KeePass: configuración de base de datos cifrada con AES‑256 y archivo clave

Si manejas docenas de cuentas y servicios, sabrás que la memoria no da para tanto; por eso un gestor como KeePass es oro puro. Centraliza tus contraseñas en una base de datos cifrada y te pide solo una “llave” para abrir la bóveda: tu clave maestra (y opcionalmente un archivo clave).

En esta guía reunimos lo más útil y actualizado de múltiples recursos de referencia para que lo tengas todo en un solo sitio. Verás cómo instalar, configurar y sacarle partido a KeePass (y su ecosistema), cómo endurecer el KDF (AES-KDF y Argon2), cuándo conviene usar archivo clave, cómo importar desde Excel/Chrome, cómo sincronizar de forma segura y qué hacer en móvil, junto a trucos como Auto-Type, escritorio seguro, disparadores y más.

Qué es KeePass y cómo protege tu base de datos

KeePass es un gestor de contraseñas gratuito y de código abierto que almacena todas tus credenciales en un fichero .kdbx protegido. La base de datos va cifrada de extremo a extremo y solo se abre con la combinación que tú definas: contraseña maestra, archivo clave y/o tu cuenta de Windows (esta última no es la opción más flexible).

En cuanto a cifrado, KeePass 2.x soporta AES‑256 (Rijndael), ChaCha20 y Twofish, algoritmos ampliamente auditados. También valida la integridad con HMAC‑SHA‑256 (esquema Encrypt‑then‑MAC), evitando manipulaciones sin que te enteres.

Además de cifrar en disco, durante la ejecución protege la memoria con DPAPI en Windows (o ChaCha20 cuando no está disponible) y borra áreas sensibles cuando dejan de ser necesarias. No muestra usuarios/URLs en claro en el fichero: todo ese contenido también va cifrado.

Un detalle clave es la derivación de clave previa al cifrado del contenido: primero se mezclan los factores de desbloqueo (contraseña/archivo clave/etc.) con SHA‑256 para obtener K; después K se transforma con un KDF para hacerlo caro de adivinar.

Instalación en Windows, Linux, macOS y móvil

En escritorio, descárgalo desde su web oficial y elige instalador o versión portable. La edición Professional 2.x es la más completa (plugins, campos personalizados, apertura por URL, sincronización avanzada, etc.). La 1.x sigue viva pero es más limitada.

En Windows, el asistente es el de siempre: idioma, licencia, ruta, componentes y tareas adicionales. Puedes activar comprobación de actualizaciones para enterarte de mejoras de seguridad y rendimiento.

En móvil no hay app oficial, pero sí clientes excelentes: en Android destacan Keepass2Android y KeePassDroid; en iOS, Strongbox y KeePassium. Estos permiten abrir .kdbx, integrar autocompletado, Face ID/huella y TOTP.

Si prefieres una experiencia nativa multiplataforma con interfaz moderna, echa un ojo a KeePassXC, un fork de KeePass orientado a Linux/macOS/Windows que añade integración con navegadores y TOTP, entre otras mejoras.

Crear tu primera base de datos: seguridad y opciones

Al crear el .kdbx, KeePass te pedirá definir el método de desbloqueo. La opción más equilibrada es contraseña maestra robusta y, si quieres subir el listón, añadir un archivo clave en un dispositivo aparte.

La contraseña maestra debe ser larga y poco predecible; una frase extensa funciona muy bien. Evita patrones y reutilización, y no la guardes donde pueda caer en malas manos. Puedes imprimir una hoja de emergencia, pero guárdala a buen recaudo.

En “Security”, elige cifrado (AES‑256 o ChaCha20) y KDF. AES‑KDF permite ajustar iteraciones (más = más lento de atacar) y Argon2 añade dureza memoria‑dependiente frente a GPU/ASIC. Ajusta el “retraso de 1 segundo” como referencia en tu equipo.

Otras pestañas útiles: “Compression” (GZip apenas afecta y ayuda), “Recycle Bin” (evita borrados letales), y “Advanced” (histórico, tamaños máximos, recordatorios para cambiar la clave maestra, etc.).

Guardar y usar tus primeras credenciales

KeePass crea grupos por defecto (Internet, eMail, Windows, etc.) que puedes personalizar. Para añadir una entrada, usa “Add Entry” y completa título, usuario, contraseña (puedes generarla), URL y notas.

Para usar una contraseña tienes varias opciones: doble clic para copiarla temporalmente al portapapeles (expira en segundos), abrir la entrada y mostrarla, o Auto‑Type para que KeePass escriba usuario/contraseña en la ventana activa con una secuencia de teclas.

Si un login tiene campos extra, ajusta la secuencia de Auto‑Type por entrada (por ejemplo, {USERNAME}{TAB}{PASSWORD}{TAB}{ENTER}). Existe además “Two‑channel Auto‑Type obfuscation” para ofuscar frente a keyloggers sencillos.

Truco potente: “URL Scheme Overrides”. Permite lanzar programas como PuTTY o MSTSC con parámetros y credenciales directamente desde la entrada, o abrir URLs con tu navegador favorito por esquema.

Importar desde Excel y Google Chrome

Si vienes de un Excel, conviértelo primero a CSV con separador adecuado (suele ser ; en sistemas locales). Usa “Generic CSV Importer”, mapea columnas a campos KeePass y previsualiza antes de finalizar. Luego podrás reordenar en grupos.

Desde Chrome, exporta contraseñas a CSV (ojo: queda sin cifrar mientras exista). En KeePass, “Import” → formato “Google Chrome Passwords CSV”, elige el fichero y listo. No olvides borrar el CSV de forma segura, también de la papelera.

Cifrado, KDF y parámetros: AES‑256, ChaCha20, Twofish, AES‑KDF y Argon2

El cifrado de KeePass protege todo el contenido (usuarios, URLs, notas, adjuntos) con AES‑256, ChaCha20 o Twofish. El modo CBC y un IV aleatorio por guardado evitan patrones entre copias.

Antes del cifrado, la clave compuesta se reduce a 256 bits con SHA‑256 y luego se aplica un KDF. AES‑KDF escala linealmente con iteraciones (fácil de ajustar, menos resistente a GPU). Argon2 aporta dureza por uso intensivo de memoria y paralelismo configurable.

¿Argon2d o Argon2id? KeePass prioriza Argon2d por resistencia a GPU/ASIC en cliente. Argon2id es híbrido y añade defensa ante canales laterales; si usas la base en dispositivos compartidos o poco confiables, Argon2id puede ser una elección equilibrada.

Recomendación práctica: fija el botón de “1 segundo” de derivación en tu equipo principal y verifica que en tus otros dispositivos el tiempo sea asumible (móvil incluido). Si puedes permitirte 1–2 s en cada apertura, mejor.

Archivo clave vs contraseña maestra: qué conviene y cómo usarlo

Un archivo clave añade un segundo factor offline que el atacante no puede adivinar con diccionario. Es más fuerte que solo contraseña, pero tiene un riesgo: si lo pierdes o cambia un bit, te quedas fuera de tu bóveda.

Buenas prácticas con archivo clave: guárdalo en dispositivo aparte (pendrive), crea copias cifradas, no lo subas a la misma nube que el .kdbx y evita rutas obvias. En móvil, déjalo en el almacenamiento interno cifrado por el sistema, no en la SD.

¿Archivo clave como único factor? Es viable, pero reduce tolerancia a fallos. La combinación contraseña maestra + archivo clave ofrece defensa por capas y te permite seguir entrando si una copia del archivo clave falla.

Sobre el tamaño: los archivos .key de KeePass son pequeños por diseño; su entropía efectiva no depende del peso en KB sino de los bits aleatorios. No necesitas “hacerlo de 10 KB” para que sea seguro.

Sincronización y copias: nube, WebDAV/FTP, USB y “Triggers”

Puedes guardar el .kdbx en servicios como Drive, Dropbox, OneDrive, iCloud o un servidor WebDAV/FTP. El fichero está cifrado de extremo a extremo, así que un acceso a tu nube no destapa contenido sin la clave compuesta.

Riesgos y mitigación: usa 2FA en la nube, no compartas enlaces, y considera cifrar además un ZIP con clave distinta si vas a transportar varias bases/adjuntos. Evita editar simultáneamente la misma base en dos dispositivos.

Si prefieres no depender de internet, un pendrive con la versión portable y la base es muy práctico. KeePass permite apertura por URL y plugins como KeeCloud/Sync para S3/Dropbox, pero configura con cuidado.

Automatiza tareas con el sistema de “Triggers”: al guardar puedes exportar una copia, lanzar una sincronización o ejecutar scripts. Es útil para mantener un historial o enviar backup a una ubicación segura.

Funciones avanzadas: escritorio seguro, memoria, aleatoriedad y Auto‑Type

Activa el cuadro de la clave maestra en “escritorio seguro” (Herramientas → Opciones → Seguridad) para minimizar el riesgo de keyloggers en sesiones de desbloqueo; está desactivado por compatibilidad.

Para generar credenciales fiables, KeePass reúne entropía del sistema (tiempos, movimientos, GUID, etc.) y usa CSPRNG basado en SHA‑256/SHA‑512 y ChaCha20. Añade entropía manual si lo ves conveniente.

En memoria, la aplicación cifra datos sensibles y los purga cuando no hacen falta, apoyándose en DPAPI / ProtectedMemory en Windows. Aun así, si muestras una contraseña en pantalla o la copias, el sistema operativo puede mantener copias temporales.

La integración “Auto‑Type” ahorra tecleo y errores; personaliza secuencias por servicio, añade retardos ({DELAY 1000}), y usa ofuscación de dos canales cuando funcione. También puedes lanzar accesos RDP/SSH con plantillas.

KeePass en el móvil y variantes compatibles

En Android, Keepass2Android y KeePassDroid abren .kdbx con Argon2/AES‑KDF, generan contraseñas, integran autocompletado y pueden sincronizar con la nube. En iOS, Strongbox y KeePassium soportan Face ID/Touch ID, TOTP y almacenamiento en iCloud/Files.

KeePassium destaca por su modo gratuito con funciones esenciales y opción Premium para extras. Ambas plataformas permiten TOTP integrado, así guardas la semilla y generas códigos temporalmente sin depender de otra app.

Diferencias entre KeePass 1.x y 2.x

La rama 1.x es ligera pero recorta funciones: sin Unicode completo, sin apertura por URL ni sincronización, impresión limitada y menos extensibilidad. 2.x añade campos personalizados, plugins, auto‑type avanzado y mejor soporte multiplataforma (vía Mono/.NET).

Ambas son portables, de código abierto y utilizan cifrado robusto. Si empiezas hoy, apuesta por 2.x salvo que tengas una razón muy específica para 1.x.

KeePassXC: alternativa local multiplataforma

KeePassXC toma el formato .kdbx y lo acerca a Linux/macOS/Windows con integración de navegador (Chrome/Firefox/Edge), TOTP, y una interfaz más moderna. Trabaja offline por defecto, aunque puedes sincronizar usando tu nube habitual guardando el .kdbx.

Su flujo típico es sencillo: crear base, definir clave maestra robusta, activar integración de navegador, añadir entradas y, si quieres, almacenar TOTP en la misma ficha para completar logins 2FA.

Pros, contras y alternativas del ecosistema

Ventajas de KeePass: seguridad auditable, portabilidad, flexibilidad por plugins, sin dependencia de un servidor central y opciones avanzadas de automatización e integración.

Inconvenientes: interfaz sobria, sin sincronización nativa (aunque fácil con nube), y más opciones implican una curva de aprendizaje mayor que soluciones cerradas “todo en uno”.

Alternativas populares: 1Password, Keeper, Enpass, Bitwarden y LastPass. Ofrecen nube integrada y experiencia pulida, a cambio de delegar el almacenamiento a terceros o adoptar modelos de pago.

Resolución de problemas y buenas prácticas

Si no abre la base, revisa mayúsculas/minúsculas, archivo clave correcto y si usaste cuenta de Windows, que tu SID/claves no hayan cambiado. No existe recuperación sin los factores correctos.

Haz backups periódicos del .kdbx y del archivo clave; cierra KeePass antes de apagar y evita ediciones concurrentes. Usa la papelera de reciclaje de la base para minimizar daños por borrados accidentales.

En impresión, limita qué campos salen en claro y exige clave maestra para imprimir. Nunca dejes CSVs de exportación sueltos; bórralos de forma segura tras importar.

Escenario realista: ¿pueden romper mi base en la nube?

Supón que alguien roba tu .kdbx de un WebDAV o de tu nube. Si usas Argon2 con ~1 s de derivación y una clave maestra tipo frase larga o de 25+ caracteres aleatorios, un ataque de GPU/ASIC es impracticable hoy.

El punto débil suelen ser contraseñas maestras cortas o previsibles. Contrasena “fuerte de verdad” + KDF bien endurecido + (opcional) archivo clave en dispositivo separado hace que el tiempo de ataque pase de “quizá” a “no razonable”.

Seguir respaldando en la nube es válido si aplicas 2FA, no compartes enlaces y mantienes el KDF alto. Quien tema escenarios extremos puede combinar con un contenedor adicional cifrado o usar solo USB cifrado como canal de sincronización.

Como idea fuerza, un diccionario no ayuda si tu frase/clave no es correlacionable, y el KDF ralentiza cada intento. La inversión necesaria para romper una base bien configurada se dispara.

Antes de lanzarte, dedica un rato a definir tu política de copias (local y off‑site), tu configuración de KDF y si usarás archivo clave como segundo factor. De esta mezcla depende la verdadera seguridad de tu bóveda.

KeePass te da control total para gestionar contraseñas de forma segura, portable y a tu manera. Con un par de ajustes sensatos (AES‑256/ChaCha20, Argon2 bien calibrado, clave maestra larga y, si procede, archivo clave), importar desde Excel/Chrome sin dejar rastros, activar Auto‑Type y cuidar tus copias, tendrás una bóveda resistente y cómoda tanto en PC como en el móvil.