Dashlane frente a Vaultwarden en 2026: quién guarda de verdad tus contraseñas
Un trabajador de oficina europeo maneja hoy entre 80 y 150 cuentas en línea, y para muchos de ellos el archivo más valioso que poseen no es una carpeta de fotos ni un contrato, sino una bóveda cifrada de contraseñas. Esa bóveda tiene una ubicación física. Vive en un servidor, dentro de un centro de datos, sometida a las leyes de un país concreto y gestionada por una empresa que responde ante tribunales concretos. Basta con abrir la tienda de extensiones de cualquier navegador para encontrar decenas de gestores de contraseñas cuyos editores no indican dirección social, proveedor de alojamiento ni jurisdicción, conviviendo con proveedores consolidados que publican auditorías independientes. El consumidor puede instalar unos u otros con los mismos dos clics. Dashlane y Vaultwarden ocupan extremos opuestos de ese mapa. Dashlane es un servicio comercial de origen francés que guarda tu bóveda cifrada en su propia nube. Vaultwarden es un servidor ligero, mantenido por la comunidad y compatible con las aplicaciones oficiales de Bitwarden, que instalas tú mismo en una máquina que controlas. Los dos pueden ser opciones excelentes para un consumidor democrático. Simplemente responden de forma muy distinta a la pregunta de quién custodia tus credenciales, y esa diferencia pesa mucho más en 2026 que hace cinco años.
Por qué el origen democrático importa en los gestores de contraseñas
La mayoría de categorías de Democratic Market tienen cadenas de suministro físicas: fincas de cacao, celdas de batería, hilaturas de algodón. Un gestor de contraseñas también tiene cadena de suministro, pero está hecha de código, bibliotecas criptográficas, infraestructura de servidores y jurisdicción legal. La pregunta relevante no es dónde se ensambló el producto, sino qué gobiernos pueden obligar al operador a hacer algo. En una democracia plena o imperfecta con jueces independientes, una petición de datos de usuarios suele requerir orden judicial, puede recurrirse y a menudo aparece en informes de transparencia. En un Estado autoritario, el operador puede no tener capacidad legal para negarse. La Ley de Inteligencia Nacional china de 2017 obliga a las organizaciones a «apoyar, asistir y cooperar» con los servicios de inteligencia, y el sistema ruso SORM concede a los servicios de seguridad acceso permanente a la infraestructura de comunicaciones. Un buen gestor de contraseñas utiliza cifrado de conocimiento cero: el operador nunca ve tu contraseña maestra y no puede descifrar tu bóveda. Pero el conocimiento cero es una promesa implementada en software, y el software se actualiza. Un gobierno capaz de forzar a un proveedor a distribuir una extensión modificada a un único usuario puede saltarse toda la criptografía. Por eso Democratic Market trata la jurisdicción, la transparencia del código y el control de las actualizaciones como criterios principales en esta categoría, junto con la puntuación del Índice de Democracia de la EIU del país donde está constituido el operador.
Dashlane: ingeniería francesa, nube de conocimiento cero y experiencia pulida
Dashlane nació en París en 2009 y sigue desarrollando buena parte de su producto desde Francia, aunque su sede corporativa está en Nueva York. Eso le da un perfil democrático doble: Francia obtiene un 7,99 en el Índice de Democracia de la EIU y Estados Unidos un 7,85, ambos democracias imperfectas pero con control judicial sólido, autoridades de protección de datos activas y prensa libre. Técnicamente, Dashlane es uno de los diseños más conservadores del mercado. Las bóvedas se cifran en el propio dispositivo con AES-256 y la clave se deriva de la contraseña maestra mediante Argon2d, una función que consume mucha memoria y encarece los ataques de fuerza bruta fuera de línea. La empresa publica un libro blanco de seguridad detallado, mantiene un programa público de recompensas por errores y admite llaves de acceso (passkeys) en sus aplicaciones desde 2023. En 2022 retiró sus aplicaciones nativas para Windows y macOS y apostó por la extensión de navegador como eje del producto, lo que redujo la superficie de ataque pero concentró la confianza en el canal de actualización de esa extensión. El plan Premium individual ronda los cinco euros al mes con facturación anual, con planes familiares y empresariales por encima. El atractivo es evidente: vigilancia de filtraciones en la web oscura, VPN incluida en algunos planes, compartición segura, consola de administración para empresas y prácticamente cero mantenimiento. La contrapartida es que confías a una empresa, a su proveedor de nube y a dos sistemas legales el texto cifrado de toda tu vida digital.
Vaultwarden: autoalojado, de código abierto y tan seguro como tu instalación
Vaultwarden nació en 2018 como bitwarden_rs, una reimplementación en Rust de la API del servidor de Bitwarden escrita por el desarrollador Daniel García, y cambió de nombre en 2021 para no confundirse con el producto oficial. Se distribuye bajo licencia AGPL-3.0, de modo que todo su código es público y cualquier modificación ofrecida como servicio en red debe compartirse. Su gran baza es la eficiencia: mientras el servidor oficial de Bitwarden requería históricamente varios servicios .NET y Microsoft SQL Server, Vaultwarden funciona en un único contenedor Docker con SQLite, MySQL o PostgreSQL, y atiende sin esfuerzo a una familia o a una pequeña empresa desde una Raspberry Pi o un servidor virtual de cinco euros al mes. Los usuarios se conectan con los clientes oficiales de Bitwarden, también de código abierto y desarrollados por Bitwarden Inc., empresa con sede en California. El cifrado sigue haciéndose en el cliente, con PBKDF2-SHA256 a 600.000 iteraciones por defecto o Argon2id si se activa, de modo que el servidor nunca ve texto en claro. Desde la óptica de la soberanía democrática, Vaultwarden roza lo ideal: si lo alojas en Alemania (EIU 8,80), Finlandia (9,30) o Noruega (9,81), tu bóveda queda sometida a la ley de ese país y de ningún otro. Pero hay un matiz importante. Vaultwarden es un proyecto voluntario sin empresa detrás, no ha pasado el tipo de auditoría formal de terceros que sí ha recibido el servidor oficial de Bitwarden, y su seguridad depende en gran medida de cómo configures HTTPS, copias de seguridad, el token de administración y las actualizaciones. La soberanía te traslada la responsabilidad.
Gestores de contraseñas con riesgo democrático: Kaspersky y los clones opacos
No todos los gestores de contraseñas que circulan en Europa proceden de democracias. El caso más claro es Kaspersky Password Manager, desarrollado por Kaspersky Lab, con sede en Moscú. Rusia obtiene un 2,28 en el Índice de Democracia de la EIU, dentro de la categoría de régimen autoritario. En marzo de 2022, la Oficina Federal de Seguridad de la Información alemana (BSI) emitió una advertencia formal contra el uso del software de seguridad de Kaspersky, alegando el riesgo de que un proveedor ruso fuera coaccionado para participar en operaciones ofensivas. En 2024, el Departamento de Comercio de Estados Unidos fue más lejos y prohibió la venta de productos Kaspersky, con el corte de actualizaciones a partir de septiembre de ese año. El gestor tiene además su propio historial técnico: en 2021, investigadores de Ledger Donjon revelaron que su generador de contraseñas había usado durante años la hora del sistema como semilla de aleatoriedad, lo que hacía las contraseñas generadas mucho más predecibles de lo que creían sus usuarios. La segunda categoría de riesgo es más difícil de detectar: extensiones y aplicaciones gratuitas sin marca reconocible cuyo editor, proveedor de alojamiento y propietario no pueden verificarse. Algunas sincronizan las bóvedas a través de servidores en China (EIU 1,94) o mediante alojamientos anónimos. La posición de Democratic Market es sencilla: si no puedes identificar quién controla el canal de actualizaciones y bajo qué ley opera, no puedes evaluar el riesgo, y ese producto no debería custodiar tus credenciales.
Comparativa Dashlane vs Vaultwarden: funciones, precio y perfil democrático
En funciones, Dashlane es el producto de consumo más completo. Ofrece autocompletado en los principales navegadores, almacenamiento de passkeys, notas seguras, archivos adjuntos cifrados, alertas antiphishing cuando el autocompletado se intenta en un dominio que imita al original, vigilancia de filtraciones y una consola empresarial con integración SSO. Vaultwarden, a través de los clientes de Bitwarden, cubre casi todo lo esencial: autocompletado, passkeys, notas, adjuntos, organizaciones para compartir, doble factor con llaves físicas FIDO2 y la función Bitwarden Send para compartir información cifrada de forma efímera. Además desbloquea funciones que Bitwarden reserva a clientes de pago, como la generación de códigos TOTP dentro de la bóveda o la compartición entre organizaciones, sin suscripción. En precio, Dashlane cuesta unos 60 euros al año para un usuario individual y más para familias o equipos. Vaultwarden es software libre, pero en la práctica pagarás entre 40 y 80 euros anuales por un servidor virtual pequeño, o la electricidad y el hardware de un servidor doméstico, además de tu tiempo. En perfil democrático, Dashlane puntúa bien: empresa de origen francés, sede en Estados Unidos, infraestructura en democracias consolidadas y documentación de seguridad pública. Vaultwarden puntúa aún mejor en soberanía, porque eliges tú la jurisdicción, y en transparencia, porque cada línea del servidor es pública. Puntúa peor en rendición de cuentas institucional: no hay empresa a la que reclamar, ni acuerdo de nivel de servicio, ni auditoría formal. En la escala de Democratic Market ambos aprueban con holgura; la diferencia está en si valoras más la fiabilidad externalizada o el control directo.
Legislación europea de 2026 que afecta a los gestores de contraseñas
Varias normas europeas condicionan ya esta categoría. El Reglamento General de Protección de Datos sigue marcando la base: un gestor en la nube que trate datos de residentes en la UE necesita una base jurídica, debe ofrecer contratos de encargo de tratamiento a sus clientes empresariales y respetar las restricciones a las transferencias internacionales que precisó el Tribunal de Justicia en la sentencia Schrems II de 2020. Las transferencias a Estados Unidos se apoyan hoy en el Marco de Privacidad de Datos UE-EE. UU., adoptado en julio de 2023 y respaldado por el Tribunal General de la UE en septiembre de 2025 frente al recurso del diputado francés Philippe Latombe, aunque aún caben nuevas impugnaciones. Para las empresas, la Directiva NIS2, aplicable desde octubre de 2024, exige a las entidades esenciales e importantes gestionar el riesgo de ciberseguridad de su cadena de suministro, lo que en la práctica obliga a auditar qué herramientas de gestión de credenciales utilizan y dónde están alojadas. Lo más relevante para 2026 es que las obligaciones de notificación de vulnerabilidades del Reglamento de Ciberresiliencia empiezan a aplicarse en septiembre de 2026, con aplicación plena en diciembre de 2027. Los fabricantes de software con elementos digitales comercializado en la UE, incluidos los gestores de contraseñas, deberán notificar a ENISA las vulnerabilidades explotadas activamente en un plazo de 24 horas y garantizar actualizaciones de seguridad durante un periodo de soporte definido. Los proyectos de código abierto desarrollados fuera de una actividad comercial, como Vaultwarden en su forma actual, quedan en gran medida exentos, pero quien venda un servicio de Vaultwarden alojado con fines comerciales sí entraría en su ámbito.
Cómo evalúa Democratic Market los gestores de contraseñas
En las categorías de software, Democratic Market adapta su metodología de cadena de suministro a cinco preguntas ponderadas. Primera, la jurisdicción del operador: dónde está constituida la empresa, quién la controla y qué puntuación EIU tiene cada país implicado. Cualquier operador controlado desde un país por debajo de 6,0 queda excluido. Segunda, la ubicación de los datos: dónde se almacenan físicamente las bóvedas cifradas y si el cliente puede elegir una región europea. Tercera, la transparencia criptográfica: si el modelo de cifrado está documentado en un libro blanco público, si los clientes son de código abierto y si una firma independiente ha auditado el código en los últimos tres años. Cuarta, el gobierno de las actualizaciones: quién puede instalar código nuevo en tu dispositivo, cómo se firman las versiones y si existe un proceso de compilación reproducible que permita verificar que la aplicación publicada coincide con el código publicado. Quinta, el historial de incidentes: si el proveedor ha sufrido brechas y con qué rapidez y honestidad las comunicó. Con este marco, Dashlane obtiene notas altas en jurisdicción, documentación y cultura de transparencia, y una nota media en apertura del código, porque sus clientes no son totalmente libres. Vaultwarden logra la máxima nota en transparencia del código y ubicación de los datos, pero sus puntuaciones de auditoría y gobierno dependen de cada instalación. Kaspersky Password Manager suspende directamente la primera pregunta.
Guía práctica para elegir gestor de contraseñas en 2026
Empieza por decidir quién va a mantener el sistema. Si nadie en tu casa o tu empresa se siente cómodo manteniendo actualizado un servidor Linux, elige un servicio alojado y no le des más vueltas: una bóveda autoalojada y abandonada es más peligrosa que una nube comercial bien gestionada. Si optas por un servicio alojado, comprueba el país de constitución del operador y su puntuación EIU, busca un libro blanco de seguridad vigente y un informe de auditoría independiente de los últimos tres años, y confirma que admite passkeys y llaves de seguridad físicas, porque la autenticación resistente al phishing es hoy la mejora más importante que puedes hacer. Si eliges autoalojar Vaultwarden, contrata un proveedor con sede en una democracia plena, como Hetzner en Alemania o un equivalente nórdico, y mantén el centro de datos en esa misma jurisdicción. Sirve el servicio por HTTPS con certificado válido, desactiva el registro abierto una vez creadas tus cuentas, protege el panel de administración con un token largo o desactívalo, y programa copias de seguridad cifradas automáticas en una segunda ubicación. Suscríbete a los avisos de nuevas versiones del proyecto y actualiza en pocos días cuando haya un parche de seguridad. Sea cual sea tu elección, usa una contraseña maestra larga y única de al menos cinco palabras aleatorias, activa el doble factor en la propia bóveda y guarda una exportación cifrada de emergencia fuera de línea.
Conclusión: qué gestor de contraseñas debería elegir un consumidor democrático
Para la mayoría de particulares y familias en Europa, Dashlane es una elección democrática sólida: una empresa de raíz francesa con un modelo de seguridad transparente, sometida a dos democracias con tribunales independientes y reguladores de protección de datos activos, y que apenas exige esfuerzo técnico. Si buscas la máxima soberanía y tú, o alguien de confianza, puede mantener un servidor con rigor, Vaultwarden alojado en Alemania, Finlandia u otra democracia plena es la opción más sólida disponible: código abierto, jurisdicción local y ninguna dependencia de suscripciones. Las pequeñas empresas sujetas a NIS2 deben valorar con cuidado la trazabilidad: un proveedor comercial con certificaciones formales suele facilitar el cumplimiento, mientras que una instancia propia de Vaultwarden necesita procedimientos documentados para convencer a un auditor. Lo que recomendamos evitar, sin dudarlo, es cualquier gestor cuyo operador esté en un Estado autoritario o no pueda identificarse. Tu bóveda es la llave maestra de tu banco, tu correo y tu identidad. Elegir quién la custodia es una de las decisiones de compra digital más trascendentes del año, y merece el mismo escrutinio que dedicarías al origen de los alimentos que llegan a tu mesa.
