En un móvil Android, las contraseñas que guardas al iniciar sesión van al Gestor de contraseñas de Google. Para verlas, abre Chrome, toca los tres puntos, entra en Configuración y luego en Gestor de contraseñas de Google. El móvil te pedirá la huella o el PIN antes de enseñarlas. Ese gestor es suficiente para mucha gente. Pero no para todos, y aquí explico cuándo merece la pena cambiar a otro y cuál.
En corto
- Ver tus contraseñas: Chrome → ⋮ → Configuración → Gestor de contraseñas de Google.
- El de Google basta si usas Android y Chrome en todo. Activa la Revisión de contraseñas y las llaves de acceso.
- Cambia a otro si usas iPhone o Firefox, o quieres compartir contraseñas con personas fuera de tu grupo familiar de Google: Bitwarden y Proton Pass tienen plan gratuito, código abierto y auditorías.
- Lo que más importa: una contraseña maestra larga y única, y la verificación en dos pasos.
Dónde están tus contraseñas guardadas en Android
Android guarda las contraseñas en tu cuenta de Google, así que son las mismas en el móvil, en Chrome del ordenador y en passwords.google.com. Según la ayuda de Google, desde Chrome para Android puedes:
| Quiero… | Ruta en Chrome para Android |
|---|---|
| Ver una contraseña | ⋮ → Configuración → Gestor de contraseñas de Google → toca el sitio → Mostrar contraseña |
| Cambiarla o borrarla | Mismo sitio → Editar o Eliminar |
| Comprobar si se ha filtrado | Gestor de contraseñas de Google → Revisión |
| Exportarlas | Gestor de contraseñas de Google → Configuración → Exportar contraseñas |
En muchos móviles también llegas desde los ajustes del sistema, en el apartado de Google o en el de contraseñas y autocompletar. La ruta cambia según la marca: lo más rápido es buscar «contraseñas» en el buscador de los ajustes.
Cuidado al exportar
La exportación crea un archivo CSV con todas tus contraseñas en texto legible. Úsalo solo para importarlas en otro gestor y bórralo justo después, también de la papelera y de las descargas.
¿Es seguro el gestor de Google?
Para la mayoría, sí. Google explica en cómo protege Chrome tus contraseñas que la comprobación de filtraciones cifra el usuario y la contraseña en tu dispositivo antes de enviar nada, así que Google no llega a verlos. Las llaves de acceso que guarda van cifradas de extremo a extremo y protegidas con un PIN del gestor, según su anuncio de 2024.
Tiene dos límites. El primero: todo depende de tu cuenta de Google. Si alguien entra en ella, entra en tus contraseñas, así que la verificación en dos pasos de esa cuenta es obligatoria. El segundo: funciona muy bien en Android y en Chrome. Fuera de ellos es menos cómodo, y en Firefox no se integra.
Tres gestores alternativos, con datos
Si usas varios sistemas o compartes contraseñas con personas fuera de tu grupo familiar de Google, un gestor independiente te da más control. Estos son tres de los más usados. Para cada app de Android incluyo lo que encontró Exodus Privacy, una asociación francesa que analiza el código de las apps de Google Play:
| Bitwarden | Proton Pass | 1Password | |
|---|---|---|---|
| Plan gratuito | Sí, contraseñas y dispositivos ilimitados | Sí, contraseñas y dispositivos ilimitados | No |
| Código abierto | Sí | Sí | No |
| Auditorías publicadas | Cure53 e Insight Risk Consulting | Cure53 | Sí, varias |
| App Android (Exodus) | 2026.9.1: 1 rastreador (Crashlytics), 16 permisos | 1.41.2: 1 rastreador (Sentry), 16 permisos | 8.12.36: 1 rastreador (Sentry), 21 permisos |
| Permisos peligrosos | Cámara | Cámara | Cámara y ubicación |
La cámara suele estar para escanear códigos QR, por ejemplo al configurar la verificación en dos pasos. Es una suposición mía, no algo que digan los informes; Android solo la concede si tú la autorizas. Si te importa cómo leer estos permisos, lo explico en permisos de las apps en Android.
- Bitwarden es la opción gratuita más completa. El plan gratis no incluye el generador de códigos de verificación ni los archivos adjuntos.
- Proton Pass encaja si ya usas Proton Mail o Proton VPN. El gratuito trae 10 alias de correo para no dar el tuyo real.
- 1Password es de pago desde el principio. A cambio, su diseño y la gestión familiar son muy cómodos.
Lo que enseñó el caso LastPass
En 2022 robaron a LastPass una copia de seguridad de las bóvedas de sus clientes. En su aviso de diciembre de 2022 dijo que los usuarios y contraseñas seguían cifrados con AES de 256 bits y una clave derivada de la contraseña maestra de cada usuario, pero que las direcciones de las webs guardadas iban sin cifrar. En marzo de 2023 detalló cómo habían entrado.
La lección práctica es una. Quien tiene una copia de tu bóveda cifrada puede intentar adivinar la contraseña maestra con todo el tiempo del mundo. Con una maestra larga y única, eso es inviable. Con una corta o reutilizada, no tanto. Y si alguna vez se filtra la bóveda de tu gestor, cambia primero las contraseñas más importantes: correo, banco y redes.
Cómo elegir la contraseña maestra
- Larga antes que rara. Cuatro o cinco palabras sin relación entre sí son más fuertes y más fáciles de recordar que ocho caracteres con símbolos.
- Única. Que no la uses en ningún otro sitio, ni con pequeñas variaciones.
- Con verificación en dos pasos en el gestor y en tu cuenta de Google.
- Apuntada en papel en un sitio seguro de casa, si temes olvidarla. Sin ella, nadie puede recuperar tu bóveda, ni siquiera la empresa.
La Oficina de Seguridad del Internauta de INCIBE tiene una guía de contraseñas con más consejos para el día a día.
Las llaves de acceso: el siguiente paso
Las llaves de acceso, o passkeys, sustituyen la contraseña por un par de claves criptográficas. La web solo guarda la parte pública; la privada se queda cifrada en tu gestor. Entras con la huella o el PIN, y no hay nada que puedas escribir en una web falsa. Las impulsa la FIDO Alliance, y se basan en el estándar FIDO2: WebAuthn, del W3C, y CTAP, de la que forman parte Google, Apple y Microsoft, y ya las admiten Google, Amazon, PayPal y muchas más.
Los cuatro gestores de esta página pueden guardarlas. Cuando una web te ofrezca crear una llave de acceso, acepta: es más segura que cualquier contraseña.
Cómo cambiar de gestor en Android
- Instala el nuevo gestor desde Google Play y crea la cuenta con tu contraseña maestra.
- Exporta las contraseñas de Google como explico arriba e impórtalas en el nuevo. Borra el CSV.
- En los ajustes de Android, busca «autocompletar» o «servicio de contraseñas» y elige el nuevo gestor como servicio preferido. El nombre del menú cambia según la versión y la marca.
- Comprueba que rellena bien en un par de apps y, cuando estés seguro, desactiva el guardado en Google. Si quieres una sola copia, borra también lo guardado desde el Gestor de contraseñas de Google → Configuración → Eliminar todos los datos.
Preguntas frecuentes
¿Es seguro guardar las contraseñas en el navegador?
Con el de Google y tu cuenta protegida con verificación en dos pasos, sí. Es mucho más seguro que repetir la misma contraseña en todas partes, que es lo que hace la mayoría sin gestor.
¿Qué pasa si pierdo el móvil?
Las contraseñas están en tu cuenta, no solo en el móvil. Entras en el móvil nuevo con tu cuenta y vuelven. Mientras tanto, localiza o borra el perdido como explico en cómo localizar un móvil Android.
¿Un gestor gratuito es peor que uno de pago?
No necesariamente. Bitwarden y Proton Pass usan el mismo cifrado en el plan gratis y en el de pago. Lo que cambia son extras como los archivos adjuntos o el acceso de emergencia.
Si te preocupa que tu móvil ya esté comprometido, empieza por cómo saber si tu Android está hackeado. Y para que lo que haces en internet no quede guardado, mira también qué protege el modo incógnito.
Más sobre privacidad y VPN
- Navegador Tor: qué es, si es seguro y cómo usarlo en Android
- Cómo borrar el historial de Google desde el móvil (y qué pasa de verdad con tus datos)
- Gestor de contraseñas en Android: dónde están las tuyas y cuál usar
- Modo incógnito: qué protege y qué no (quién te sigue viendo)
- Cuál es mi IP y qué revela de ti (y qué no)
