Gestor de la empresa o gestor del navegador
Gestor de contraseñas de la empresa y gestor integrado en el navegador: qué los distingue, qué hace el empleado y qué trampas evitar.
En 30 segundos
- Dónde ocurre
- En cada inicio de sesión en una herramienta profesional, cuando el navegador ofrece «Guardar contraseña».
- Lo que busca el atacante
- Recuperar las credenciales guardadas en el navegador y reutilizarlas en otros sistemas o cuentas para ampliar su acceso3.
- El reflejo
- Usar únicamente el gestor que proporciona Brain para las contraseñas profesionales, activar el doble factor y no guardar nada en el navegador.
- Si ya lo ha hecho
- Comunique sin demora la pérdida o el robo de un dispositivo y siga las indicaciones del equipo de seguridad para cambiar las contraseñas afectadas.
De qué se trata
Un gestor de contraseñas es una base de datos cifrada con una única contraseña «maestra»1. Responde a un problema habitual: un empleado maneja decenas de contraseñas, no solo las del trabajo, y muchos reutilizan la misma o eligen contraseñas comunes, algo que los atacantes aprovechan2.
En el trabajo existen dos familias de herramientas: el gestor que la empresa proporciona y administra, y el que viene integrado en el navegador. Se parecen en pantalla, pero no protegen de la misma manera, y la empresa no tiene el mismo control sobre ellos.
Preguntas directas
¿Qué es un gestor de contraseñas de empresa?
Es un gestor cuyo uso controla la organización. El NCSC británico señala que algunos productos ofrecen una gestión centralizada de las contraseñas en la organización y que estas soluciones suelen ser de pago2. Las credenciales se almacenan en una caja fuerte a la que se accede con una contraseña maestra2. El administrador puede fijar reglas de uso y ver una panorámica de cómo se utilizan las contraseñas2.
¿En qué se diferencia del gestor del navegador?
El NCSC distingue entre los gestores que son una aplicación independiente y los que están integrados en el navegador o en el sistema operativo2. CISA cita los gestores integrados en el navegador entre los gestores gratuitos4. Las funciones de administración centralizada (uso compartido controlado, registros, reglas) las describe el NCSC para los gestores de empresa2. El NCSC menciona además, entre las opciones posibles de una organización, la de permitir que los empleados guarden sus contraseñas en los navegadores2: corresponde, por tanto, a Brain fijar la norma, y la norma de Brain es usar su herramienta.
¿Por qué evitar guardar las contraseñas profesionales en el navegador?
Los navegadores suelen conservar las credenciales cifradas en un almacén específico, pero existen métodos para extraer las contraseñas en claro3. En Windows, por ejemplo, las credenciales cifradas de Chrome se leen en un archivo de base de datos y después una función del sistema las descifra con las credenciales de sesión en caché de la víctima3. Programas maliciosos conocidos, como Agent Tesla, recopilan las credenciales de varios navegadores3. La CNIL añade que nunca se deben guardar las contraseñas en el navegador de un ordenador compartido1.
¿También se puede atacar un gestor de empresa?
Sí. El NCSC lo dice: un gestor puede tener fallos y atrae a los atacantes porque un ataque exitoso da acceso a todas las contraseñas almacenadas2. Aun así, considera que los beneficios superan los riesgos2. La contraseña maestra y el doble factor protegen ese acceso único.
¿Qué hacer si se pierde o se roba un dispositivo?
Comunicarlo de inmediato al equipo de seguridad. El procedimiento es el que indica Brain.
1Cómo funciona1 min
La caja fuerte está cifrada. Según el NCSC, la clave de descifrado se deriva por lo general de la contraseña maestra y no debería estar al alcance de nadie más, ni siquiera del proveedor del servicio en el caso de los gestores sincronizados en la nube2. La CNIL describe el mismo principio: una base de datos cifrada con una única contraseña «maestra», que permite recordar una sola contraseña y tener todas las demás muy largas y distintas1.
El NCSC menciona otras funciones útiles:
- el relleno automático, que solo ofrece las credenciales al sitio para el que se guardaron y que puede ayudar frente al phishing, porque un gestor detecta mejor los sitios falsos que una persona2;
- la generación de contraseñas aleatorias, largas y únicas2;
- la auditoría de la calidad de las contraseñas, que señala, por ejemplo, una contraseña reutilizada2.
Para la empresa, la centralización añade el uso compartido de contraseñas con registro de accesos y control por parte de una persona autorizada2. El NCSC no recomienda compartir contraseñas entre individuos, pero admite que algunas organizaciones aún no pueden prescindir de ello; un gestor de empresa reduce entonces los riesgos2. Los administradores no deberían poder ver ni usar las contraseñas individuales, fuera de un grupo de uso compartido, y su acceso debería auditarse2.
2Qué hace usted1 min
- Utilice la herramienta que proporciona Brain para todas las contraseñas profesionales. El NCSC recomienda que las organizaciones ofrezcan un medio de almacenamiento adecuado y recomienda los gestores de contraseñas cuando proceda5.
- Active el doble factor en el gestor. Con él, un atacante debe conocer la contraseña maestra y poseer el segundo factor2. La CNIL también recomienda la doble autenticación cuando el servicio la ofrece1.
- No guarde ninguna contraseña profesional en el navegador.
- Deje que la herramienta genere las contraseñas. CISA aconseja contraseñas largas (de al menos 16 caracteres), aleatorias y únicas para cada cuenta4.
- Para la contraseña maestra, elija una frase de contraseña: CISA propone una serie de 4 a 7 palabras sin relación entre sí4.
- Comunique cualquier pérdida de un dispositivo.
3Las trampas2 min
Una contraseña maestra débil
Toda la caja fuerte depende de ella. El NCSC advierte de que, si el usuario la olvida, pierde el acceso a todas sus contraseñas guardadas, y de que un método de recuperación puede explotarse para acceder a las credenciales2. Elija, por tanto, una frase larga, que recuerde de memoria y que nunca anote en un archivo ni en una nota adhesiva. La CNIL incluye las notas adhesivas, los archivos de texto, el teléfono móvil y la mensajería entre los soportes no concebidos para almacenar contraseñas1.
La sincronización con una cuenta personal
Algunos gestores de empresa ofrecen una caja fuerte personal para las cuentas privadas. El NCSC pide entonces una buena separación: las contraseñas profesionales no deben ser accesibles desde la caja fuerte personal, ni a la inversa2. Señala que, si la empresa autoriza los dispositivos personales o las cuentas personales en el trabajo, el usuario no siempre ve qué caja fuerte está utilizando2. Antes de activar una sincronización, compruebe por tanto que no mezcla ambas.
La exportación en claro
Algunos gestores exportan todas las contraseñas a un archivo de texto. Una vez exportado, ya sea por un usuario legítimo o por un atacante, el archivo deja de estar protegido2. Exporte la caja fuerte solo si la norma de la empresa lo permite, y trate el archivo como indique esa norma.
El phishing que imita una página de inicio de sesión
El relleno automático ayuda en este caso: el gestor solo ofrece las credenciales en el sitio guardado2. Si la herramienta no ofrece nada en una página de inicio de sesión que debería ser conocida, es una señal de alerta. No copie la contraseña a mano en una página sospechosa.
La caja fuerte como objetivo
El NCSC recuerda que los gestores, como cualquier software de seguridad, no son infalibles y son un objetivo atractivo5. Pide la autenticación multifactor en todos los gestores sincronizados en la nube y para las cuentas con privilegios2.
4Para profundizar1 min
Ficha
- Identificador
- CP-346
- Ala
- 5. Vida en la oficina y reflejos
- Competencia Brain
- Dominar las contraseñas (master_passwords)
- Reflejo Brain
- cr-009
- Esquema
- G2 · Mito frente a realidad
- Idiomas
- de, en, es, fr
- Fuentes
- 6 fuentes verificadas el 3 de noviembre de 2026
Fuentes6 fuentes
- CNIL, «Les conseils de la CNIL pour un bon mot de passe», 26 de enero de 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Password manager buyers guide», 19 de noviembre de 2018. https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Credentials from Password Stores: Credentials from Web Browsers, Sub-technique T1555.003 - Enterprise | MITRE ATT&CK®», 12 de febrero de 2020. https://attack.mitre.org/techniques/T1555/003/ (consultado el 3 de noviembre de 2026)
- CISA, «Use Strong Passwords | CISA». https://www.cisa.gov/secure-our-world/use-strong-passwords (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Password policy: updating your approach», 19 de noviembre de 2018. https://www.ncsc.gov.uk/collection/passwords/updating-your-approach (consultado el 3 de noviembre de 2026)
- NIST, «NIST Special Publication 800-63B». https://pages.nist.gov/800-63-3/sp800-63b.html (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Gestor de la empresa o gestor del navegador», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp346_es_2026,
author = {Brain},
title = {Gestor de la empresa o gestor del navegador},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/gestor-contrasenas-empresa-vs-navegador/},
note = {CC BY 4.0}
}