La guerra de los gestores de contraseñas: KeePassXC vs Bitwarden vs Proton Pass vs 1Password vs pass
Abrís el navegador y tenés unas 80 cuentas: correo, banco, redes, algún servicio que usaste una sola vez en 2021. La mitad comparte la misma clave y el resto está anotado en un lugar que preferís no contar. Ahí es cuando uno piensa en un gestor de contraseñas, y para Linux siempre aparecen los mismos nombres: KeePassXC, Bitwarden, Proton Pass.
Un gestor de contraseñas es un programa que guarda todas tus claves cifradas detrás de una sola clave maestra, genera contraseñas fuertes y las completa en los formularios. Los cinco de este artículo hacen eso; lo que cambia es dónde se guardan los datos, quién los mantiene y qué tan cómodo resulta usarlos. Si buscás un listado más general, tenemos los mejores gestores de contraseñas para Linux. Acá los ponemos uno al lado del otro.
Lo primero: dónde se guardan tus claves
La diferencia más grande entre estos programas no está en las funciones sino en dónde viven tus datos. KeePassXC y pass son locales: la base de datos es un archivo en tu disco. Bitwarden y Proton Pass son servicios en la nube de código abierto que sincronizan solos entre dispositivos. 1Password también está en la nube, pero es propietario.
Con lo local tenés control total y no dependés de ninguna empresa, pero la sincronización entre la PC y el celular la resolvés vos. Con la nube eso viene resuelto, y a cambio confiás en el cifrado y en quien mantiene el servicio. Ninguna de las dos formas es mejor que la otra: depende de cuánto control querés y cuánto laburo te querés tomar.
Los cinco candidatos
Nota: se utilizará en algunos casos Flatpak y Snap como método de instalación.
👉 Si no tenés Snap instalado, consultá: La guía definitiva: manejando Snap como todo un campeón
👉 Si todavía no configuraste Flatpak en tu sistema, seguí esta guía: La guía definitiva: conociendo Flatpak a fondo
KeePassXC
Es un gestor local y de código abierto. Guarda todo en un único archivo .kdbx cifrado, el formato de la familia KeePass, que también abren otras aplicaciones compatibles. No necesita cuenta, servidor ni suscripción. Tiene extensión para el navegador (KeePassXC-Browser, para Firefox, Chrome y Edge), genera códigos TOTP y funciona con llaves de hardware como YubiKey. Lo que hay que tener en cuenta: la sincronización la resolvés vos, por ejemplo con Syncthing, Nextcloud o la nube que ya uses para copiar el archivo. En Linux viene en los repositorios oficiales de las distros más usadas.
Sitio oficial: keepassxc.org
# Debian, Ubuntu, Linux Mint y derivadas
sudo apt install keepassxc
# Fedora (Workstation y derivados)
sudo dnf install keepassxc
# openSUSE (Leap/Tumbleweed)
sudo zypper install keepassxc
# Arch Linux, Manjaro y derivadas
sudo pacman -S keepassxc
# Flatpak
flatpak install flathub org.keepassxc.KeePassXC
# Snap
sudo snap install keepassxc
Bitwarden
Es uno de los más usados dentro del software libre. Sincroniza solo, tiene aplicación de escritorio, extensión para el navegador, apps para el celular y cliente de línea de comandos, y el plan gratuito alcanza para la mayoría. Podés usar los servidores de la empresa o alojar el tuyo, con la opción oficial o con Vaultwarden, un servidor no oficial compatible que consume menos y es muy usado en homelabs. Lo que se paga son algunas funciones avanzadas.
Sitio oficial: bitwarden.com
# Arch Linux, Manjaro y derivadas
sudo pacman -S bitwarden
# Flatpak (Debian, Ubuntu, Fedora, openSUSE y el resto)
flatpak install flathub com.bitwarden.desktop
# Snap
sudo snap install bitwarden
Proton Pass
Lo desarrolla Proton, la empresa suiza detrás de Proton Mail y Proton VPN. Tiene cifrado de extremo a extremo, es de código abierto y ofrece alias de correo para no dar tu dirección real al registrarte en un sitio. Para Linux hay aplicación de escritorio oficial, pero solo en paquetes .deb y .rpm: no hay Flatpak ni Snap oficial, y para actualizar tenés que bajar el paquete nuevo e instalarlo encima, sin pasar por el gestor de paquetes de tu distro. También puede importar desde Bitwarden, 1Password y KeePass.
Sitio oficial: proton.me/pass
No está en los repositorios de las distros: se instala con el paquete que publica Proton. Los pasos oficiales están en la guía de Proton Pass para Linux.
# Debian, Ubuntu, Linux Mint y derivadas (paquete .deb descargado desde Proton)
sudo dpkg -i ProtonPass.deb
# Fedora y derivadas de Red Hat (paquete .rpm descargado desde Proton)
sudo rpm -i --force ProtonPass.rpm
1Password
Es el único propietario y se paga por suscripción. Tiene aplicación de escritorio para Linux, repositorios propios para apt y dnf, cliente de línea de comandos y bóvedas compartidas, algo que se agradece cuando lo usa una familia o un equipo. Si para vos el código abierto es una condición, queda fuera. Si no, es una de las opciones más cómodas.
Sitio oficial: 1password.com
Tampoco está en los repositorios de las distros. El paquete .deb configura la clave de firma y el repositorio de apt, así que las actualizaciones llegan después por el gestor de paquetes. Más detalles en la guía oficial de instalación en Linux.
# Debian, Ubuntu, Linux Mint y derivadas (paquete .deb descargado desde 1Password)
sudo apt install ./1password-latest.deb
# Fedora y derivadas (paquete .rpm descargado desde 1Password)
sudo dnf install ~/Downloads/1password-latest.rpm
pass
Se presenta como «el gestor de contraseñas estándar de Unix». Cada contraseña es un archivo cifrado con GPG dentro de ~/.password-store y podés versionarlo todo con git. Es un script de shell corto que se usa desde la terminal, con interfaces gráficas como QtPass si preferís algo más visual. Tiene sentido si GPG y la línea de comandos ya son parte de tu rutina; si querés algo que ande al primer clic, no es para vos.
Sitio oficial: passwordstore.org
# Debian, Ubuntu, Linux Mint y derivadas
sudo apt install pass
# Fedora (Workstation y derivados)
sudo dnf install pass
# openSUSE (Leap/Tumbleweed)
sudo zypper install password-store
# Arch Linux, Manjaro y derivadas
sudo pacman -S passUso diario: navegador, celular y compartir
Con Bitwarden, Proton Pass y 1Password instalás, iniciás sesión y todo aparece sincronizado en el navegador y en el celular. KeePassXC también tiene extensión para el navegador, pero en el celular necesitás una app compatible con el formato KeePass y mantener el archivo al día entre equipos. Con pass te armás el ecosistema a mano, y para algunos justamente ahí está el atractivo.
Donde la nube tiene ventaja natural es al compartir: pasarle una cuenta o el wifi a tu familia o a tu equipo es más simple que repartir un archivo cifrado.
Cuál te conviene según lo que necesites
- Querés tus claves en tu propio disco y sin cuentas: KeePassXC, o pass si además te gusta la terminal.
- Usás Linux en casa, el celular y el trabajo, y querés que todo se sincronice solo: Bitwarden.
- Ya usás Proton Mail o Proton VPN: Proton Pass encaja en el mismo ecosistema, y de yapa están los alias de correo.
- Compartís claves con familia o equipo y no te molesta pagar: 1Password, o Bitwarden en su plan pago.
- Tenés un homelab y querés alojar el servicio vos: Bitwarden con Vaultwarden.
- Vivís en la terminal y GPG es parte de tu flujo: pass.
Combinarlos o cambiar de uno a otro
Se puede, y se hace bastante: hay quien guarda las cuentas importantes (banco, correo principal) en un KeePassXC sin conexión y deja el resto en Bitwarden. Tampoco quedás atado: estos gestores permiten exportar e importar, y Proton Pass trae importadores para otros gestores, así que cambiar no es una mudanza complicada.
Con el que elijas, lo que más protege sigue siendo una clave maestra larga y la autenticación en dos pasos. Lo repasamos junto con otras medidas en Los errores que ponen en riesgo tu Linux (y cómo evitarlos).
Para cerrar
Entre estos cinco no hay una mala elección: todos cifran bien, todos permiten exportar tus datos y todos andan en el escritorio. La diferencia está en cuánta comodidad querés y cuánto control estás dispuesto a mantener. Si todavía dudás, KeePassXC y Bitwarden son las dos formas más fáciles de empezar sin gastar nada, y si después te quedan chicos, cambiar es cuestión de exportar e importar. Lo importante es dejar de repetir la misma clave en todos lados.
Fuentes
- Sitio oficial de KeePassXC
- Sitio oficial de Bitwarden
- Sitio oficial de Proton Pass
- Sitio oficial de 1Password
- Sitio oficial de pass, el gestor de contraseñas estándar de Unix
- Proton: cómo configurar la aplicación de Proton Pass para Linux
- 1Password: instalación en Linux
