Gestor de credenciales para equipos
Las contraseñas hechas por personas se rompen en segundos.
Una contraseña inventada sigue patrones, y los patrones le quitan casi todo el valor que promete su longitud. El hardware que la ataca se ha vuelto cien veces más rápido desde 2019. Una credencial generada por máquina no tiene patrones que descontar — generamos, guardamos y compartimos sus credenciales.
- Seis tipos de elemento
- Datos en la Unión Europea
- Agentes MCP, valor redactado
Cloudflare — Aurora
Credencial · Infraestructura
Usuario
Contraseña
Resistencia estimada
2019 — equipo de GPU
6minutos
10¹¹ intentos/segundo
2026 — clúster acelerado
4segundos
10¹³ intentos/segundo
Ataque offline contra un hash robado, de los que se calculan deprisa. La mitad del espacio de claves, a las tasas indicadas. Una contraseña que ha elegido una persona vale menos de lo que sugiere su longitud — el cálculo descuenta los patrones comunes.
46
bits en una contraseña inventada
El ejemplo del instrumento de arriba, una vez descontados los patrones.
123
bits en una credencial generada
Veinte caracteres sorteados de un alfabeto de 71.
100×
intentos por segundo, frente a 2019
De 10¹¹ a 10¹³ — las dos tasas impresas arriba.
6
tipos de elemento en cada caja fuerte
Credenciales, notas, tarjetas, claves de API, claves SSH, identidades.
Dónde están ahora
El reloj ha cambiado. Los hábitos del equipo no.
Nadie decidió guardar la contraseña del cliente en una conversación. Era lo que había más a mano un martes por la tarde — y ahí se quedó.
Una credencial escrita en un canal se queda ahí mientras exista el canal. Quien entra en el equipo seis meses después abre el historial y la lee, sin pedirle permiso a nadie y sin dejar rastro.
La hoja de cálculo es lo mismo con otra forma: una fila por servicio, nueve personas con acceso, y nadie sabe quién la abrió ayer ni adónde la copió.
Una credencial en cuatro sitios no es una credencial: son cuatro copias, y la que cuenta es la menos cuidada.
La misma contraseña, cuatro sitios
#general · 14:02 · hace dos años
Ana.Maria.Silva99
Veinticuatro personas en el canal. Nueve entraron después de este mensaje.
accesos.xlsx · compartido con 9 personas
Ana.Maria.Silva99
Fila 14, columna D. Copiada al Meta Business Suite en enero.
.env · tres portátiles, un repositorio
DATABASE_URL=postgres://demo:EXAMPLE@db.internal:5432/app STRIPE_SECRET_KEY=sk_live_EXAMPLE_4tQ9mZ2pR7wK RESEND_API_KEY=re_EXAMPLE_8nD4kV6yT2xQ
Copiado por cada persona que instaló el proyecto. Nadie vuelve a borrarlo.
Dejó el equipo en marzo
carlos@aurora.pt
Perdió el correo el primer día. Entra en Meta Business Suite con la línea de arriba.
Generada, no inventada
Una credencial que nadie ha elegido no tiene patrones que descontar.
La longitud solo vale algo cuando cada carácter se sortea. Mueva la longitud y el alfabeto, y mire dónde se para el medidor.
Generador
Credencial generada
zSkde*~JDBe&PMqk+8Bc
Resistencia
Fuerte
123bits de entropía
20 × log₂(71) = 123
Cada carácter sale de crypto.getRandomValues. El alfabeto deja fuera los glifos que se confunden — 0 y O, 1 y l — por eso la cuenta usa el alfabeto real y no los 95 del ASCII imprimible.
La entropía está en el sorteo, no en la cadena
Dos cadenas pueden parecer igual de revueltas y llevarse cuarenta bits de diferencia. Lo que cuenta es el espacio del que salieron — y en un valor que generamos nosotros, ese espacio se conoce en lugar de estimarse.
Cada carácter vale log₂ del alfabeto
Con el alfabeto completo, cada carácter añade 6,15 bits. Sin números ni símbolos añade 4,64 — casi bit y medio menos, en cada posición.
Setenta bits es donde empieza el año
Por debajo de 70 bits, el clúster de 2026 llega en menos de un año. A partir de 90, el instrumento del principio de la página se queda sin número que mostrar.
Cajas fuertes
Cada sistema en su caja fuerte, con los campos que pide ese tipo de elemento.
Seis tipos de elemento. Los campos cambian con el tipo, y los que son secretos llegan tapados — revelar es un gesto, no el estado por defecto.
Credencial
Meta Business Suite
Caja fuerte: Cliente — Aurora
Actualizado 2026-08-14
- Usuario
- social@aurora.pt
- Contraseña
- valor oculto
- Dirección
- business.facebook.com
Compartir
Quién puede qué, escrito una vez por caja fuerte.
Tres papeles. Un miembro usa los elementos, un administrador decide quién entra, el dueño responde por la caja fuerte. Nadie tiene que reenviarle nada a nadie.
| Capacidad | Dueño | Administrador | Miembro |
|---|---|---|---|
| Ver, revelar y copiar los elementos | Sí | Sí | Sí |
| Crear y editar elementos | Sí | Sí | Sí |
| Crear y revocar enlaces de un solo uso | Sí | Sí | No |
| Gestionar los miembros de la caja fuerte | Sí | Sí | No |
| Transferir o borrar la caja fuerte | Sí | No | No |
Enlace de un solo uso
rp.link/s/EXAMPLE-9fk2Qm
Abierto una vez · cerrado
Para quien está fuera de la caja fuerte: el proveedor, la gestoría, la persona que entra mañana. Se abre una vez; a la segunda, no se abre.
Salir del equipo pasa a ser un cambio de miembros.
Quitar a una persona de una caja fuerte le quita todo lo que había dentro, a la vez. No es una caza por los mensajes directos, ni una lista de servicios por revisar, ni la contraseña que se quedó circulando.
Salud de la caja fuerte
Lo que está débil, lo que está repetido, lo que no cambia desde hace un año.
La revisión que nadie hace a mano. Tres recuentos, y la lista de quien los provoca.
4
Débiles
Por debajo de 70 bits.
2
Reutilizadas
El mismo valor en más de un servicio.
7
Sin rotación
Sin cambios desde hace más de doce meses.
Elementos señalados
13
Contraseña compartida
El mismo valor en los dos. Cambiarla en uno no la cambia en el otro.
WordPress — AuroraMeta Business SuiteReutilizada2 serviciosAnalytics — Aurora
Elegida por una persona en 2024, y nunca tocada desde entonces.
Google AnalyticsDébil49 bitsMillennium BCP — empresa
Sin cambios desde junio de 2025. Tres personas con acceso.
BancaSin rotación14 meses- 10 restantes en la lista completa de la caja fuerte.
Agentes · MCP
Dé acceso a su IA sin darle el secreto.
El agente pide el elemento por su nombre y recibe lo que necesita para actuar. El valor en claro se queda en la caja fuerte. Ninguno de los cuatro productos con los que nos comparamos puede decir esto.
El agente pide una credencial
Una herramienta MCP, llamada con el nombre de la caja fuerte y el del elemento. El agente no recibe la caja entera: pide lo que la tarea necesita.
La petición se acota y se registra
Una caja fuerte, solo lectura, una ventana de minutos. La línea entra en el registro de auditoría antes de que haya respuesta — con el nombre del agente, no con el de una persona.
La respuesta llega redactada
El campo del secreto vuelve tapado. El agente se queda con la forma del valor — el prefijo, la longitud — y con lo justo para usarlo; nunca con el valor.
La acción termina
La tarea acaba. Lo que quedó en el historial de la conversación son doce puntos, y la credencial sigue valiendo mañana.
Agente
secrets.get_item
Respuesta
{
"item": "Stripe — pagos",
"value": "valor redactado",
"redacted": true
}
TerminadoCobro de prueba hecho. El valor no salió de la caja fuerte.
Secuencia ilustrativa. La clave de arriba no existe.
El alcance es por caja fuerte, no por cuenta
Un agente entra en una caja fuerte como entra un miembro: con los elementos de esa caja y nada más. Quitarle el acceso es un cambio de miembros, igual que con una persona.
Cada lectura queda escrita
Quién la pidió, qué elemento, a qué hora y con qué alcance. El registro de auditoría es el mismo para personas y para agentes, y es la única lista que hace falta leer después.
Soberanía
Sus datos se quedan en la Unión Europea, en un proyecto Supabase que es suyo.
El cifrado ocurre en su navegador. Lo que llega al servidor es texto cifrado — y el servidor es una base de datos de su cuenta, no un inquilino de la nuestra.
Lo que no sale nunca
- Su frase de contraseña.
- La clave que se deriva de ella.
- El valor en claro de cualquier campo tapado.
Lo que sale, y en qué estado
- Los elementos, ya cifrados antes de salir.
- Los metadatos que hacen funcionar la lista: título, caja fuerte, fecha.
- Las líneas del registro de auditoría: quién, qué y cuándo.
Una región europea, elegida por usted
El proyecto Supabase se crea donde usted indique. La residencia de los datos pasa a ser un ajuste de su cuenta, y no una nota a pie de página en la nuestra.
Las claves no pasan por aquí
La clave de cada caja fuerte se deriva de su frase de contraseña, en su navegador. No podemos leer el contenido de una caja fuerte — y no es una política, es una falta de medios.
La puerta de salida queda abierta
La base de datos es suya desde el primer día. Si algún día dejamos de tener sentido, los datos no cambian de sitio: cambia el software que los toca.
Comparación
Dónde ganamos, y dónde todavía no.
Cuatro productos maduros y uno nuevo. Las filas en las que vamos por detrás están aquí por el mismo motivo que las demás: son ciertas.
| Función | Secrets Manager | 1Password | Bitwarden | LastPass | Dashlane |
|---|---|---|---|---|---|
| Servidor MCP para agentes de IAEl agente lista y crea elementos; el valor del secreto vuelve redactado. | |||||
| Importar un .env entero, separado por variable | |||||
| Datos en la Unión Europea, en su propio proyecto Supabase | |||||
| Interfaz en portugués europeo | |||||
| Cifrado de extremo a extremo, con conocimiento cero | |||||
| Enlaces de un solo uso | |||||
| Ejecutarlo en infraestructura propiaSe ejecuta en un proyecto Supabase que es suyo. | |||||
| Auditoría de seguridad independienteSomos nuevos y todavía no la hemos hecho. Está en el plan. | |||||
| Extensión de navegador con autorrelleno | |||||
| Inicio de sesión con clave de acceso |
Dónde vamos por detrás, sin rodeos.
Sin extensión de navegador, sin aplicaciones móviles, sin clave de acceso y sin auditoría independiente. Si necesita eso esta semana, los productos maduros son la elección correcta — y preferimos decirlo aquí.
Comparación de agosto de 2026, a partir de lo que cada producto documenta públicamente. Los productos cambian deprisa; confírmelo en la web de cada uno. Las marcas pertenecen a sus dueños y esto no es una asociación.
Precios
La caja fuerte al precio del mercado. Aparte, lo único que no vende nadie más.
Los importes destacados son anuales. Mes a mes cuesta un euro más por usuario, y cancelar cancela al final del periodo que ya pagó.
Gratis
Una persona, o un equipo probándolo antes de decidir.
€0por usuario/mes
Sin tarjeta y sin plazo.
- Cajas fuertes personales, con los seis tipos de elemento
- Generador, medidor de resistencia y aviso de filtración de datos
- Tres enlaces de un solo uso al día
- Panel de salud de la caja fuerte, en su versión simple
Equipo
RecomendadoPymes, agencias y startups, a partir de dos usuarios.
€4por usuario/mes
Facturado anualmente.
€5 por usuario/mes si paga mes a mes
- Todo lo del plan gratuito, sin límite de enlaces
- Cajas fuertes compartidas, con dueño, administrador y miembro
- Registro de auditoría de 90 días
- Datos en la Unión Europea y MFA que el administrador puede exigir
Empresa
Equipos mayores, y quien tiene que responder ante un departamento de riesgos.
€8por usuario/mes
Facturado anualmente.
€10 por usuario/mes si paga mes a mes
- Todo lo del plan Equipo
- SSO y SCIM
- Registro de auditoría sin límite de tiempo, con exportación
- Elección de región y alojamiento en su propio Supabase
Aparte de los puestos
Automatización
€25por espacio de trabajo/mes
Se suma al plan Equipo o Empresa.
3 conexiones de agente incluidas · €6 por conexión adicional/mes
El servidor MCP, los alcances con plazo y la captura de lo que se pegue en un canal de equipo. Es la línea que ninguno de los cuatro productos de al lado tiene para vender.
- Servidor MCP, con el valor redactado por defecto
- Alcances por caja fuerte y concesiones con plazo
- Cada lectura de agente en el registro de auditoría
- Captura de lo que se pegue en un canal de equipo
Importes en euros, sin IVA. La primera tanda de clientes se queda con la mitad del precio durante doce meses, y con el precio congelado durante veinticuatro — estamos al principio, y el descuento lo dice.
Preguntas
Respuestas directas.
Las cinco que salen siempre, y tres que deberían salir más.
¿Pueden leer mis secretos?
No podemos leer el contenido de una caja fuerte. La clave se deriva de su frase de contraseña, en su navegador, y el cifrado de extremo a extremo ocurre antes de que salga nada. Lo que guardamos es texto cifrado y los metadatos que hacen funcionar la lista: títulos, cajas fuertes y fechas.
¿Dónde están mis datos?
En una base de datos Supabase que es suya, creada en una región de la Unión Europea que elige usted. La residencia de los datos no depende de una promesa nuestra: depende de dónde creó el proyecto, y eso se ve en su propia consola.
¿Y si pierdo la frase de contraseña?
No podemos restablecerla, y es exactamente la misma propiedad que responde a la primera pregunta. Una caja fuerte compartida sigue siendo accesible para quien también la tiene, y esa persona vuelve a darle entrada. Una caja fuerte personal cuya frase de contraseña se ha perdido no vuelve.
¿Cómo usa esto un agente de IA con seguridad?
Por el servidor MCP. El agente lista elementos y crea elementos; cuando lee un secreto, el valor vuelve redactado. El acceso es por caja fuerte, tiene plazo, y cada lectura queda en el registro de auditoría con el nombre del agente que la hizo.
¿Y si nos vamos?
Exporta las cajas fuertes y se las lleva. La base de datos ya es suya, así que los datos ni cambian de sitio: deja de ejecutarse nuestro software encima. Mensual es mensual y cancelar es cancelar, al final del periodo que pagó.
¿Qué es lo que todavía no tienen?
Extensión de navegador con autorrelleno, aplicaciones móviles, inicio de sesión con clave de acceso y una auditoría de seguridad independiente. Está todo en el plan y nada está hecho. Si necesita eso esta semana, se ha enterado por nosotros.
¿Esto es tan seguro como los productos establecidos?
El modelo de cifrado es de la misma clase: la clave nace en su navegador y el servidor solo ve texto cifrado. Donde vamos de verdad por detrás es en el historial y en la auditoría independiente. Somos nuevos, y eso no se compensa con una frase.
¿Por qué cambiaría un equipo?
Por tres razones, y si ninguna es la suya, quédese donde está: quiere que los agentes usen credenciales sin verlas, está harto de llevar ficheros .env de portátil en portátil, y quiere los datos en la Unión Europea, en infraestructura que controla.