Cómo hemos puntuado los mejores gestores de contraseñas para empresas (metodología)
Para encontrar el mejor gestor de contraseñas para empresas, puntuamos cada herramienta de 0 a 10 en seis criterios ponderados, multiplicamos cada nota por su peso y sumamos los resultados para obtener un total sobre 100. Las notas se basan en la documentación oficial, los centros de confianza (trust centers) y las páginas de precios de cada fabricante, revisados el 8 de noviembre de 2026. Es una comparativa de documentación y precios, no una prueba de laboratorio práctica, y cada nota sigue las franjas que se indican abajo. Technova no revende ninguna de estas herramientas.
| # |
Criterio |
Peso |
10 significa |
5 significa |
0 significa |
| 1 |
Arquitectura de seguridad e historial |
25 |
Conocimiento cero, auditorías independientes recientes, programa público de bug bounty, ninguna brecha con datos de bóvedas |
Auditorías antiguas o limitadas |
Robo de datos de bóvedas de clientes y/o multa de un regulador |
| 2 |
Administración e integración de identidades |
20 |
SSO, SCIM o sincronización de directorio, políticas, registros de auditoría y SIEM en un plan por debajo del superior |
Ver franjas de administración abajo |
Sin administración centralizada |
| 3 |
Cumplimiento y soberanía de datos |
20 |
SOC 2 Tipo II, ISO 27001 y alojamiento en la UE verificados, más jurisdicción no estadounidense y autoalojamiento |
Soberanía sin una certificación verificada |
Nada verificable |
| 4 |
Precio y valor |
15 |
Plan más barato con SSO corporativo o SCIM para 25 puestos a 3 € o menos por usuario |
Unos 6 € por usuario |
10 € o más por usuario (nota 4) |
| 5 |
Usabilidad y adopción |
10 |
Apps nativas en todas las plataformas, buen autocompletado, passkeys, plan familiar gratuito para la plantilla |
Menos plataformas o interfaz técnica |
Difícil de desplegar |
| 6 |
Flexibilidad de despliegue y apertura |
10 |
Código abierto, autoalojamiento y una CLI o API oficial |
Propietario, solo con CLI o API oficial |
SaaS cerrado sin CLI, API ni autoalojamiento |
Franjas de administración. El «plan superior» es el más completo de esa línea de producto, incluido un Enterprise bajo consulta; los paquetes de suite (como Proton Workspace) y las variantes por volumen no cuentan como nivel aparte. 10: SSO corporativo, SCIM o sincronización de directorio, registros de auditoría e integración con SIEM documentados en un plan por debajo del superior. 9: SSO y SCIM (o sincronización de directorio) por debajo del superior, pero sin exportación a SIEM documentada en ese plan. 8: uno de los dos (SSO o SCIM) por debajo del superior y el otro solo en el superior. 7: SSO y SCIM (o sincronización de directorio) solo en el plan superior. 6: SSO solo en el plan superior, sin aprovisionamiento de directorio verificado en ese plan.
Franjas de precio. 10 (≤ 3 €), 9 (≤ 4 €), 8 (≤ 5 €), 7 (≤ 6 €), 6 (≤ 9 €) y 4 (≥ 10 €), tratando dólares y euros como equivalentes. Tomamos el plan más barato con SSO corporativo (Entra ID, Okta o SAML/OIDC genérico) o SCIM, para 25 puestos, porque es lo que una empresa compra en realidad. El SSO limitado a Google Workspace no cuenta, así que NordPass se puntúa con su plan Enterprise y no con Teams; un conector de directorio AD o LDAP sin SCIM ni SSO corporativo tampoco cuenta.
Franjas de cumplimiento. 9: SOC 2 Tipo II, ISO 27001 y alojamiento en la UE o en Suiza, todo documentado en las páginas del propio fabricante. 8: dos de los tres. 5: soberanía (fabricante europeo o autoalojamiento) sin certificación verificada. 3: solo una declaración de cumplimiento del RGPD. Ninguna herramienta llegó a 10.
Franjas de flexibilidad. 10: código abierto, autoalojamiento y una CLI o API oficial. 6: clientes de código abierto y una CLI o API oficial, pero sin autoalojamiento. 5: SaaS propietario con una CLI oficial o una API de uso general. 4: se ofrece autoalojamiento, pero sin CLI oficial ni API de uso general. 0: SaaS cerrado sin nada de lo anterior. SCIM y los conectores SIEM son integraciones, no una API general.
«Es en lo que cada plan incluye donde se descuadran los presupuestos de gestores de contraseñas», explica Alfons Marques, fundador de Technova Partners. «El precio de portada casi nunca incluye SSO ni SCIM, y esas dos funciones son justo las que va a pedir un auditor».
Los 8 mejores gestores de contraseñas para empresas en 2026, comparados
Bitwarden encabeza nuestra clasificación de 2026 con 87/100, por delante de 1Password (84,5), Passbolt (82) y Proton Pass Business (80,5). Keeper (78), Dashlane (76), Psono (75,5) y NordPass (74,5) completan los ocho primeros; de las once herramientas puntuadas, estas ocho han entrado en la lista.
| Herramienta |
Sede |
Plan más barato con SSO/SCIM |
Seguridad (25) |
Administración (20) |
Cumplimiento (20) |
Precio (15) |
Usabilidad (10) |
Flexibilidad (10) |
Total /100 |
| Bitwarden |
EE. UU. |
Teams 4 $ (SCIM), Enterprise 6 $ (SSO) |
9 |
8 |
9 |
9 |
7 |
10 |
87,0 |
| 1Password |
Canadá |
Business 8,99 $ |
9 |
10 |
9 |
6 |
10 |
5 |
84,5 |
| Passbolt |
Luxemburgo |
Pro 4,50 € |
8 |
9 |
8 |
8 |
6 |
10 |
82,0 |
| Proton Pass Business |
Suiza |
Professional 4,99 $ |
9 |
7 |
9 |
8 |
8 |
6 |
80,5 |
| Keeper |
EE. UU. |
Enterprise 6,00 $ |
9 |
7 |
9 |
7 |
8 |
5 |
78,0 |
| Dashlane |
EE. UU. / Francia |
Omnix 8 € |
8 |
9 |
8 |
6 |
8 |
5 |
76,0 |
| Psono |
Alemania |
Enterprise 2,50 € con 25 puestos (gratis hasta 10 usuarios) |
7 |
9 |
5 |
10 |
5 |
10 |
75,5 |
| NordPass |
Lituania |
Enterprise 5,39 € (plan de 2 años) |
8 |
7 |
8 |
7 |
9 |
5 |
74,5 |
Las notas por criterio van de 0 a 10; el peso de cada criterio figura entre paréntesis y el total es la suma ponderada (nota × peso ÷ 10). Seguridad = arquitectura de seguridad e historial; Administración = administración e integración de identidades; Cumplimiento = cumplimiento y soberanía de datos; Precio = precio y valor; Usabilidad = usabilidad y adopción; Flexibilidad = flexibilidad de despliegue y apertura. Precios por usuario y mes con facturación anual salvo que se indique lo contrario, a noviembre de 2026, sin IVA; la moneda varía según la región. Consulta la página enlazada del fabricante antes de comprar.
1. Bitwarden: el mejor gestor de contraseñas para empresas en conjunto (87/100)
Bitwarden es un gestor de contraseñas de código abierto que gana por el equilibrio entre evidencias de seguridad, aprovisionamiento y precio. Publica auditorías anuales de código fuente y pruebas de penetración, y declara estar «SOC2 Type II and SOC3 certified», certificado en ISO 27001 y en cumplimiento de HIPAA, con cobertura del RGPD mediante cláusulas contractuales tipo de la UE (cumplimiento de Bitwarden). Los datos se alojan en Microsoft Azure, en EE. UU. o en la UE.
SCIM y Directory Connector están disponibles tanto en Teams como en Enterprise (SCIM en Bitwarden), así que automatizar las bajas no exige el plan superior. El SSO y el autoalojamiento sí, y por eso Administración se queda en 8.
| Plan |
Precio (nov. 2026) |
Funciones clave |
| Teams |
4 $ por usuario/mes, facturación anual |
Colecciones compartidas, SCIM, Directory Connector |
| Enterprise |
6 $ por usuario/mes |
SSO, autoalojamiento, plan Families gratuito para todos los usuarios |
| Complemento Secrets Manager |
6 $ (Teams) / 12 $ (Enterprise) por usuario/mes |
Secretos de máquina para DevOps |
Fuente: precios de Bitwarden para empresas. Hay prueba gratuita para los planes de empresa.
Ideal para: la mayoría de pymes y empresas medianas, y cualquier equipo que quiera código abierto con la opción de autoalojar más adelante. Pega: la interfaz es funcional más que pulida, y el SSO cuesta lo que el plan Enterprise.
2. 1Password: la mejor experiencia de usuario para scale-ups (84,5/100)
1Password es el gestor de contraseñas comercial con mejor historial de adopción. Su modelo de doble clave combina la contraseña de la cuenta con una Secret Key de 128 bits, de modo que una copia robada del servidor no basta para atacar una bóveda. La compañía afirma estar «SOC 2 type 2 certified» (seguridad de 1Password), tiene las certificaciones ISO 27001:2022, 27017, 27018 y 27701, y mantiene lo que describe como «the industry's largest bug bounty» en HackerOne.
El plan Business, que está por debajo del nivel Enterprise bajo consulta comercial, incluye «Integrate with Okta, Entra ID, OneLogin, Duo, and more», aprovisionamiento automático de usuarios y grupos desde tu proveedor de identidad y «Stream events to SIEM tools like Splunk, Elastic, Sumo Logic, and Panther» (precios de 1Password para empresas). SSO, aprovisionamiento, eventos de auditoría y exportación a SIEM por debajo del plan superior le valen un 10 en Administración. Para compradores europeos, 1Password.eu mantiene los datos alojados en la Unión Europea y factura en euros (regiones de 1Password).
| Plan |
Precio (nov. 2026) |
Funciones clave |
| Teams Starter Pack |
2,49 $ por usuario/mes, facturación anual |
Mínimo 10 usuarios, máximo 20; plan Families gratuito por usuario |
| Business |
8,99 $ por usuario/mes, facturación anual |
SSO, aprovisionamiento automático, envío de eventos a SIEM, Watchtower, plan Families gratuito por usuario |
| Enterprise |
Bajo consulta |
Formación personalizada, Customer Success Manager dedicado |
Fuente: precios de 1Password para empresas. Prueba de 14 días sin tarjeta de crédito.
Ideal para: scale-ups y equipos de trabajadores del conocimiento en los que la adopción decide el éxito. Pega: el plan con SSO más caro entre los grandes, y sin autoalojamiento. Tiene CLI y API oficiales, pero el código es propietario, así que Flexibilidad se queda en 5.
3. Passbolt: el mejor para soberanía europea y equipos DevOps (82/100)
Passbolt es un gestor de contraseñas para equipos de código abierto (AGPLv3), desarrollado en Luxemburgo sobre OpenPGP. Es la opción más sólida para organizaciones que quieren que sus credenciales no salgan nunca de infraestructura bajo control europeo: puedes autoalojarlo, usar Passbolt Cloud en Bélgica y Alemania sobre Google Cloud o elegir Cloud Sovereign, alojado en un centro de datos privado soberano en Luxemburgo (precios de Passbolt Cloud).
Passbolt dispone de un informe SOC 2 Tipo II y de una auditoría de Cure53. Se describe como alineado con ISO 27001; no está certificado en ISO 27001, y por eso saca un 8 y no un 9 en cumplimiento. El plan Pro, por debajo del Enterprise a medida, añade sincronización LDAP, SSO y registros de auditoría; no encontramos exportación a SIEM documentada en Pro, así que Administración se queda en 9.
| Plan |
Precio (nov. 2026) |
Funciones clave |
| Community (autoalojado) |
Gratis, usuarios ilimitados |
Funciones básicas para compartir |
| Pro (autoalojado) |
4,50 € por usuario/mes, facturación anual, mínimo 10 usuarios |
LDAP, SSO (Microsoft, Google, OpenID), recuperación de cuentas, registros de auditoría |
| Cloud Business |
4,50 € anual o 5 € mensual, mínimo 10 usuarios |
Alojado en Bélgica y Alemania, prueba de 7 días |
| Cloud Sovereign |
7 € por usuario/mes, anual |
Centro de datos soberano en Luxemburgo |
Fuente: precios de Passbolt. Enterprise es a medida, con un SLA de 4 horas.
Ideal para: organismos públicos, equipos DevOps e ingeniería, y entidades sujetas a NIS2 con exigencias estrictas de soberanía. Pega: la experiencia basada en OpenPGP resulta más técnica para el personal no informático.
4. Proton Pass Business: el mejor para privacidad y jurisdicción suiza (80,5/100)
Proton Pass Business es de Proton AG, con sede en Ginebra y responsable de Proton Mail, y une la jurisdicción suiza con uno de los conjuntos de funciones de administración más completos por euro de esta lista. Los clientes son de código abierto y los ha auditado Cure53. Proton obtuvo la certificación ISO 27001 en mayo de 2024 y una atestación SOC 2 Tipo II de Schellman en julio de 2025 (SOC 2 de Proton); el informe SOC 2 cubre a la empresa en su conjunto.
El plan Professional incluye «SSO and SCIM», «detailed activity logs», «enterprise policies» y «SIEM integration», además de una CLI y un agente SSH. La página de precios no muestra ningún nivel de Pass por encima de Professional (Workspace Standard es un paquete de suite), así que, según nuestras franjas, SSO y SCIM están en el plan superior y Administración queda en 7; su bajo precio se premia en Precio (8 con 4,99 $). Clientes de código abierto y CLI, sin autoalojamiento, dan un 6 en Flexibilidad.
| Plan |
Precio (nov. 2026) |
Funciones clave |
| Pass Essentials |
1,99 $ por usuario/mes, anual |
Bóvedas compartidas, «passkey support on all devices», sin SSO ni SCIM |
| Pass Professional |
4,99 $ por usuario/mes, anual |
SSO, SCIM, registros de actividad, políticas, SIEM, CLI |
| Workspace Standard |
12,99 $ por usuario/mes |
Paquete con Mail, Drive, VPN y Pass |
Fuente: Proton Pass for Business. La página indica un mínimo de 3 usuarios.
Ideal para: empresas europeas y despachos de abogados, sanidad o asesoría que quieren una jurisdicción no estadounidense sin autoalojar y con presupuesto ajustado. Pega: la consola de administración es más joven que la de los líderes del mercado, y no hay autoalojamiento.
5. Keeper: el mejor para sectores regulados y administración pública (78/100)
Keeper Security es el fabricante con más certificaciones de esta lista. La empresa declara estar «SOC 2 Certified, ISO27001 Certified, FedRAMP High Authorized and StateRAMP Authorized» (seguridad de Keeper), tiene ISO 27017 y 27018 y asegura acumular más de 10 años de cumplimiento SOC 2. Aloja en varias regiones de AWS, incluida la UE, y en GovCloud para administraciones.
SSO/SAML, SCIM y AD/LDAP solo llegan con Enterprise, su plan superior publicado, y por eso Administración se queda en 7 pese a su RBAC y sus API. Esas API le valen un 5 en Flexibilidad; el gestor es propietario y no se puede autoalojar.
| Plan |
Precio (nov. 2026) |
Funciones clave |
| Business Starter |
2,00 $ por usuario/mes, facturación anual |
De 5 a 10 usuarios |
| Business |
4,00 $ por usuario/mes |
Carpetas compartidas por equipo, administración delegada, plan familiar gratuito |
| Enterprise |
6,00 $ por usuario/mes |
SCIM, AD/LDAP, SSO/SAML, RBAC, API |
Fuente: precios de Keeper para empresas. Prueba gratuita en todos los planes; el gestor de secretos, el acceso remoto y los informes avanzados son complementos de pago.
Ideal para: servicios financieros, sanidad y proveedores del sector público. Pega: SSO y SCIM solo en Enterprise, y sin autoalojamiento para el gestor de contraseñas.
6. Dashlane: el mejor para detectar riesgos en credenciales (76/100)
Dashlane, con sede en Nueva York y raíces en París, ha reorientado su oferta para empresas en torno a su plataforma Omnix. SSO y SCIM vienen en el plan de gestión de contraseñas, no reservados al Enterprise a medida, y un módulo aparte, Credential Protection, añade detección de riesgos y alertas de phishing. La integración con SIEM y SOAR figura en Credential Protection, no en el plan de contraseñas, así que Administración queda en 9. Dashlane publica un informe SOC 2 Tipo II anual (noviembre de 2024 a octubre de 2025) y tiene ISO/IEC 27001:2022, según su Trust Center; no encontramos una región en la UE documentada en sus páginas públicas, de ahí el 8 en cumplimiento. Su CLI oficial permite a los administradores gestionar miembros, extraer registros de auditoría e informes y ejecutar la sincronización con AD (CLI de Dashlane para empresas). Es propietario y no se puede autoalojar: Flexibilidad 5.
| Plan |
Precio (nov. 2026) |
Funciones clave |
| Omnix Password Management |
8 € + IVA por usuario/mes, facturación anual |
SSO, SCIM, prueba gratuita de 14 días |
| Credential Protection |
4 € + IVA por usuario/mes, solo vía comercial |
Detección de riesgos en credenciales, protección contra phishing |
| Enterprise |
A medida |
Despliegues de mayor tamaño |
Fuente: precios de Dashlane. El antiguo plan Standard para 10 puestos ya no aparece en la página oficial, aunque algunos sitios de terceros lo sigan citando.
Ideal para: equipos de seguridad que quieren gestión de contraseñas y alertas de riesgo en credenciales en un solo producto. Pega: uno de los precios por usuario más altos, y sin autoalojamiento.
7. Psono: el mejor gestor de contraseñas autoalojado y gratuito para equipos pequeños (75,5/100)
Psono es un gestor de contraseñas de código abierto y autoalojado de esaqa GmbH, con sede en Vorra (Alemania). Su edición de empresa es «Free for up to 10 users with complete feature set», con inicio de sesión único LDAP, SAML y OIDC, registros de auditoría, políticas y una pasarela SSH, RDP y VNC (precios de Psono). Por encima de 10 usuarios, Enterprise cuesta 2,50 € por usuario, que es lo que hemos tomado para una empresa de 25 puestos.
| Plan |
Precio (nov. 2026) |
Funciones clave |
| Community |
0 €, usuarios ilimitados |
Núcleo de código abierto |
| Edición de empresa gratuita |
0 €, hasta 10 usuarios |
Todas las funciones, incluidos SSO y registros de auditoría |
| Enterprise |
2,50 € por usuario/mes, facturación anual, mínimo 25 usuarios |
Soporte y SLA |
También existe una opción SaaS. Psono publica un Trust Center en trust.esaqa.com; no pudimos verificar un informe SOC 2 ni un certificado ISO 27001, así que saca un 5 en cumplimiento pese a la fuerte soberanía de datos cuando lo alojas tú mismo.
Ideal para: pymes técnicas y equipos de TI de menos de 10 personas capaces de mantener su propio servidor. Pega: fabricante más pequeño, sin certificación verificada, y la seguridad del despliegue depende de tu propio alojamiento.
8. NordPass Business: el despliegue más sencillo (74,5/100)
NordPass Business, de Nord Security (Vilna, Lituania), es el gestor de contraseñas que antes aprende a usar el personal no técnico. Cifra con XChaCha20, tiene ISO/IEC 27001:2022 (renovada en diciembre de 2025 sin no conformidades) y un informe SOC 2 Tipo 2 (SOC 2 de NordPass), además de una auditoría de Cure53 y una evaluación HIPAA. La prensa menciona un centro de datos en la UE, pero no lo encontramos documentado en las páginas de NordPass, así que saca un 8 en cumplimiento. SSO con Entra y Okta y aprovisionamiento solo están en Enterprise (Administración 7). Desde octubre de 2026 hay una CLI oficial en todos los planes Business y Personal, y sus acciones quedan en el Activity Log de administración (CLI de NordPass): Flexibilidad 5, con un servicio propietario y solo en la nube.
| Plan |
Precio (nov. 2026, plan de 2 años) |
Funciones clave |
| Teams |
1,79 € por usuario/mes |
Solo en paquete de 10 usuarios, SSO con Google Workspace |
| Business |
3,59 € por usuario/mes, mínimo 5 usuarios |
Monitorización de filtraciones, integración con Vanta |
| Enterprise |
5,39 € por usuario/mes |
SSO con Entra ID, MS ADFS y Okta; aprovisionamiento; Sentinel y Splunk |
Fuente: planes de NordPass para empresas, mostrados en euros. Los planes de un año y mensuales cuestan más. Prueba gratuita disponible.
Ideal para: empresas que necesitan una adopción rápida y monitorización de filtraciones con poco esfuerzo de TI. Pega: SaaS cerrado sin autoalojamiento.
Tres herramientas conocidas se quedaron fuera de los ocho primeros, cada una por un motivo distinto: Zoho Vault por cómo reparte funciones entre planes y por precio, RoboForm por un cumplimiento sin verificar y LastPass por su historial de brechas.
| Herramienta |
Seguridad (25) |
Administración (20) |
Cumplimiento (20) |
Precio (15) |
Usabilidad (10) |
Flexibilidad (10) |
Total /100 |
| Zoho Vault |
6 |
8 |
9 |
6 |
7 |
5 |
70,0 |
| RoboForm |
6 |
9 |
3 |
9 |
8 |
4 |
64,5 |
| LastPass |
0 |
10 |
8 |
6 |
8 |
5 |
58,0 |
Zoho Vault (70,0/100) tiene una buena cobertura de cumplimiento: Zoho afirma cumplir SOC 2 Tipo 2, tiene ISO/IEC 27001 para sus servicios en la nube, incluye Vault entre sus servicios SOC 2 + HIPAA y opera centros de datos en la UE en Ámsterdam y Dublín (cumplimiento de Zoho). AD/LDAP y Azure AD llegan con Professional (4,50 €, mínimo 5 usuarios), pero el inicio de sesión único, Okta/OneLogin y SIEM exigen Enterprise a 7,20 € por usuario (Standard, 0,90 €), su plan más completo; Flex es precio por volumen bajo consulta (precios de Zoho Vault). Eso supone un 8 en Administración, y el Precio se fija con Enterprise, porque un conector de directorio no cuenta como SSO ni SCIM. Professional y Enterprise incluyen una CLI: Flexibilidad 5.
RoboForm (64,5/100) ofrece una relación calidad-precio excelente, 3,33 $ por usuario con SSO, SCIM y políticas incluidos, pero solo encontramos una declaración sobre el RGPD, sin evidencias de SOC 2 ni de ISO 27001. El autoalojamiento se reserva a partir de 1.000 usuarios y no encontramos una CLI oficial ni una API pública de administración, de ahí el 4 en Flexibilidad.
LastPass (58,0/100) declara tener «ISO 27001, SOC2 Type II, SOC3, BSI C5» (seguridad de LastPass), pero su historial deja su nota de seguridad en 0. En agosto de 2022 unos atacantes comprometieron un entorno de desarrollo y, en diciembre de 2022, ya habían robado copias cifradas de las bóvedas de unos 30 millones de usuarios. En diciembre de 2025, la ICO británica multó a LastPass con 1,2 millones de libras por no aplicar medidas técnicas y de seguridad suficientemente robustas, en una brecha que afectó a hasta 1,6 millones de usuarios del Reino Unido (ICO; BleepingComputer). Desde entonces, TRM Labs ha vinculado más de 35 millones de dólares en robos de criptomonedas hasta 2025 con bóvedas descifradas a partir de esos datos (The Hacker News, diciembre de 2025). Por funciones quedaría mucho más arriba: Business (6,50 € por usuario, por debajo de Business Max a 10 €) incluye inicio de sesión federado, SCIM, directorio con Entra ID, Okta, Google Workspace y Active Directory, y SIEM con Splunk y Microsoft Sentinel (Administración 10); Teams (4,42 €) no incluye nada de eso (precios de LastPass). Su CLI oficial de código abierto (lastpass-cli) le da un 5 en Flexibilidad. Nada de eso compensa el historial de brechas.
KeePass y KeePassXC siguen siendo una referencia gratuita y sin conexión, pero un archivo de base de datos local no ofrece administración centralizada, aprovisionamiento ni registro de auditoría, así que no los hemos puntuado.
1Password vs Bitwarden para empresas: ¿cuál elegir?
Elige Bitwarden si lo que más te importa es el precio, el código abierto y el autoalojamiento; elige 1Password si priorizas la adopción por parte de la plantilla y el acabado. Ambos tienen SOC 2 Tipo II, ISO 27001 y opción de alojamiento en la UE, así que el cumplimiento por sí solo rara vez decide.
|
Bitwarden |
1Password |
| Plan con SSO |
Enterprise, 6 $ |
Business, 8,99 $ |
| Plan más barato con SCIM |
Teams, 4 $ |
Business, 8,99 $ |
| Alojamiento en la UE |
Región de Azure en la UE |
1Password.eu |
| Autoalojamiento |
Sí, en Enterprise |
No |
| Código fuente |
Abierto |
Propietario |
| Modelo de cifrado |
Conocimiento cero, contraseña maestra |
Conocimiento cero, contraseña más Secret Key |
| Plan familiar gratuito para la plantilla |
Sí, en Enterprise |
Sí, en Teams Starter Pack y Business |
| Exportación de eventos a SIEM |
No evaluada (Administración limitada a 8 por el SSO solo en Enterprise) |
Business, a Splunk, Elastic, Sumo Logic y Panther |
Para 25 personas con SSO, la diferencia es de 2,99 $ por usuario y mes, unos 897 $ al año. Los equipos técnicos se sienten cómodos con Bitwarden; los mixtos de ventas, finanzas y operaciones adoptan 1Password con menos formación.
«La mayoría de proyectos de gestores de contraseñas fracasan en las bajas, no en el cifrado», señala Alfons Marques. «Todos los fabricantes serios cifran bien. Lo que va a preguntar un auditor es cuánto tardó en perder el acceso a la bóveda compartida de finanzas una persona que se fue de la empresa, así que conecta SCIM a tu proveedor de identidad desde el primer día».
¿Cuál es el mejor gestor de contraseñas autoalojado para empresas?
El mejor gestor de contraseñas autoalojado para empresas es Bitwarden Enterprise si quieres un producto consolidado con SOC 2 e ISO 27001 detrás; Passbolt, si buscas una herramienta europea de código abierto con SSO desde 4,50 €, y Psono, si tienes menos de 10 usuarios y quieres funciones de empresa gratis.
El autoalojamiento te da control sobre dónde residen los datos, clave para organismos públicos, proveedores de defensa y empresas con cláusulas de soberanía. A cambio, los parches, las copias, la disponibilidad y la monitorización pasan a ser tuyos, y un auditor pedirá evidencias.
| Herramienta |
Licencia |
Autoalojamiento en |
SSO en autoalojado |
Certificaciones verificadas |
| Bitwarden |
Código abierto |
Enterprise, 6 $ |
Sí |
SOC 2 Tipo II, ISO 27001 |
| Passbolt |
AGPLv3 |
Community (gratis) y Pro, 4,50 € |
Pro |
SOC 2 Tipo II, solo alineado con ISO 27001 |
| Psono |
Código abierto |
Todas las ediciones, gratis hasta 10 usuarios |
Sí |
Ninguna verificada |
| RoboForm |
Propietario |
Solo a partir de 1.000 usuarios |
Sí |
Ninguna verificada |
Residencia de datos en la UE, RGPD y dónde vive tu bóveda
A efectos del RGPD, un gestor de contraseñas es un encargado del tratamiento de datos personales de la plantilla, así que necesitas un contrato de encargo (art. 28 del RGPD, que supervisa la AEPD) y una respuesta clara sobre la ubicación del alojamiento. El cifrado de conocimiento cero impide que el fabricante lea el contenido de la bóveda, pero los metadatos de la cuenta, los nombres, los correos y los registros siguen en sus servidores.
| Herramienta |
Alojamiento en la UE/EEE o en país con decisión de adecuación |
Jurisdicción del fabricante |
| Bitwarden |
Región de Azure en la UE, o autoalojado |
EE. UU. |
| 1Password |
1Password.eu |
Canadá |
| Proton Pass Business |
Suiza (decisión de adecuación de la UE) |
Suiza |
| Passbolt |
Nube en Bélgica/Alemania, nube soberana en Luxemburgo, o autoalojado |
Luxemburgo |
| Keeper |
Región de AWS en la UE |
EE. UU. |
| Psono |
Autoalojado donde quieras |
Alemania |
| Dashlane |
No documentado en sus páginas públicas |
EE. UU. / Francia |
| NordPass |
Opción de centro de datos en la UE (según la prensa) |
Lituania |
Suiza no forma parte de la UE, pero cuenta con una decisión de adecuación, así que las transferencias a Proton no requieren garantías adicionales según el RGPD. Si la jurisdicción estadounidense preocupa en tu sector, Proton, Passbolt y Psono la eliminan a nivel de fabricante; Bitwarden la elimina a nivel de infraestructura cuando autoalojas, y documenta las cláusulas contractuales tipo de la UE y el Marco de Privacidad de Datos UE-EE. UU.
Cómo ayuda un gestor de contraseñas con NIS2, ISO 27001 y el ENS
Un gestor de contraseñas para empresas es una de las formas más baratas de aportar evidencias de los requisitos de control de acceso de NIS2 e ISO 27001. El artículo 21, apartado 2, letra i), de NIS2 exige «la seguridad de los recursos humanos, las políticas de control de acceso y la gestión de activos», y la letra j) exige «el uso de soluciones de autenticación multifactorial o de autenticación continua, ...» cuando proceda (Directiva (UE) 2022/2555).
| Requisito |
Qué aporta el gestor de contraseñas |
| NIS2 art. 21.2.i), políticas de control de acceso |
Bóvedas compartidas por rol, bajas mediante SCIM, políticas de administración |
| NIS2 art. 21.2.j), MFA |
MFA obligatoria en la bóveda, SSO con tu proveedor de identidad, passkeys |
| ISO 27001:2022 A.5.15 Control de acceso |
Permisos por rol sobre bóvedas y colecciones |
| ISO 27001:2022 A.5.17 Información de autenticación |
Contraseñas únicas generadas, uso compartido seguro, rotación |
| ISO 27001:2022 A.5.18 Derechos de acceso |
Altas y bajas mediante SCIM o sincronización de directorio |
| ISO 27001:2022 A.8.5 Autenticación segura |
Imposición de SSO, MFA y passkeys |
| ISO 27001:2022 A.8.15 Registro de eventos |
Registros de auditoría exportados a un SIEM |
Si trabajas para el sector público español, el Esquema Nacional de Seguridad (Real Decreto 311/2022) pide lo mismo en sus medidas de control de acceso op.acc, en especial op.acc.6 sobre mecanismos de autenticación para usuarios de la organización, así que las mismas evidencias sirven para las dos auditorías.
Si estás delimitando el alcance de NIS2 o preparando una certificación, nuestros servicios de cumplimiento de NIS2 e implantación de ISO 27001 incluyen el gestor de contraseñas en el paquete de evidencias de controles.
¿Qué gestor de contraseñas para empresas encaja con tu compañía?
Elige por perfil de empresa, no por precio de portada. La matriz siguiente refleja nuestras notas y lo que incluye cada plan.
| Perfil de empresa |
Primera opción |
Alternativa |
| Pyme de 10 a 50 personas, con Microsoft 365 o Google Workspace |
Bitwarden Teams |
Proton Pass Professional |
| Scale-up con equipos mixtos no técnicos |
1Password Business |
Dashlane |
| Sector regulado (finanzas, sanidad, proveedor del sector público) |
Keeper Enterprise |
1Password Business |
| Requisito de soberanía europea o entidad esencial según NIS2 |
Passbolt (nube soberana o autoalojado) |
Proton Pass Professional |
| Despacho profesional centrado en la privacidad |
Proton Pass Professional |
Bitwarden Enterprise (UE) |
| Menos de 10 usuarios, con TI propia |
Edición de empresa gratuita de Psono |
Bitwarden Teams |
| Actualmente en LastPass |
Migrar a Bitwarden o 1Password |
Proton Pass Professional |
Un gestor de contraseñas es una capa de un programa más amplio: nuestra guía de ciberseguridad empresarial cubre el resto, nuestra guía de ciberseguridad para pymes fija prioridades para equipos más pequeños, nuestra guía de seguridad de redes empresariales explica cómo segmentar los servidores en los que corre una bóveda autoalojada, y nuestros servicios de ciberseguridad pueden ayudarte a elegirlo y desplegarlo.
Preguntas frecuentes sobre gestores de contraseñas para empresas
¿Cuál es el mejor gestor de contraseñas para empresas en 2026?
Bitwarden obtuvo la nota más alta en nuestra comparativa de noviembre de 2026, 87/100, gracias a su código abierto, SOC 2 Tipo II e ISO 27001, alojamiento en la UE o autoalojamiento, y SCIM desde 4 $ por usuario. 1Password (84,5) es la mejor opción por experiencia de usuario; Passbolt (82), por soberanía europea, y Proton Pass Business (80,5), por privacidad bajo jurisdicción suiza.
¿Cuánto cuesta un gestor de contraseñas para empresas por usuario?
Cuenta con entre 1 y 10 $ por usuario y mes, con facturación anual (precios a noviembre de 2026, sin IVA). Los planes de entrada empiezan en 0,90 € (Zoho Vault Standard), 1,99 $ (Proton Essentials) o 2,00 $ (Keeper Starter), pero el SSO suele costar más: 4,99 $ en Proton, 6 $ en Bitwarden y Keeper, 8,99 $ en 1Password y hasta 10 € en LastPass Business Max. Psono y Passbolt Community son gratis si los autoalojas.
¿Qué gestores de contraseñas para empresas incluyen SSO y SCIM en un plan de precio medio?
Proton Pass Professional (4,99 $) incluye SSO, SCIM, registros de actividad e integración con SIEM, aunque es el plan superior de Pass. 1Password Business (8,99 $) añade SSO, aprovisionamiento y envío de eventos a SIEM por debajo de su nivel Enterprise, y Dashlane Omnix (8 €) incluye SSO y SCIM. Bitwarden pone SCIM en Teams (4 $) y SSO en Enterprise (6 $), mientras que Keeper y NordPass reservan ambos a Enterprise.
¿Qué diferencia hay entre un gestor de contraseñas para empresas y uno corporativo (enterprise)?
Un plan de empresa cubre bóvedas compartidas, políticas básicas y administración para equipos pequeños. Un plan enterprise añade SSO corporativo, SCIM o sincronización de directorio, exportación de registros de auditoría a un SIEM, control de acceso basado en roles y, a veces, autoalojamiento. Muchos fabricantes reservan el SSO al nivel enterprise, así que compara planes, no marcas.
¿Los gestores de contraseñas para empresas admiten passkeys?
Cada vez más, sí, pero confírmalo en la documentación de cada fabricante. Proton anuncia «passkey support on all devices» en su plan Pass Essentials de 1,99 $ (proton.me/business/pass), y el plan gratuito de Zoho Vault cubre «unlimited passwords, passkeys and storage» (zoho.com/vault/pricing). Con un 87 % de empresas encuestadas en EE. UU. y Reino Unido desplegando passkeys (FIDO Alliance, encuesta de 2024), comprueba que tu bóveda las sincroniza en todas las plataformas que usa la plantilla.
¿Es más seguro un gestor de contraseñas autoalojado que uno en la nube?
No necesariamente. El autoalojamiento te da control sobre la ubicación de los datos, pero asumes los parches, las copias de seguridad, la disponibilidad y la monitorización. Una bóveda SaaS certificada con cifrado de conocimiento cero suele ser más segura que un servidor autoalojado que nadie mantiene. Autoaloja solo si la soberanía lo exige y con personal para mantenerlo.
¿Sigue siendo seguro LastPass para uso empresarial?
LastPass perdió copias cifradas de las bóvedas de unos 30 millones de usuarios en 2022, y la ICO británica lo multó con 1,2 millones de libras en diciembre de 2025. TRM Labs ha vinculado más de 35 millones de dólares en robos de criptomonedas hasta 2025 con bóvedas descifradas a partir de esos datos (The Hacker News, 2025). Lo situamos último de las once herramientas puntuadas y recomendamos migrar y rotar las credenciales críticas.
¿Ayudan los gestores de contraseñas a cumplir NIS2?
Sí. El artículo 21.2, letras i) y j), de NIS2 exige políticas de control de acceso y autenticación multifactor. Un gestor de contraseñas para empresas con SSO, MFA obligatoria, bajas mediante SCIM y registros de auditoría aporta evidencias directas de ambas, y además encaja con los controles 5.15, 5.17, 5.18, 8.5 y 8.15 de ISO 27001:2022 y con las medidas op.acc del ENS.
¿Necesitas ayuda para elegir, migrar o documentar un gestor de contraseñas para NIS2, ISO 27001 o el ENS? Habla con nosotros y lo vinculamos a tus controles.
