Qué pueden dejar la sincronización en la nube y un CSV exportado después de guardar una contraseña en el navegador

«Guardada» no significa «solo en este ordenador»

Mucha gente trata el botón Guardar del navegador como un recordatorio pegado a esta máquina: este PC se acuerda, los demás no. Lo que ocurre es más concreto. El navegador escribe el sitio, el nombre de usuario y la contraseña como una sola ficha de autocompletado. Esa ficha aparece primero en el perfil actual. Si ya activaste la sincronización con una cuenta de Google, Microsoft o Mozilla, la misma ficha también puede aparecer en otros dispositivos con esa cuenta, según las reglas de cada fabricante. La nota anterior cubría un salto vecino: una contraseña dejada en el portapapeles del sistema aún puede quedar en la sincronización en la nube y en el historial. Pulsar Guardar es la misma clase de exposición. El destinatario ya no es el portapapeles del sistema operativo. Es el almacén de contraseñas del navegador, la cuenta en la nube y el archivo que exportas.

Contraseñas de inicio de sesión, del correo, del disco en la nube y de administración: todo eso no debería multiplicarse fuera del formulario actual sin que te enteres. La pregunta no es «si este navegador es listo». Es «si este Guardar entregó a la siguiente capa un texto en claro que debía quedarse en el formulario». Una página de producto que escribe «cifrado» solo responde a si alguien en el camino puede escuchar, y a si el almacén en disco es texto cifrado. Cuando compruebas, pregunta también quién tiene la clave de descifrado, qué otros dispositivos comparten la cuenta, y si el botón de exportar vuelve a desplegar ese cifrado en texto.

Esta nota se queda con las páginas del Gestor de contraseñas de Google y de la sincronización de Chrome, con la advertencia de exportación de Edge, con la de Firefox y con la descripción de seguridad del llavero de iCloud, porque esas capas están escritas en un lenguaje público que puedes contrastar. Una política de empresa, una extensión de terceros «para exportar contraseñas» y una pantalla de ajustes antigua añaden otra capa, que las páginas de producto rara vez formulan en la misma frase. Si cambias de navegador, vuelve a recorrer los ajustes de esa versión. No pegues passwords.google.com sobre el interruptor de sincronización de otro fabricante.

Almacén local, sincronización de la cuenta y archivo exportado: tres capas distintas

Oír «¿es seguro guardar una contraseña en el navegador?» como un sí o un no deja caer al menos tres capas. La primera es el almacén local. Pulsas Guardar y la entrada entra en el perfil actual. Cerrar esta pestaña no borra esa capa: el almacén vive en el directorio del perfil, no en la memoria de la pestaña. Sin iniciar sesión, la Ayuda de Chrome es clara: los marcadores y demás información solo se guardan en el dispositivo, no en la cuenta de Google.

La segunda es la sincronización en la nube de la cuenta. Acceder a tus marcadores, contraseñas y otros datos en todos tus dispositivos indica que, si inicias sesión en Chrome, puedes guardar información en tu cuenta de Google y usarla después en todos los dispositivos en los que inicies sesión con la misma cuenta. Al cerrar sesión en Chrome, «tu información se mantiene protegida en tu cuenta de Google y se elimina del dispositivo». La copia local puede irse. La de la cuenta se queda. Apple toma otro camino. El llavero de iCloud sincroniza dentro de un círculo de confianza. El traslado va cifrado de extremo a extremo, así que Apple no puede leer el texto en claro, pero cada dispositivo de confianza del círculo puede descifrarlo.

La tercera es el archivo exportado. No es «otra copia cifrada del paquete de sincronización». Es texto en claro oficial en el disco. Google exige la importación en .csv y escribe que la primera línea debe incluir url, username y password. Edge y Firefox describen ese archivo como no protegido, o legible para cualquiera. La sincronización está atada a una cuenta y a unos dispositivos. La exportación está atada a quien pueda abrir el texto que quedó en Descargas.

Google: la clave predeterminada está en la cuenta; otros dos interruptores cambian esa frase

Google escribe el modelo predeterminado en Empezar a usar el cifrado en el dispositivo. La metáfora es una caja de seguridad: tú guardas los objetos de valor y el banco se ocupa de custodiar la llave. El cifrado estándar mezcla las contraseñas o llaves de acceso guardadas con una clave única. Google almacena de forma segura en tu cuenta de Google la clave usada para acceder a esas contraseñas, y la usa para descifrarlas en estos casos: cuando las abres en passwords.google.com, en dispositivos compatibles o en la configuración de Chrome; y cuando la Revisión de contraseñas busca problemas de seguridad. El significado oficial cabe en una frase corta: este tipo de cifrado implica que confías en Google para guardar la clave y proteger tus datos.

El cifrado en el dispositivo cambia quién tiene la llave. La misma página dice que, una vez configurado, sigues guardando contraseñas o llaves de acceso con el Gestor de contraseñas de Google, pero sabes cuál es la clave. Solo tú puedes ver tus datos. Desbloqueas con tu contraseña de Google, o con el bloqueo de pantalla de un teléfono o tablet compatible. La frase pasa a ser: solo tú tienes la clave para utilizar datos como las contraseñas o las llaves de acceso. También escribe el coste: una vez configurado, el cifrado en el dispositivo no se puede quitar; si pierdes la clave, puedes perder también las contraseñas. Ese interruptor no viene activado. Hasta que lo actives, la frase que aplica es «la clave está en la cuenta», no «solo tú puedes verlo».

Una frase de contraseña de sincronización es un tercer modelo, y cubre más. La Ayuda de sincronización de Chrome indica que, con una frase, puedes almacenar tus datos de Chrome en la nube de Google sin que Google pueda acceder a ellos. Los métodos de pago y las direcciones de Google Wallet no se cifran con esa frase. Después de crearla, un dispositivo nuevo necesita la frase para iniciar sesión; ya no puedes consultar las contraseñas guardadas en passwords.google.com ni usar Smart Lock para contraseñas. El cifrado en el dispositivo solo cubre contraseñas y llaves de acceso. La frase de contraseña cubre todos los datos de Chrome que sincronizas con Google. Ninguno de los dos interruptores es obligatorio. Si ambos están apagados, la frase que aplica sigue siendo la del banco que custodia la llave.

En cuanto la sincronización está activa, el perímetro de confianza es la cuenta, no este ordenador. La Ayuda de Chrome enumera lo que puedes guardar en la cuenta tras iniciar sesión: marcadores, lista de lectura, contraseñas, información para pagos, documentos de identidad e información de contacto, extensiones, aplicaciones web, configuración y, de forma opcional, pestañas e historial de navegación. Inicia sesión en otro ordenador con la misma cuenta de Google y activa la sincronización, y ese ordenador pasa a ser un receptor. El portátil viejo de casa que nunca cerró sesión, y el PC del trabajo que una vez usó un perfil personal de Chrome, están dentro de ese perímetro. Compartir una cuenta de Google con un familiar amplía este Guardar a cada dispositivo que esa persona pueda abrir.

Apple: el cifrado de extremo a extremo impide que Apple lea el claro; no detiene a los dispositivos del círculo

Apple llama a la función llavero de iCloud. La descripción general de la seguridad formula el objetivo en lenguaje llano: sincronizar de forma segura contraseñas y llaves de acceso entre iPhone, iPad, Mac y el resto de dispositivos Apple sin revelar esa información a Apple. Los ítems del llavero viajan de un dispositivo a otro a través de los servidores de Apple, pero van encriptados de punto a punto, de manera que ni Apple ni otros dispositivos puedan leer su contenido. El diseño también exige que las contraseñas sigan protegidas si la cuenta de iCloud del usuario está en peligro, si iCloud está en peligro por un ataque externo o de un empleado, o si terceras personas acceden a la cuenta.

«Otros dispositivos no pueden leer» significa dispositivos fuera del círculo de confianza. Sincronización segura del llavero indica que cada dispositivo mantiene su propia lista de identidades de los demás dispositivos del usuario. Cada ítem que se sincroniza se encripta de modo que únicamente lo pueda desencriptar un dispositivo que esté dentro del círculo de confianza del usuario; ni Apple ni ningún otro dispositivo pueden desencriptarlo. Los nombres de usuario, contraseñas y números de tarjetas de Safari, más las contraseñas Wi-Fi, se marcan como sincronizables. Un dispositivo nuevo se une al círculo emparejándose con uno existente, o mediante la recuperación del llavero. El cifrado detiene la escucha en el camino y detiene a Apple ante el texto en claro. No detiene «el iPad que ya aceptaste añadir».

Cuando compares las dos frases de «cifrado», no las oigas como la misma afirmación. El valor predeterminado de Google es «el banco custodia la llave». El del llavero de Apple es «solo los dispositivos del círculo pueden descifrar». Ambos productos tratan los dispositivos de la misma cuenta como extremos de confianza. Un ordenador de más que nunca cerró sesión es un sitio más donde este Guardar puede autocompletar. Compartir una cuenta de Apple, igual que compartir una de Google, amplía el perímetro de confianza. No es «otra copia cifrada de respaldo que solo tú puedes leer».

CSV exportado: los tres fabricantes lo llaman legible para cualquiera

Al migrar o hacer una copia, cada fabricante ofrece una exportación. El final de ese camino no es otro almacén cifrado. Es texto en el disco. La página de Google Importar o exportar contraseñas y llaves de acceso escribe el formato de importación como .csv y dice que la primera línea debe incluir url, username y password. Puedes importar 3000 contraseñas de una vez y almacenar hasta 10 000 en la cuenta de Google. La ruta de exportación es Chrome → Contraseñas y Autocompletar → Gestor de contraseñas de Google → Configuración → Exportar contraseñas → Descargar archivo. El paso 3 después de importar va en su propia línea: elimina el archivo .csv de contraseñas del dispositivo. La nota importante es: si no eliminas el archivo de contraseñas, cualquier persona que utilice el dispositivo podrá abrirlo y acceder a tus contraseñas.

La frase de Microsoft es más corta. Exportar contraseñas en Microsoft Edge indica que puedes exportar las contraseñas guardadas desde Edge de escritorio a un CSV; no es posible exportar desde Edge para Android o iOS. La precaución: las contraseñas exportadas a un archivo CSV no están protegidas y serán visibles para cualquier persona que pueda ver el archivo exportado. Una vez usado el archivo, recomienda pulsar MAYÚS+DELETE para eliminarlo de forma permanente. Eso no afecta a las contraseñas que siguen almacenadas de forma segura en Edge. Una copia que solo fue a la Papelera aún se puede restaurar tras un borrado normal: por eso la página escribe eliminación permanente.

Firefox mete «ya no cifrado» en la propia advertencia. Exportar datos de inicio de sesión de Firefox indica que, tras exportar a .csv, las contraseñas no estarán cifradas y quedarán en un formato legible para cualquiera que pueda ver el archivo; no lo subas a Internet, no lo envíes por correo ni lo compartas; elimínalo cuando hayas terminado. El cuadro de diálogo recuerda que las contraseñas se guardarán como texto legible. Si hay una Contraseña principal, la introduces antes de exportar. Esa contraseña cierra about:logins. No cierra «quién puede abrir el archivo cuando ya está en el disco».

Las tres advertencias apuntan al mismo salto: exportar es un aterrizaje en texto en claro. Si Descargas es también una carpeta que sincroniza un cliente de disco, el CSV puede volver a subirse. La nota anterior sobre un archivo sin cifrar metido en un disco cubría lo que aún pueden ver el proveedor, el cliente de sincronización y un atajo por hash de contenido. Aquí la columna password es ese texto en claro. El correo, el chat y un enlace para compartir copian «legible para cualquiera» una vez más. Ninguna página oficial describe este CSV como «sigue cifrado, solo cambia la extensión».

Compruébalo aquí: el otro dispositivo con sesión iniciada, o el CSV en Descargas

«Solo la guardé en mi propio navegador» no es una prueba. Parte la comprobación en pasos que puedes terminar en esta máquina. Cada paso responde a una sola pregunta.

1. Escribe un canario que nunca aparezca en el trabajo real. Si necesitas caracteres aleatorios, saca de 6 a 128 del generador de contraseñas (el valor predeterminado es 16; por debajo de 8 la página avisa de que la cadena es más débil). Trata esa salida como un canario, no como una contraseña de inicio de sesión nueva. No uses una contraseña que sigas usando.
2. En Chrome, dispara Guardar contraseña en una página de práctica desechable o en un formulario local, y guarda solo el canario. Abre Configuración → Tú y Google y mira si las contraseñas están entre la información que se guarda en la cuenta. En otro dispositivo con la misma cuenta de Google y la sincronización activa, mira si el autocompletado o el Gestor de contraseñas muestra la misma entrada. Si aparece, la segunda capa ya escribió en la cuenta.
3. Abre passwords.google.com (o el Gestor de contraseñas de Google dentro de Chrome). Si puedes ver el canario ahí, el modelo en vigor es el predeterminado, o ya te autenticaste y descifraste: no «hay una frase de sincronización, así que el almacén web está a oscuras». Luego abre las páginas de cifrado en el dispositivo y de opciones de cifrado y mira qué frase aplica: la clave está en la cuenta, solo tú tienes la clave, o cifras todos los datos de Chrome con tu propia frase.
4. Exporta solo el canario. Sigue la ruta oficial, descarga el CSV y ábrelo en un editor de texto. Confirma que están url / username / password y el texto en claro del canario. No dejes el archivo en una carpeta que sincronice un cliente de disco. No lo pegues en un chat. Cuando termines la comprobación, bórralo como recomienda cada fabricante: Edge escribe MAYÚS+DELETE; Google y Firefox escriben elimínalo de inmediato. Luego revisa la Papelera y Eliminados recientemente.
5. Si usas Safari u otros dispositivos Apple, ve a otro dispositivo que ya esté en el mismo círculo de confianza del llavero de iCloud y mira si puede autocompletar el canario. Si puede, ya hay una copia dentro del círculo. Eso es un hecho distinto de «Apple puede o no leer el texto en claro». Al terminar, borra la entrada canario en todos los dispositivos que la recibieron.

El primer salto —si este dispositivo entregó texto en claro al almacén del navegador— es una pregunta distinta de Cifrar en el navegador: cómo comprobar que el original no salió de este dispositivo. Aquí la cadena casi siempre sale del formulario actual, porque Guardar significa escribir en un almacén de contraseñas. Esta nota pregunta a qué capas entró después. El canario solo debería aparecer en tu propia página de contraseñas, en tus propios dispositivos sincronizados y en el único archivo que elegiste exportar. Si aparece en un PC viejo que creías desconectado, en una tableta familiar o en una copia de Descargas que un cliente de disco ya subió, el perímetro de confianza es más grande que «este navegador».

Trata Guardar como otra exposición, con un generador que se abre sin cuenta

Si lo que quieres es generar primero en local y luego decidir si entregas la cadena al navegador, no hace falta registrarse ni entregar la cadena a MakePwd. Abre el generador de contraseñas, saca una cadena aleatoria desechable, cópiala o anótala solo en esta página, y usa la sección de arriba para decidir si pulsas el Guardar del navegador. La generación y la pista de fortaleza terminan en esta pestaña. Las contraseñas recién generadas no se suben. Todas las herramientas se abren sin cuenta. No hay un almacén de contraseñas que te guarde la cadena: MakePwd no la sincronizará a la nube después de que pulses Guardar.

El generador responde «de dónde salió esta cadena». No responde «si el navegador la sincronizará después de Guardar». Si quieres saber si una contraseña que ya usas es débil o está en la lista local de contraseñas frecuentes, usa la comprobación de contraseñas. La contraseña a prueba tampoco se sube, y el resultado no es una consulta de filtraciones en toda la red. Cuando otra persona necesita la contraseña, no te fíes de «la guardé en el navegador y luego inicia sesión en la misma cuenta»: eso la añade al perímetro de confianza. Un camino mejor es enviarla una vez con un enlace de un solo uso: la clave va en el fragmento # de la URL y no se envía al servidor por HTTP. Crear y leer son públicos. El servidor solo guarda el cifrado un tiempo.

Preguntas frecuentes

Si pulso Guardar contraseña, ¿puede Google leer el texto en claro?

En el modelo predeterminado, sí, por el camino que Google publica. La Ayuda de la cuenta indica que el cifrado estándar almacena en tu cuenta de Google la clave usada para acceder a las contraseñas. Google la usa para descifrarlas cuando las abres en passwords.google.com, en un dispositivo compatible o en la configuración de Chrome, y cuando la Revisión de contraseñas busca problemas de seguridad. La frase oficial es que confías en Google para guardar la clave. Activa el cifrado en el dispositivo y la frase pasa a ser: solo tú tienes la clave. Con una frase de contraseña de sincronización, Google escribe que no puede acceder a los datos de Chrome cubiertos por esa frase, y ya no puedes consultar las contraseñas guardadas en passwords.google.com.

¿Un CSV de contraseñas exportado sigue cifrado?

Las tres páginas oficiales lo describen como ya no protegido. Google: si no eliminas el archivo, cualquier persona que use el dispositivo podrá abrirlo y acceder a tus contraseñas. Edge: las contraseñas exportadas a un CSV no están protegidas y serán visibles para cualquiera que pueda ver el archivo; al terminar, recomienda MAYÚS+DELETE para borrarlo de forma permanente. Firefox: en el archivo exportado las contraseñas no estarán cifradas y quedarán en un formato legible; no lo subas, no lo envíes por correo ni lo compartas, y elimínalo cuando termines.

Si cierro el navegador en este PC, ¿desaparecen las contraseñas guardadas?

Cerrar la ventana no borra la copia que ya entró en la cuenta. La Ayuda de Chrome indica que, una vez iniciada la sesión, puedes guardar las contraseñas en tu cuenta de Google y usarlas en todos los dispositivos con la misma cuenta. Si esa información no se guardó en la cuenta, los marcadores y otros datos se quedan solo en este dispositivo. Al cerrar sesión en Chrome, la información se mantiene protegida en la cuenta de Google y se elimina del dispositivo: la copia de la cuenta sigue. El llavero de iCloud sincroniza dentro de un círculo de confianza: los dispositivos del círculo pueden descifrar; Apple no lee el texto en claro.

¿Una contraseña guardada en el navegador es la misma comprobación que una lista local de contraseñas débiles?

No. La Revisión de contraseñas de Google se ejecuta sobre las entradas ya guardadas. Con el cifrado estándar, Google tiene la clave de descifrado para hacerlo. La comprobación de contraseñas de MakePwd deja la contraseña a prueba en la pestaña actual, la compara con una lista local de contraseñas frecuentes y no la sube. No es una consulta de filtraciones en toda la red tipo HIBP. Que no coincida solo significa que esta lista no encontró esa cadena. Guardar en el navegador es otro perímetro de confianza: los dispositivos sincronizados y el archivo exportado.

Tres cosas que recordar antes del próximo Guardar

Primero: «Guardada» solo significa que la entrada entró en el almacén de contraseñas del navegador. No significa que la cadena exista solo en este ordenador. Segundo: el almacén local, la sincronización en la nube de la cuenta (la clave predeterminada de Google está en la cuenta; el cifrado en el dispositivo y una frase de sincronización cambian esa frase; el llavero de Apple es de extremo a extremo dentro del círculo) y el CSV exportado (los tres fabricantes lo llaman legible para cualquiera) son tres copias restantes distintas. Cerrar la ventana solo toca la interfaz local. No toca la cuenta ni el archivo en el disco. Tercero: comprueba con un canario desechable contra el otro dispositivo, passwords.google.com y Descargas. No experimentes con un inicio de sesión real. Cuando termines la comprobación de la exportación, elimina el archivo de forma permanente como recomienda el fabricante.

Si la siguiente pregunta es qué puede quedar en el portapapeles después de Copiar, lee Qué puede quedar en el historial del portapapeles y en la sincronización en la nube después de copiar una contraseña. Cuando necesites demostrar en Red que el texto en claro no salió de este dispositivo al cifrar, lee Cifrar en el navegador: cómo comprobar que el original no salió de este dispositivo. Qué puede demostrar una lista local —y por qué no es una consulta de filtraciones en toda la red— está en Qué puede demostrar una lista local de contraseñas débiles y por qué no es una consulta de filtraciones en toda la red. Esta nota solo traza una línea que puedes escribir en una conclusión: qué pueden dejar la sincronización en la nube y un CSV exportado después de pulsar el Guardar del navegador.