretos son responsabilidad nuestra.

Una hoja compartida es un agujero, no una caja fuerte

El «gestor de contraseñas» más común en una pequeña empresa es una hoja de cálculo con columnas — servicio, usuario, contraseña — en algún punto de un disco compartido. El problema no es que sea incómodo. El problema es que tiene fugas por varios lados a la vez.

Un archivo así no tiene vuelta atrás. Le da acceso a la persona de contabilidad y ve todas las contraseñas, incluidas las que no le incumben. Se marcha un responsable — y una copia de la hoja se queda en su correo o en sus descargas, y ni se entera. No hay registro: quién miró qué contraseña, y cuándo, es una incógnita. No hay historial: alguien borra una fila sin querer y la contraseña desaparece para siempre.

Las contraseñas del navegador no son mucho mejores. Están atadas a una sola cuenta, se sincronizan por una nube que no controla y se le entregan a cualquiera que se siente un segundo ante un ordenador desbloqueado. Cómodo, sí. Pero aquí la comodidad juega en su contra.

Cada cliente tiene su propia caja fuerte, separada

Nosotros lo hacemos distinto. Cada cliente recibe su propio gestor de contraseñas — separado, aislado del de los demás, en un servidor bajo nuestro cuidado, alojado en Europa. No una cuenta compartida «para todos», donde sus secretos están junto a los de extraños, sino su propio espacio, cuyas llaves son suyas.

Dentro, los secretos están organizados por carpetas y equipos: contabilidad ve lo de contabilidad, el almacén lo del almacén, la dirección lo ve todo. Cada empleado tiene su propio acceso, y no una única «contraseña de la hoja» para todo el despacho. Y cada acceso deja rastro: se ve quién usó qué, y cuándo.

Técnicamente es Vaultwarden, de código abierto — el mismo motor que hay detrás de Bitwarden, con el que ya funcionan las aplicaciones habituales del teléfono, el navegador y el ordenador. No hay que aprender una interfaz nueva: se ve y funciona como un gestor de contraseñas que quizá ya usó en casa alguna vez — solo que bajo su control, y no en la nube de otro. Y la propia caja fuerte está cifrada y con copias de seguridad — como todos los datos de los que respondemos.

El segundo cerrojo — dentro, no al lado

Una contraseña es solo el primer cerrojo. El segundo son los códigos de un solo uso (los llaman 2FA o TOTP): esos números de seis cifras que se renuevan cada medio minuto. A menudo se guardan en una app aparte, en el teléfono de una sola persona — y cuando ese teléfono se pierde o se apaga en el peor momento, nadie puede entrar en un servicio importante.

Nosotros guardamos esos códigos junto a las contraseñas, en la misma caja fuerte protegida — con una salvedad honesta: si alguien compromete esa caja fuerte, compromete los dos factores a la vez, así que la protegemos con el mismo cuidado que las contraseñas mismas. Así el acceso no depende del único dispositivo de una sola persona: si hace falta, cubre un compañero con los permisos adecuados — sin pánico y sin «¿dónde busco ahora ese teléfono?».

Cómo es la puesta en marcha

Arrancar no es dramático ni largo:

• primero reunimos en un solo sitio todos los secretos repartidos por hojas, navegadores y notas adhesivas;
• los organizamos por departamentos y definimos quién debe ver qué;
• damos a cada empleado su propio acceso y, donde hace falta, activamos los códigos de un solo uso;
• le enseñamos al equipo a usarlo — son quince minutos, no una formación de un día entero;
• le entregamos las llaves administrativas, para que el acceso maestro esté con usted, y no «en algún sitio del proveedor».

Después, la vieja hoja de contraseñas se elimina — no se guarda en un archivo, se elimina, porque ya no hace falta y conservarla es peligroso.

La mejor prueba es cuando alguien se va

El verdadero valor de una caja fuerte así no se ve en el día a día, sino el día en que alguien deja la empresa. En el mundo de la hoja compartida, una baja es cambiar a la carrera una docena de contraseñas al azar, esperando no haber olvidado ninguna. En el mundo de un gestor en condiciones es un paso tranquilo: le cierra el acceso a la persona — y todos los secretos quedan al instante fuera de su alcance, sin tener que reescribir nada en masa.

Una contraseña que solo conoce una persona no es seguridad. Es un rehén.

La misma herramienta, por cierto, guarda también nuestros propios secretos. No les recomendamos a los clientes nada que no usemos nosotros mismos.

Tres preguntas para su propio IT

No hace falta trabajar con nosotros para poner orden en las contraseñas. Basta con hacerle tres preguntas a quien se encarga de su IT:

1. ¿Dónde están exactamente las contraseñas de nuestros servicios — y no será en una hoja compartida que se pueda copiar sin ruido?
2. ¿Qué pasa con los accesos cuando mañana se marche un empleado clave?
3. ¿Se puede ver quién usó una contraseña concreta, y cuándo?

Si las respuestas son tranquilas y concretas — perfecto. Si no, empiece por una auditoría gratuita: miramos juntos dónde están ahora las llaves de su negocio y le decimos con honestidad qué conviene cambiar. La gestión de secretos forma parte de «El Escudo», pero también puede poner en orden esta sola área por separado.