Si el modelo de amenaza incluye “no quiero que mi bóveda viva en un servidor ajeno”, el camino clásico es un archivo cifrado local. KeePassXC es un gestor de contraseñas de código abierto compatible con el formato KDBX de KeePass: la bóveda es un archivo en tu disco (o en un volumen que vos controlás).

// Qué hace

Crea y edita bases KDBX cifradas con tu master password (y opcionalmente un archivo-clave). Genera contraseñas, guarda TOTP, adjunta archivos y se integra con navegadores mediante un conector oficial opcional.

Derivado de la línea KeePass/KeePassX, mantenido de forma activa, sin cuenta obligatoria y sin servicio en la nube propio. Código en GitHub.

La sincronización entre dispositivos —si la hay— la ponés vos: Syncthing, disco cifrado, repositorio privado, lo que sea. KeePassXC no te obliga a un servidor de terceros.

// Modelo de amenaza

Protege contra:

• Dependencia de un SaaS de contraseñas bajo jurisdicción extranjera
• Lectura de la bóveda en reposo sin master password / keyfile
• Reutilización de contraseñas, si se usa bien el generador

No protege contra:

• Master password débil
• Copia de la base KDBX robada + password adivinable (ataques offline)
• Dispositivo comprometido mientras la bóveda está desbloqueada
• Sincronizar el .kdbx por email o carpeta en la nube sin entender que el archivo viaja entero: el cifrado del archivo es la única defensa
• Pérdida del único archivo sin backup: no hay “olvidé mi contraseña” en un servidor amable

NOTA: Tratar el archivo .kdbx como dinero en efectivo digital. Backup offline en al menos dos medios. Probar la restauración. Un backup que no se restaura es un amuleto.

// Jurisdicción y datos

No hay servidor de KeePassXC con tu bóveda. La jurisdicción relevante es:

• Dónde está el archivo (disco local, NAS, nube que uses para copiarlo)
• Dónde corren los binarios (tu máquina)

Si copiás el .kdbx a un proveedor cloud, ese proveedor ve un blob cifrado y queda sujeto a su jurisdicción — igual que con cualquier archivo cifrado cliente-lado.

// Configuración mínima soberana

• Master password fuerte; considerar keyfile en un medio separado para amenazas altas
• Algoritmo de derivación moderno en los ajustes de la base (Argon2 donde esté disponible)
• Auto-bloqueo corto al minimizar o bloquear el sistema
• Integración con navegador solo si entendés el vector (extensión ↔ app)
• Backup cifrado del .kdbx + prueba de apertura en otra máquina
• No reutilizar la misma base en un PC de trabajo fiscalizado sin modelo de amenaza explícito

// KeePassXC vs Bitwarden

	KeePassXC	Bitwarden
Dónde vive la bóveda	Archivo local	Servidor (o self-host)
Cuenta obligatoria	No	Sí (en servicio hospedado)
Sync multi-dispositivo	Manual / tuya	Incluida
Complejidad operativa	Más alta	Más baja
Ideal si…	Querés cero SaaS	Querés sync sin administrar sync

Ambos son legítimos. El error es no usar ninguno.

// Enlaces

• keepassxc.org
• Código fuente