Gestores de contraseñas: Parte 3 — Bitwarden y Vaultwarden

Bitwarden — gestor de contraseñas de código abierto. Se puede usar como servicio en la nube o desplegar en su propio servidor. Además del servidor oficial existe Vaultwarden — una implementación independiente de la parte servidor, compatible con las aplicaciones de Bitwarden. Esta opción entre la nube, el servidor oficial y Vaultwarden distingue a Bitwarden entre los gestores de contraseñas.

Funcionalidades de Bitwarden

• Almacenamiento de datos: inicios de sesión y contraseñas, notas seguras, datos de tarjetas bancarias, información personal para autocompletar formularios, adjuntos.
• Generador de contraseñas y nombres de usuario.
• Bitwarden Send — envío de texto o archivo mediante un enlace con caducidad y número limitado de aperturas.
• Códigos de autenticación de dos factores (TOTP) para servicios con inicio de sesión de dos factores.
• Organizaciones y colecciones — almacenes compartidos para el equipo con control de permisos de visualización y modificación.
• Contraseñas ocultas — un empleado puede iniciar sesión en un servicio mediante autocompletado sin ver la contraseña en el almacén. Bitwarden advierte explícitamente que esto no es una protección completa: después del autocompletado la contraseña puede verse en el campo del sitio web, por lo que al revocar el acceso es necesario cambiar las contraseñas.
• Aplicaciones para Windows, macOS, Linux, Android, iOS, extensiones para navegadores e interfaz de línea de comandos.

El código fuente de los clientes y del servidor es abierto. Parte de las funciones corporativas del servidor se distribuyen bajo la propia licencia de Bitwarden.

Bitwarden en la nube

La forma más rápida de empezar es registrarse en el sitio de Bitwarden.

Tarifas para empresas (a septiembre de 2026, con pago anual):

• Free Organization — organización gratuita para compartir contraseñas entre dos usuarios;
• Teams — 4 dólares por usuario al mes;
• Enterprise — 6 dólares por usuario al mes; este plan incluye la posibilidad de alojar el servidor en sus instalaciones.

Para particulares hay un plan gratuito y uno de pago Premium.

La opción en la nube no requiere administración: Bitwarden se encarga de actualizaciones, copias de seguridad y disponibilidad. Las limitaciones son las mismas que las de cualquier servicio en la nube extranjero: los datos están en manos del proveedor y no es posible pagar la suscripción con tarjeta de un banco ruso.

Servidor oficial de Bitwarden en su propia infraestructura

Bitwarden ofrece dos formas de despliegue:

• estándar — conjunto de contenedores con base de datos Microsoft SQL Server, pensado para organizaciones;
• Bitwarden lite — un contenedor para uso personal y laboratorios domésticos. Funciona con SQLite, PostgreSQL, MySQL/MariaDB o MSSQL y requiere al menos 200 MB de memoria y 1 GB de disco.

Para ambas opciones se necesitan un identificador y una clave de instalación, que se emiten gratis en la página bitwarden.com/host. Ejemplo mínimo de la documentación para Bitwarden lite:

services:
  bitwarden:
    env_file:
      - settings.env
    image: ghcr.io/bitwarden/lite
    restart: always
    ports:
      - "80:8080"
    volumes:
      - bitwarden:/etc/bitwarden

volumes:
  bitwarden:

En el archivo settings.env se definen el dominio, la base de datos y el identificador y la clave de instalación recibidos. Las funciones corporativas en su propio servidor están disponibles según la licencia del plan correspondiente.

Vaultwarden

Vaultwarden — servidor no oficial, compatible con las aplicaciones de Bitwarden. Está escrito en Rust, se distribuye bajo la licencia AGPL-3.0 y consume considerablemente menos recursos que el servidor oficial. Los autores subrayan que el proyecto no está relacionado con la empresa Bitwarden.

Vaultwarden soporta almacenes personales, Send y adjuntos, organizaciones con colecciones y roles, autenticación de dos factores (aplicaciones autenticadoras, correo, FIDO2, YubiKey, Duo), acceso de emergencia, registro de eventos y políticas. Los usuarios trabajan en las aplicaciones habituales y extensiones de Bitwarden, indicando en la configuración la dirección de su servidor.

Ejemplo de ejecución desde la documentación del proyecto:

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: always
    environment:
      DOMAIN: "https://vaultwarden.example.com"
      SIGNUPS_ALLOWED: "true"
    volumes:
      - ./vw-data:/data
    ports:
      - 11001:80

Qué es importante tener en cuenta:

• Se requiere HTTPS. La interfaz web del almacén solo funciona en un contexto seguro, por eso Vaultwarden se publica a través de un proxy inverso con certificado (Caddy, Nginx), y en la variable DOMAIN se indica la dirección con https://.
• Cierre el registro. Tras crear las cuentas de los empleados, establezca SIGNUPS_ALLOWED en "false", de lo contrario cualquiera que conozca la dirección podrá crear una cuenta en su servidor.
• Haga copias de seguridad del directorio de datos (en el ejemplo — vw-data): ahí están la base de datos, los adjuntos y las claves del servidor. Los autores del proyecto advierten expresamente que no se responsabilizan por la pérdida de datos y recomiendan copias de seguridad periódicas.
• Actualice el contenedor. Para un servidor que almacena todas las contraseñas de la empresa, las actualizaciones puntuales son obligatorias.

Hay una guía detallada para la instalación de Vaultwarden en un artículo separado.

El despliegue de Vaultwarden detrás de un proxy inverso y su protección inicial se tratan en Secretos y zero trust: Parte 2 — Vaultwarden detrás de Caddy o Nginx y protección inicial, y el trabajo con la bóveda desde la línea de comandos, en Secretos y zero trust: Parte 3 — Bitwarden CLI en Linux: bw, sesión y uso seguro.

Cómo elegir la opción

Bitwarden en la nube conviene si se desea código abierto y funciones corporativas sin administración, y el pago de una suscripción extranjera no supone un problema.

Servidor oficial de Bitwarden lo eligen organizaciones que necesitan funciones corporativas y soporte del proveedor, pero los datos deben almacenarse en sus propios servidores.

Vaultwarden es apropiado para pequeñas empresas y equipos que disponen de un servidor y de un especialista para su mantenimiento: es gratuito, poco exigente en recursos y funciona con las aplicaciones habituales de Bitwarden. El precio a pagar es la responsabilidad sobre la seguridad, las actualizaciones y las copias de seguridad.

Errores típicos al alojar en su propio servidor

• Servidor expuesto a Internet sin necesidad. Si los empleados trabajan desde la oficina o mediante VPN, es mejor limitar el acceso al gestor de contraseñas a esa red.
• No tener una copia de seguridad verificada. La pérdida del servidor sin copia equivale a la pérdida de todas las contraseñas de la empresa.
• Registro abierto en Vaultwarden después del despliegue.
• Ausencia de autenticación de dos factores para las cuentas de los empleados.
• El almacén y su copia de seguridad en el mismo servidor.

Lo principal es empezar a usar un gestor de contraseñas y convertirlo en el único lugar para almacenar los accesos de la empresa. Cualquiera de las opciones descritas es más segura que guardar contraseñas en hojas de cálculo y en chats de trabajo.