Gestión de contraseñas

Qué cubre esta categoría

Guardar credenciales para que la gente deje de tenerlas en una hoja de cálculo: cajas fuertes personales, cajas fuertes compartidas de equipo, secretos que usan las aplicaciones y los mecanismos de recuperación que rodean todo ello.

Dos públicos compran en este apartado. Los particulares quieren comodidad y seguridad. Las organizaciones quieren uso compartido, aprovisionamiento, revocación y pruebas, que es un producto distinto con el mismo núcleo.

El control de accesos más amplio y la vigilancia están en seguridad. Las evidencias de cumplimiento pertenecen a cumplimiento y GRC.

Por qué hay que dejar la hoja de cálculo

Las credenciales compartidas en un documento tienen cuatro problemas que ningún cuidado elimina.

Todos los que alguna vez tuvieron acceso lo siguen teniendo, incluidos los que se fueron. Nadie sabe qué contraseñas se reutilizan en otros sitios. Cambiar una implica avisar a todo el mundo. Y no queda constancia de quién abrió qué, que es la primera pregunta tras un incidente.

Un gestor de contraseñas resuelve los cuatro haciendo que compartir sea una acción controlada y no una copia. Esa es la compra real, no la comodidad del autorrelleno.

Cómo debe funcionar el cifrado

Lo que vale la pena comprobar es que el proveedor no pueda leer su caja fuerte.

En un producto bien diseñado, el cifrado y el descifrado ocurren en su dispositivo y el proveedor almacena un material que no puede abrir. Eso tiene una consecuencia que la gente descubre tarde: perder la credencial maestra puede significar perder la caja fuerte para siempre, por eso el diseño de la recuperación importa tanto como el cifrado.

Hay que ver qué recuperación existe. Los planes empresariales suelen ofrecer recuperación asistida por un administrador o un contacto de emergencia. Conviene preguntar cómo funciona, ya que una vía de recuperación que permite a un administrador leer todas las cajas fuertes es un modelo de seguridad distinto de uno que no lo permite.

Las auditorías independientes y la arquitectura publicada valen más que una página de adjetivos tranquilizadores. Hay que preguntar cuándo fue la última y si el informe se puede leer.

Lo que un equipo necesita de verdad

• Cajas fuertes compartidas por equipo o proyecto, con acceso concedido por grupo.
• Aprovisionamiento, para que altas y bajas sean automáticas y no cosa de acordarse.
• Revocación que quite el acceso de inmediato y no en el siguiente inicio de sesión.
• Registros de auditoría que muestren quién accedió a qué elemento y cuándo.
• Secretos para aplicaciones, fuera del código y rotados sin tiempo de inactividad.

La baja de personal es el requisito que más se subestima. El acceso que queda tras la salida de alguien es el hallazgo habitual de una primera revisión de seguridad, y es justo lo que esta categoría debe evitar.

La adopción es la parte difícil

Una caja fuerte que nadie usa es una hoja de cálculo con pasos extra.

Los factores decisivos son corrientes: si el autorrelleno funciona con fiabilidad en los sitios y aplicaciones que usa su personal, si la experiencia en el móvil es tolerable y si guardar una credencial nueva requiere una sola acción. Cuando falla alguno, la gente vuelve a reutilizar una contraseña que puede recordar.

Las extensiones del navegador son el principal punto de contacto y varían en calidad. Conviene probar la suya con los casos incómodos: una aplicación con un formulario de acceso raro, un sitio que cierra la sesión constantemente y una cuenta compartida que usan cuatro personas a la vez.

Más allá de las contraseñas

Dos novedades cambian para qué sirve este software.

Las claves de acceso (passkeys) eliminan la contraseña en los servicios que las admiten, y los mejores gestores ya las almacenan y sincronizan entre dispositivos. Esa lista crece, y el soporte conviene comprobarlo y no darlo por hecho.

Los secretos de aplicaciones son la otra dirección. Las claves, tokens y certificados que usan los sistemas y no las personas necesitan rotación, acceso acotado y un registro de auditoría, y varios productos de esta categoría cubren ya ambos mundos. El precio es por usuario y mes, y las funciones empresariales fijan el nivel, junto con los hábitos habituales descritos en lo que ocultan las páginas de precios.

Desplegar una caja fuerte en un equipo

La migración es sencilla y el cambio de hábitos no lo es, así que conviene planificar lo segundo.

Se empieza por las credenciales compartidas que ya preocupan: cuentas de administración, portales de proveedores, todo lo que hoy está en un documento. Moverlas primero aporta un valor visible y elimina la peor exposición.

Después se incorpora a las personas una a una, con una sesión breve y no con un correo. La mayor parte de la resistencia viene de que el autorrelleno se comporta de otra manera y no de ninguna objeción de principio.

Conviene dar al personal un plan familiar o personal gratuito cuando el proveedor lo ofrezca. La reutilización de credenciales entre el trabajo y la casa es un riesgo real, y la forma más barata de reducirlo es poner la opción segura al alcance en todas partes.

Se termina cerrando las vías antiguas. Un documento compartido que se deja en su sitio lo seguirá usando alguien seis meses después.