Los navegadores web almacenan las credenciales en bases de datos locales cuyo nivel de protección varía según el sistema operativo y la configuración. Recuperar sus contraseñas guardadas supone saber dónde cada sistema las conserva, pero también entender las limitaciones de estos lugares en términos de seguridad.
Almacenamiento de contraseñas en los navegadores: lo que realmente protege el cifrado local
Chrome, Firefox y Edge cifran las contraseñas guardadas a través de las API criptográficas del sistema operativo. En Windows, Chrome se basa en DPAPI (Data Protection API), que vincula el descifrado a la sesión de usuario activa. Concretamente, cualquier proceso ejecutado en su sesión de Windows puede acceder a las contraseñas en texto claro.
Firefox se distingue por la posibilidad de establecer una contraseña maestra que añade una capa de cifrado independiente de la sesión del sistema operativo. Sin esta opción activada, el archivo logins.json sigue siendo legible por cualquier software que tenga derechos de usuario.
La CNIL considera ahora que el registro de contraseñas en un navegador sin contraseña maestra es una mala práctica. Sus recomendaciones sobre la autenticación abogan por un gestor de contraseñas dedicado, con almacenamiento en forma de huellas criptográficas utilizando algoritmos modernos como Argon2, scrypt, bcrypt o PBKDF2. Esta posición oficial contrasta con el enfoque permisivo de la mayoría de los tutoriales en línea.
Recomendamos consultar la lista de contraseñas en CGI Network para identificar con precisión los lugares donde sus credenciales se conservan según su configuración.
Recuperar sus contraseñas guardadas en Chrome, Firefox y Edge
Google Chrome y el gestor de contraseñas de Google
Abra Chrome, luego acceda a Configuración, seleccione la sección Autocompletar y contraseñas, luego Gestor de contraseñas de Google. La lista completa de sus credenciales aparece, ordenada por sitio. Para mostrar una contraseña, haga clic en el ícono en forma de ojo: el sistema le pedirá su PIN, huella digital o contraseña de Windows.
En Android, el camino pasa por Configuración del dispositivo, luego Google, luego Gestor de contraseñas. Las credenciales sincronizadas a través de su cuenta de Google se agrupan allí.
Firefox: el menú Credenciales y contraseñas
Vaya a Configuración, sección Privacidad y seguridad, luego Credenciales y contraseñas. Firefox muestra cada entrada con el nombre de usuario y un botón para revelar la contraseña. Si ha activado la contraseña maestra, se le pedirá antes de cualquier consulta.
Microsoft Edge
Edge utiliza el mismo motor que Chrome (Chromium) y almacena las contraseñas de manera similar. Acceda a Configuración, Perfiles, luego Contraseñas. La verificación de identidad se realiza a través de Windows Hello o la contraseña de la cuenta de Windows.
Exportar y migrar sus contraseñas sin archivo CSV en texto claro
La exportación CSV sigue siendo el método más común para extraer sus credenciales de un navegador. El problema: un archivo CSV contiene todas sus contraseñas en texto plano, sin ningún cifrado. Un olvido de eliminación, una copia de seguridad automática en la nube, y este archivo se convierte en un vector de compromiso.
El Gestor de contraseñas de Google ahora ofrece opciones de importación y exportación que integran el protocolo Credential Exchange. Este mecanismo permite transferir contraseñas y claves de acceso a otro gestor sin generar un archivo intermedio en texto claro, lo que reduce significativamente la superficie de ataque durante una migración.
Si debe usar un CSV, aplique estas precauciones:
- Cifre el archivo inmediatamente después de la exportación (7-Zip con AES-256 o GPG) y elimine la versión no cifrada
- Desactive la sincronización en la nube de la carpeta que contiene el archivo para evitar que se encuentre en Google Drive, OneDrive o iCloud
- Implemente en el gestor de destino de inmediato, luego destruya el archivo cifrado con una herramienta de eliminación segura
Gestor dedicado o navegador: criterios de elección técnica
Un gestor de contraseñas dedicado (KeePass, Bitwarden, Proton Pass) ofrece un cofre cifrado de extremo a extremo con una contraseña maestra obligatoria. El navegador, por su parte, delega la protección al sistema operativo. La diferencia no es anecdótica: un malware del tipo infostealer extrae las contraseñas de Chrome en cuestión de segundos tan pronto como obtiene los derechos de usuario.
Los gestores dedicados almacenan los datos en un formato propietario cifrado, a menudo con una arquitectura de conocimiento cero. El proveedor mismo no puede leer sus credenciales. Proton Pass, por ejemplo, escapa al Cloud Act al alojar sus servidores en Suiza, un punto que importa para los usuarios preocupados por la jurisdicción.
Observamos que la elección rara vez se reduce a una cuestión de comodidad. Los criterios discriminatorios son:
- La presencia de una auditoría de seguridad independiente publicada y verificable
- El soporte de claves de acceso (FIDO2/WebAuthn) además de las contraseñas clásicas
- La posibilidad de compartir una credencial sin revelar la contraseña en texto claro al destinatario
- La interoperabilidad con los sistemas de autenticación de dos factores (TOTP, claves físicas)
Claves de acceso y futuro de la autenticación sin contraseña
Las claves de acceso están reemplazando gradualmente las contraseñas tradicionales por un par de clave pública/clave privada. La clave privada permanece en el dispositivo, protegida por la biometría o el código de desbloqueo. Ningún secreto compartido transita por la red, lo que elimina el phishing por interceptación de credenciales.
Google, Apple y Microsoft integran nativamente las claves de acceso en sus gestores respectivos. La sincronización de las claves de acceso entre dispositivos funciona a través de la cuenta en la nube del proveedor, lo que plantea las mismas preguntas de confianza que para las contraseñas clásicas.
Para las cuentas que aún no admiten claves de acceso, la doble autenticación mediante la aplicación TOTP (y no por SMS, vulnerable al intercambio de SIM) sigue siendo el complemento más fiable a una contraseña fuerte almacenada en un gestor dedicado.
El gestor de contraseñas del navegador sigue siendo una herramienta de emergencia aceptable para un uso personal no sensible. Para todo lo demás, migrar a un cofre dedicado y activar las claves de acceso donde se ofrezcan constituye la combinación más sólida hasta la fecha.