Las contraseñas reutilizadas son el camino más corto a la expropiación digital. Bitwarden es un gestor de contraseñas de código abierto: genera, almacena y autocompleta secretos bajo cifrado de extremo a extremo. La bóveda se descifra en el cliente; el servidor solo ve blobs cifrados.

// Qué hace

Almacena contraseñas, notas seguras, tarjetas e identidades en una bóveda cifrada con la master password del usuario. Deriva claves con PBKDF2 / Argon2 (según configuración) y cifra el contenido de la bóveda en el dispositivo antes de sincronizar.

Clientes oficiales para escritorio, móvil, extensión de navegador y CLI. Código del servidor y de los clientes en GitHub. Puede usarse el servicio hospedado de Bitwarden Inc. o una instancia propia (self-hosted / Vaultwarden compatible).

Auditorías y transparencia documentadas:

• Auditorías de seguridad publicadas por terceros (incl. revisiones de criptografía y clientes)
• Programa de recompensas por vulnerabilidades activo
• Opción de desplegar el stack completo bajo control propio

// Modelo de amenaza

Protege contra:

• Reutilización de contraseñas y contraseñas débiles — genera secretos largos y únicos por servicio
• Filtración del contenido de la bóveda en el servidor del proveedor: sin la master password (o clave derivada), el blob es ilegible
• Phishing básico: la extensión rellena solo en dominios que coinciden con la entrada guardada

No protege contra:

• Una master password débil o reutilizada: si el adversario la obtiene, abre toda la bóveda
• Dispositivo comprometido (keylogger, spyware): el cifrado de la bóveda no salva lo que se escribe en pantalla
• Quien tenga acceso físico desbloqueado al dispositivo con la sesión abierta
• El propio usuario exportando la bóveda en claro y guardándola mal

NOTA: Activar 2FA en la cuenta Bitwarden. Preferir TOTP en app o llave de hardware, no SMS. La master password no se recupera: si se pierde, se pierde la bóveda. Guardar el código de recuperación en un lugar offline cifrado o en papel físico seguro.

// Jurisdicción y datos

Servicio hospedado: Bitwarden Inc., jurisdicción Estados Unidos. Sujeto a órdenes legales estadounidenses sobre los datos que sí existen en servidor (cuenta, metadata de sincronización, blobs cifrados).

Datos en el servidor (modelo de conocimiento cero sobre el contenido):

• Email de la cuenta
• Blobs de bóveda cifrados
• Metadata de sincronización y facturación si hay plan de pago

El contenido de contraseñas y notas no es legible por Bitwarden sin la clave del usuario. Eso no equivale a inmunidad legal sobre la existencia de la cuenta ni sobre metadata.

Self-host: si la instancia corre en hardware y jurisdicción bajo tu control, el riesgo de citación a un tercero se reduce; aparece el riesgo operativo de mantener actualizaciones, backups cifrados y acceso al servidor.

// Configuración mínima soberana

• Master password larga, única, memorizable o en papel offline — no en otro gestor en la nube sin cifrar
• 2FA sin SMS
• Extensión solo en navegador de uso diario; no instalar en equipos ajenos
• Desactivar desbloqueo biométrico en dispositivos compartidos o de alto riesgo
• Export periódico cifrado de la bóveda a almacenamiento offline
• Evaluar self-host si el modelo de amenaza incluye presión legal sobre proveedores US

// Límites honestos

Bitwarden no es anonimato. No oculta que tenés una cuenta ni con qué email. No sustituye Signal, Proton Mail ni un sistema operativo endurecido. Es la capa de secretos reutilizables: si esta capa falla, fallan casi todas las demás.

// Enlaces

• bitwarden.com
• Código fuente
• Vaultwarden (servidor compatible, comunidad)