Sitio verdadero
Contraseña generada para
Es tu contraseña de verdad.
Gratis · Sin bóveda · Sin nube
Vaultless Pass calcula cada contraseña al instante, a partir de tu contraseña maestra y de la dirección real del sitio. No se guarda nada, no se envía nada: no existe una bóveda que violar.
correct horse battery staple
Sitio verdadero
Contraseña generada para
Es tu contraseña de verdad.
Sitio falso
Contraseña generada para
Otra contraseña, completamente distinta. El sitio falso no recibe la tuya.
Calculado con el mismo código de la extensión. Nunca escribas tu contraseña maestra real en una página web, tampoco en esta.
El problema
Los gestores tradicionales guardan tus contraseñas en un solo lugar. Es cómodo, y es justo lo que busca un atacante.
Todas tus contraseñas están en un servidor o archivo. Si se filtra, o si se descubre la llave de la bóveda, la pérdida es total y de golpe.
paypa1.com en lugar de paypal.com engaña a las personas y, a veces, hasta a herramientas mal configuradas. La contraseña verdadera acaba en manos del estafador.
Memorizar una contraseña fuerte para cada sitio es imposible. Por eso casi todo el mundo las repite, y una contraseña filtrada empieza a abrir varias cuentas.
Cómo funciona
Tres pasos, todos dentro de tu navegador. La misma entrada, la misma contraseña, en cualquier computador.
Entra solo en el cálculo y se borra del campo justo después. Nunca llega al disco, a la memoria persistente ni a la red.
Quien informa el sitio es el propio navegador, no la página. Vale el dominio principal (login.microsoftonline.com pasa a ser microsoftonline.com), según la lista pública de sufijos.
PBKDF2 con SHA-256 y HKDF, hechos por el propio Chrome. ¿Cambiaste una letra de la dirección, como paypa1.com o g1thub.com? Sale otra contraseña. El navegador además pasa las direcciones a minúsculas, y el cálculo usa lo que él informa.
contraseña maestra + sitio real + versión → contraseña fuerte
Cambia una letra y mira cómo cambia toda la contraseña. Es un cálculo en vivo, en tu navegador, con la contraseña maestra pública de la demostración.
Por dentro
Usa el dominio registrable con la lista pública de sufijos (github.io no comparte contraseña con sus vecinos) y avisa cuando la dirección mezcla letras de otros alfabetos.
Tres figuras que aparecen mientras escribes. Si cambian, escribiste algo distinto de lo habitual: el error se ve antes de convertirse en una recuperación de cuenta.
Solo números, máximo 12 caracteres, sin símbolos, caracteres prohibidos. Y una versión para cambiar la contraseña cuando el sitio lo pida o se filtre.
Copia la contraseña y la borra del portapapeles a los 30 segundos (o 1, 2 o 5 minutos). La pantalla también la olvida.
Avisa cuando es débil y sugiere una frase larga. Solo avisa: nunca bloquea ni decide por ti.
Lleva las reglas de los sitios a otro computador en un archivo. No contiene ninguna contraseña, solo las reglas.
Portugués, inglés y español, que se cambian en los ajustes, y un tema que sigue al sistema. Atajo Alt+Shift+P.
HTML, CSS y JavaScript puros, dos pantallas y ninguna dependencia de terceros en la interfaz. Menos código que auditar.
Comparación honesta
No existe la elección perfecta. Esto es lo que entrega cada enfoque, incluso lo que Vaultless Pass hace peor.
| Criterio | Gestor con bóveda | Vaultless Pass |
|---|---|---|
| Dónde están las contraseñas | En una bóveda, en la nube o en un archivo, cifrada | En ningún lugar: se calculan al instante |
| Si violan el servidor | La bóveda cifrada puede filtrarse | No hay servidor ni bóveda que filtrar |
| Dirección falsa (phishing) | Depende de la configuración | Genera otra contraseña: el sitio falso no recibe la tuya |
| Conexión a internet | Habla con el servidor del proveedor | Ninguna: Chrome la bloquea por regla |
| Computador nuevo | Iniciar sesión y sincronizar | Instalar y escribir la contraseña maestra (las reglas van en un archivo) |
| Rellenar el inicio de sesión solo | Sí | No: solo copia, para pedir menos permisos |
| Olvidé la contraseña maestra | Algunos ofrecen opciones de recuperación | No hay forma de recuperarla |
| Códigos de dos pasos (2FA) | Algunos guardan y generan los códigos | No los genera: usa un autenticador aparte, a propósito |
| Traer las contraseñas que ya tengo | Importa desde otro gestor | No importa: cambias la contraseña de cada sitio, poco a poco |
Vaultless Pass cambia comodidad por menos superficie de ataque. Si necesitas autorrelleno y recuperación, un gestor con bóveda puede servirte mejor.
Seguridad y transparencia
Cada promesa de abajo tiene una prueba que la demuestra. En un gestor de contraseñas, “créeme” no basta.
La política de seguridad de la extensión prohíbe cualquier conexión. En una prueba en Chrome real, un servidor local al acecho recibió 0 accesos.
Pestaña activa (leer la dirección solo cuando haces clic), almacenamiento (las reglas), portapapeles, alarmas y página en segundo plano (copiar y borrar). Ningún permiso de sitio.
13 contraseñas de referencia y una segunda implementación, independiente, en Python: las dos llegan a las mismas contraseñas, byte a byte.
El código será público en el lanzamiento: pocos archivos, sin bibliotecas de terceros, para que la comunidad compruebe la función que genera las contraseñas.
content_security_policy.extension_pages:
default-src 'none'; script-src 'self'; connect-src 'none'
Una herramienta de seguridad tiene que decir sus propios límites.
Preguntas frecuentes
No hay forma de recuperarla, porque no existe una bóveda ni un correo de recuperación. Es el precio de no tener nada que filtrar. Elige una frase larga que puedas recordar, como cuatro palabras sin relación entre sí.
Sube la versión de la contraseña en las reglas del sitio. La misma contraseña maestra, la misma dirección, versión 2: sale una contraseña nueva. La versión se guarda en tu navegador, nunca la contraseña.
Instala la extensión y escribe la contraseña maestra: tus contraseñas vuelven solas. Las reglas personalizadas (longitud, versión) viajan en un archivo que guardas en los ajustes y abres en el otro computador.
Vaultless Pass no importa contraseñas: solo calcula las nuevas. El camino es cambiar la contraseña de cada sitio por la que él genera, poco a poco, empezando por el correo y el banco, porque quien entra en tu correo puede restablecer las demás contraseñas. Cada cambio deja sin valor la contraseña antigua, la que está en la bóveda vieja. Borra la bóveda antigua solo cuando hayas cambiado todo y pasado a otro lugar los códigos de dos pasos, las tarjetas y las notas: guarda cosas que Vaultless Pass no guarda.
Mejor no. Una maestra apuntada en un archivo, en una app de notas o en el navegador deshace la idea: quien encuentre ese lugar se lleva todas las contraseñas, y eso es justo lo que Vaultless Pass quiere evitar. Es para que viva solo en tu cabeza. Elige una frase que recuerdes, escríbela todos los días las primeras semanas y compruébala con el sello de tres figuras, que es siempre el mismo para la misma maestra. Como nada puede recuperarla, cambia las contraseñas de los sitios solo cuando estés seguro de saberla de memoria. Lo que importa es la maestra: las reglas de cada sitio (longitud, versión) no son secretas y viajan en el archivo de copia de seguridad.
Convive con ellos, pero no los genera. El código de dos pasos sale de una clave que elige el propio sitio, así que no se puede calcular como las contraseñas, y guardarla aquí sería construir una bóveda. Además, todo estaría en un solo lugar: quien descubriera la maestra se llevaría los dos factores. Usa una app autenticadora o una llave de seguridad, por separado, y el segundo factor sigue siendo otra cosa.
En Chrome. Los navegadores basados en Chromium, como Edge, deberían funcionar, pero aún no se han probado.
Argon2 exigiría WebAssembly y aflojar la política de seguridad de la extensión. PBKDF2 es nativo del navegador y está en 600.000 iteraciones. Argon2 puede ser una versión futura sin tocar las contraseñas actuales.
Sí. Sin cuenta, sin anuncios y sin recopilación de datos. Si te ayuda, una contribución voluntaria es muy bienvenida, y puedes hacerla por Buy Me a Coffee.
Vaultless Pass es gratis y no tiene anuncios, cuenta ni recopilación de datos. Si te ayudó a proteger tus cuentas, una contribución es muy bienvenida y ayuda a mantener vivo el proyecto.
Apoyar en Buy Me a Coffee Contribución voluntaria. No cambia nada en el uso de la extensión.
La extensión aún no está en la Chrome Web Store. Mientras tanto, mira la demostración y comprueba las pruebas.