En casi todas las empresas de menos de veinte personas que hemos visto por dentro, las contraseñas viven en uno de estos tres sitios: una hoja de cálculo compartida, un grupo de WhatsApp, o la cabeza de una persona que además se va de vacaciones.
Arreglar eso cuesta una tarde y es, con diferencia, la mejor relación entre esfuerzo y beneficio de toda la pila libre.
- Programa
- Vaultwarden
- Licencia
- AGPLv3
- Autoalojable
- Sí
- Coste de licencia
- Ninguno
- Coste real
- Mínimo: cabe junto a otros servicios en el mismo servidor
- Clientes
- Los oficiales de Bitwarden: escritorio, móvil y navegador
- Para quién
- Cualquier empresa desde dos personas
- Migración
- Fácil de entrar, fácil de salir
Por qué la hoja de cálculo es un problema serio
No es pereza: es que nadie ha explicado bien el riesgo. Son cuatro problemas a la vez.
- Se copia sola. Alguien la descarga para consultarla en casa y ya hay dos. En un año hay siete, y nadie sabe dónde están todas.
- No caduca. Cuando alguien deja la empresa, su copia se va con él. Las claves siguen siendo válidas porque cambiarlas todas da pereza.
- Invita a repetir. Si hay que teclear la contraseña a mano, la gente elige una fácil y la reutiliza. Un gestor genera claves largas y distintas porque no cuesta nada.
- No deja rastro. Si algo se filtra, no hay forma de saber quién accedió a qué ni cuándo.
Qué es Vaultwarden
Una implementación libre y ligera del servidor de Bitwarden, compatible con sus clientes oficiales. Eso último importa más de lo que parece: tu equipo usa la aplicación de Bitwarden de siempre, bien hecha y bien mantenida, mientras el servidor donde se guardan las claves es tuyo.
Consume muy poco. Convive sin problema en el mismo servidor que Nextcloud u Odoo, cosa que no se puede decir de casi ningún otro servicio de la pila.
Cómo organizarlo en una empresa
La herramienta es la parte fácil. Lo que decide si funciona es cómo se organiza:
- Una cuenta por persona, nunca una compartida. Es lo que permite quitar el acceso a alguien sin cambiar cincuenta contraseñas.
- Colecciones por área: administración, ventas, sistemas. Cada persona ve solo lo suyo.
- Lo crítico, aparte. Banca y accesos fiscales en su propia colección, con dos o tres personas como mucho.
- Doble factor obligatorio para todos. Sin excepciones para dirección, que suele ser quien lo pide.
- Un sobre con la clave maestra del administrador, en papel, en una caja fuerte. Si se pierde, no hay recuperación: eso es una característica, no un fallo, y hay que asumirla.
El día que alguien se va
Este es el escenario que justifica todo el trabajo anterior.
Sin gestor: alguien intenta recordar a qué tenía acceso esa persona, cambia las contraseñas que se le ocurren y se olvida de tres. Esas tres siguen funcionando durante años.
Con gestor: se desactiva su cuenta y pierde el acceso a todo de golpe. Después se rotan con calma las claves de las colecciones a las que pertenecía, sabiendo exactamente cuáles son.
Esa diferencia es todo el argumento.
Cuándo no hace falta autoalojar
Seamos honestos: si sois tres personas y no vais a montar nada más, el plan de pago de Bitwarden cuesta poco y no tienes que mantener nada. Autoalojar tiene sentido cuando ya vas a tener un servidor por otros motivos, y entonces esto es casi gratis.
Lo que no tiene sentido en ningún escenario es seguir con la hoja de cálculo.
Por eso en el ecosistema completo para una pyme de diez personas ponemos esta pieza la primera: se monta en una tarde, el beneficio es inmediato y sirve además para que el equipo vea que el cambio va en serio.