Cambiar de gestor de contraseñas suele generar dudas, sobre todo cuando el destino es un servidor que vamos a mantener nosotros mismos. Vaultwarden, la implementación abierta y escrita en Rust de la API de Bitwarden, permite dar ese salto sin renunciar a las extensiones y aplicaciones que ya conocemos. Os explicamos qué necesitáis antes de empezar, cómo exportar la bóveda de 1Password sin arriesgar vuestras credenciales y qué tareas de mantenimiento asumiréis en cuanto el servidor esté en marcha.
Vaultwarden no sustituye a Bitwarden: lo complementa. El servidor lo alojamos y actualizamos nosotros, pero seguimos usando los clientes oficiales de Bitwarden en el navegador, el móvil y el escritorio, así que la experiencia de inicio de sesión, autocompletado y sincronización apenas cambia. La propia documentación de Vaultwarden lo describe como una implementación casi completa de la API de clientes de Bitwarden, y en el uso diario esa distinción pasa desapercibida. Lo que sí cambia por completo es quién responde por cada pieza de la infraestructura: antes, 1Password corría con el servidor, las actualizaciones y las copias de seguridad; ahora esas tres responsabilidades pasan a nuestras manos, junto con la disponibilidad del propio servicio.
Antes de entrar en el proceso completo, así queda organizado lo que vamos a repasar en esta guía:
- Qué necesitáis antes de mover la bóveda
- Cómo exportar la bóveda de 1Password sin dejar rastro
- Qué se conserva y qué se pierde al importar en Vaultwarden
- Las tareas que antes hacía 1Password y ahora hacéis vosotros
Qué necesitáis antes de mover la bóveda
Antes de tocar la bóveda de 1Password conviene tener lista la infraestructura que va a alojar Vaultwarden. Vaultwarden está pensado para ser ligero, así que en la mayoría de los casos no hace falta una máquina especialmente potente para alojarlo, ya sea un servidor casero o una máquina virtual privada de bajo coste. Quienes ya administran en casa otros servicios, como un NAS o un servidor multimedia, suelen encontrar que sumar Vaultwarden no añade una carga de trabajo desproporcionada, porque las tareas de mantenimiento son parecidas a las que ya gestionan.
La forma más práctica de desplegarlo es con Docker, que además facilita las actualizaciones cuando sale una nueva versión del contenedor. El otro punto que no conviene dejar para después es el acceso: como el servidor va a guardar todas las credenciales, no debería quedar expuesto directamente a internet. Configurar una VPN para llegar al panel de administración, o levantar un proxy inverso con certificados TLS válidos, reduce bastante la superficie de ataque y mantiene la página de inicio de sesión fuera del alcance de cualquiera que escanee puertos abiertos.
Cómo exportar la bóveda de 1Password sin dejar rastro
La exportación es el paso más delicado de toda la migración, porque el archivo que genera 1Password contiene las contraseñas en texto plano. Desde la aplicación de escritorio se accede a las opciones de exportación, se elige el formato disponible y se completan los controles de seguridad que la propia aplicación solicita antes de generar el archivo, un paso pensado para confirmar que quien exporta es realmente el titular de la cuenta.
Para minimizar el riesgo, lo más razonable es hacer esa exportación en un ordenador desconectado de cualquier red, transferir el archivo al servidor por un medio seguro y borrarlo de ambos equipos en cuanto la importación haya terminado. Ese archivo sin cifrar solo debería existir el tiempo mínimo imprescindible: cuanto antes desaparezca, menor es la ventana en la que alguien podría acceder a él. En este archivo suele viajar más de lo que recordamos, incluidas licencias de software antiguas que llevábamos años sin abrir. Comprobar que ese archivo temporal no queda copiado en la papelera de reciclaje ni en ningún servicio de sincronización en la nube es otro detalle fácil de pasar por alto, pero tan importante como borrarlo del disco.
Qué se conserva y qué se pierde al importar en Vaultwarden
Con el servidor funcionando y los clientes de Bitwarden conectados a él, el siguiente paso es importar el archivo exportado. El proceso respeta la estructura original: las carpetas llegan intactas y los inicios de sesión mantienen su organización, sin necesidad de reordenar nada a mano.
Los secretos TOTP de la verificación en dos pasos también sobreviven al traspaso, así que no hace falta volver a escanear ningún código QR de los servicios que ya teníamos configurados. La excepción son las notas seguras con formato de texto enriquecido: negritas, viñetas y demás desaparecen en la importación, aunque el contenido en texto plano queda intacto. Es una pérdida menor, pero uno de los pocos puntos de la migración que no resulta del todo transparentes. Conviene probar el autocompletado en el navegador y la sincronización en el móvil justo después de importar, para confirmar que ambos responden con normalidad antes de dar por cerrada la mudanza.
Las tareas que antes hacía 1Password y ahora hacéis vosotros
Alojar el servidor nosotros mismos significa que nadie nos va a avisar cuando toque actualizar, renovar un certificado o comprobar que las copias de seguridad funcionan. Son tareas que antes hacía 1Password sin que nos enterásemos siquiera de que existían.
Mantener actualizada la imagen del contenedor de Vaultwarden es la más obvia, porque cada nueva versión suele traer parches de seguridad que no llegan solos si nadie los aplica. Si usamos un proxy inverso, la renovación de los certificados TLS corre también de nuestra cuenta para que la conexión con el vault siga cifrada. Y luego está la copia de seguridad, que puede fallar en silencio: es fácil programar un script de backup y darlo por bueno sin comprobar nunca si de verdad permite restaurar algo. Un fallo de dos semanas sin detectar es precisamente lo que puede pasar cuando existe la copia pero nadie ha probado a recuperarla; el problema no se nota hasta que se necesita de verdad. Por eso conviene reservar de tanto en tanto un rato para simular una restauración completa, no solo confiar en que el archivo de respaldo está ahí.