Saltar al contenido
Vaultless Pass

Gratis · Sin bóveda · Sin nube

El gestor de contraseñas sin base de datos que filtrar.

Vaultless Pass calcula cada contraseña al instante, a partir de tu contraseña maestra y de la dirección real del sitio. No se guarda nada, no se envía nada: no existe una bóveda que violar.

Chrome Web StorePróximamente Ver la demostración
  • Cero conexiones de red
  • Sin cuenta y sin sincronización
  • PBKDF2 con 600.000 iteraciones

La misma contraseña maestra, dos direcciones

Contraseña maestra (pública, solo de esta demostración) correct horse battery staple

Sitio verdadero

Contraseña generada para

••••••••••••••••

Es tu contraseña de verdad.

Sitio falso

Contraseña generada para

••••••••••••••••

Otra contraseña, completamente distinta. El sitio falso no recibe la tuya.

Calculado con el mismo código de la extensión. Nunca escribas tu contraseña maestra real en una página web, tampoco en esta.

El problema

Toda bóveda es un blanco.

Los gestores tradicionales guardan tus contraseñas en un solo lugar. Es cómodo, y es justo lo que busca un atacante.

Las bóvedas se vuelven blancos

Todas tus contraseñas están en un servidor o archivo. Si se filtra, o si se descubre la llave de la bóveda, la pérdida es total y de golpe.

Las direcciones parecidas engañan

paypa1.com en lugar de paypal.com engaña a las personas y, a veces, hasta a herramientas mal configuradas. La contraseña verdadera acaba en manos del estafador.

Una contraseña repetida lo abre todo

Memorizar una contraseña fuerte para cada sitio es imposible. Por eso casi todo el mundo las repite, y una contraseña filtrada empieza a abrir varias cuentas.

Cómo funciona

En lugar de guardar la contraseña, calcular la contraseña.

Tres pasos, todos dentro de tu navegador. La misma entrada, la misma contraseña, en cualquier computador.

  1. Escribes la contraseña maestra

    Entra solo en el cálculo y se borra del campo justo después. Nunca llega al disco, a la memoria persistente ni a la red.

  2. La extensión lee la dirección real

    Quien informa el sitio es el propio navegador, no la página. Vale el dominio principal (login.microsoftonline.com pasa a ser microsoftonline.com), según la lista pública de sufijos.

  3. La matemática devuelve la contraseña

    PBKDF2 con SHA-256 y HKDF, hechos por el propio Chrome. ¿Cambiaste una letra de la dirección, como paypa1.com o g1thub.com? Sale otra contraseña. El navegador además pasa las direcciones a minúsculas, y el cálculo usa lo que él informa.

contraseña maestra + sitio real + versión → contraseña fuerte

Juega con la dirección

Cambia una letra y mira cómo cambia toda la contraseña. Es un cálculo en vivo, en tu navegador, con la contraseña maestra pública de la demostración.

Contraseña generada ••••••••••••••••

Por dentro

Pequeña por fuera, cuidadosa por dentro.

El dominio de verdad

Usa el dominio registrable con la lista pública de sufijos (github.io no comparte contraseña con sus vecinos) y avisa cuando la dirección mezcla letras de otros alfabetos.

Sello de la contraseña maestra

Tres figuras que aparecen mientras escribes. Si cambian, escribiste algo distinto de lo habitual: el error se ve antes de convertirse en una recuperación de cuenta.

Reglas por sitio

Solo números, máximo 12 caracteres, sin símbolos, caracteres prohibidos. Y una versión para cambiar la contraseña cuando el sitio lo pida o se filtre.

Borra lo que copió

Copia la contraseña y la borra del portapapeles a los 30 segundos (o 1, 2 o 5 minutos). La pantalla también la olvida.

Mide la contraseña maestra

Avisa cuando es débil y sugiere una frase larga. Solo avisa: nunca bloquea ni decide por ti.

Copia de seguridad sin contraseñas

Lleva las reglas de los sitios a otro computador en un archivo. No contiene ninguna contraseña, solo las reglas.

Claro, oscuro y 3 idiomas

Portugués, inglés y español, que se cambian en los ajustes, y un tema que sigue al sistema. Atajo Alt+Shift+P.

Interfaz sin bibliotecas

HTML, CSS y JavaScript puros, dos pantallas y ninguna dependencia de terceros en la interfaz. Menos código que auditar.

Comparación honesta

¿Bóveda o cálculo?

No existe la elección perfecta. Esto es lo que entrega cada enfoque, incluso lo que Vaultless Pass hace peor.

¿Bóveda o cálculo?
CriterioGestor con bóvedaVaultless Pass
Dónde están las contraseñas En una bóveda, en la nube o en un archivo, cifrada
En ningún lugar: se calculan al instante
Si violan el servidor La bóveda cifrada puede filtrarse
No hay servidor ni bóveda que filtrar
Dirección falsa (phishing) Depende de la configuración
Genera otra contraseña: el sitio falso no recibe la tuya
Conexión a internet Habla con el servidor del proveedor
Ninguna: Chrome la bloquea por regla
Computador nuevo Iniciar sesión y sincronizar
Instalar y escribir la contraseña maestra (las reglas van en un archivo)
Rellenar el inicio de sesión solo Sí
No: solo copia, para pedir menos permisos
Olvidé la contraseña maestra Algunos ofrecen opciones de recuperación
No hay forma de recuperarla
Códigos de dos pasos (2FA) Algunos guardan y generan los códigos
No los genera: usa un autenticador aparte, a propósito
Traer las contraseñas que ya tengo Importa desde otro gestor
No importa: cambias la contraseña de cada sitio, poco a poco

Vaultless Pass cambia comodidad por menos superficie de ataque. Si necesitas autorrelleno y recuperación, un gestor con bóveda puede servirte mejor.

Seguridad y transparencia

No confíes. Comprueba.

Cada promesa de abajo tiene una prueba que la demuestra. En un gestor de contraseñas, “créeme” no basta.

Cero red, garantizado por Chrome

La política de seguridad de la extensión prohíbe cualquier conexión. En una prueba en Chrome real, un servidor local al acecho recibió 0 accesos.

Permisos mínimos

Pestaña activa (leer la dirección solo cuando haces clic), almacenamiento (las reglas), portapapeles, alarmas y página en segundo plano (copiar y borrar). Ningún permiso de sitio.

Algoritmo congelado y verificado

13 contraseñas de referencia y una segunda implementación, independiente, en Python: las dos llegan a las mismas contraseñas, byte a byte.

Código abierto, hecho para auditar

El código será público en el lanzamiento: pocos archivos, sin bibliotecas de terceros, para que la comunidad compruebe la función que genera las contraseñas.

content_security_policy.extension_pages:
  default-src 'none'; script-src 'self'; connect-src 'none'

Lo que no hace

Una herramienta de seguridad tiene que decir sus propios límites.

  • Si olvidas la contraseña maestra, no hay forma de recuperarla: no existe una bóveda ni un correo de recuperación.
  • La contraseña maestra es tu única defensa. Si un sitio guarda tu contraseña en texto plano y se filtra, alguien puede intentar adivinar la maestra en su propio computador. Por eso cada intento sale caro y se recomienda una frase larga.
  • Solo copia la contraseña, no rellena el campo. En Windows, el historial del portapapeles (Windows + V) puede guardar una copia.
  • No genera códigos de verificación en dos pasos (2FA). Ese código sale de una clave que elige el propio sitio y que no se puede calcular: usa una app autenticadora o una llave de seguridad, por separado, para que los dos factores sigan siendo independientes.
  • No importa las contraseñas de otro gestor: cambias la contraseña de cada sitio por la que él calcula, poco a poco, y borras la bóveda antigua solo cuando termines.
  • Probado en Chrome, en Windows. Otros navegadores y sistemas aún no se han probado.

Preguntas frecuentes

Lo que más preguntan

¿Y si olvido la contraseña maestra?

No hay forma de recuperarla, porque no existe una bóveda ni un correo de recuperación. Es el precio de no tener nada que filtrar. Elige una frase larga que puedas recordar, como cuatro palabras sin relación entre sí.

El sitio me pidió cambiar la contraseña. ¿Y ahora?

Sube la versión de la contraseña en las reglas del sitio. La misma contraseña maestra, la misma dirección, versión 2: sale una contraseña nueva. La versión se guarda en tu navegador, nunca la contraseña.

¿Cómo la uso en otro computador?

Instala la extensión y escribe la contraseña maestra: tus contraseñas vuelven solas. Las reglas personalizadas (longitud, versión) viajan en un archivo que guardas en los ajustes y abres en el otro computador.

¿Y las contraseñas que ya tengo en otro gestor?

Vaultless Pass no importa contraseñas: solo calcula las nuevas. El camino es cambiar la contraseña de cada sitio por la que él genera, poco a poco, empezando por el correo y el banco, porque quien entra en tu correo puede restablecer las demás contraseñas. Cada cambio deja sin valor la contraseña antigua, la que está en la bóveda vieja. Borra la bóveda antigua solo cuando hayas cambiado todo y pasado a otro lugar los códigos de dos pasos, las tarjetas y las notas: guarda cosas que Vaultless Pass no guarda.

¿Puedo guardar la contraseña maestra en algún lugar?

Mejor no. Una maestra apuntada en un archivo, en una app de notas o en el navegador deshace la idea: quien encuentre ese lugar se lleva todas las contraseñas, y eso es justo lo que Vaultless Pass quiere evitar. Es para que viva solo en tu cabeza. Elige una frase que recuerdes, escríbela todos los días las primeras semanas y compruébala con el sello de tres figuras, que es siempre el mismo para la misma maestra. Como nada puede recuperarla, cambia las contraseñas de los sitios solo cuando estés seguro de saberla de memoria. Lo que importa es la maestra: las reglas de cada sitio (longitud, versión) no son secretas y viajan en el archivo de copia de seguridad.

¿Funciona con los códigos de dos pasos (2FA)?

Convive con ellos, pero no los genera. El código de dos pasos sale de una clave que elige el propio sitio, así que no se puede calcular como las contraseñas, y guardarla aquí sería construir una bóveda. Además, todo estaría en un solo lugar: quien descubriera la maestra se llevaría los dos factores. Usa una app autenticadora o una llave de seguridad, por separado, y el segundo factor sigue siendo otra cosa.

¿En qué navegadores funciona?

En Chrome. Los navegadores basados en Chromium, como Edge, deberían funcionar, pero aún no se han probado.

¿Por qué no usar Argon2?

Argon2 exigiría WebAssembly y aflojar la política de seguridad de la extensión. PBKDF2 es nativo del navegador y está en 600.000 iteraciones. Argon2 puede ser una versión futura sin tocar las contraseñas actuales.

¿Es gratis de verdad?

Sí. Sin cuenta, sin anuncios y sin recopilación de datos. Si te ayuda, una contribución voluntaria es muy bienvenida, y puedes hacerla por Buy Me a Coffee.

Gratis, y hecho con cuidado.

Vaultless Pass es gratis y no tiene anuncios, cuenta ni recopilación de datos. Si te ayudó a proteger tus cuentas, una contribución es muy bienvenida y ayuda a mantener vivo el proyecto.

Apoyar en Buy Me a Coffee Contribución voluntaria. No cambia nada en el uso de la extensión.

Deja de guardar contraseñas. Calcúlalas.

La extensión aún no está en la Chrome Web Store. Mientras tanto, mira la demostración y comprueba las pruebas.

Chrome Web StorePróximamente Ver la demostración