KeePassXC y Ente Auth: contraseñas y 2FA sin depender de la nube

Seguirás necesitando Internet para entrar en las webs y actualizar. Lo que no sale de tus dispositivos son las bóvedas y los secretos.

Lo recomendado: KeePassXC en el PC y Ente Auth en el móvil, para que la contraseña y el código estén en aparatos distintos.

Instalar

winget install --id KeePassXCTeam.KeePassXC

sudo pacman -S keepassxc

sudo apt install keepassxc

sudo dnf install keepassxc

flatpak install flathub org.keepassxc.KeePassXC

brew install --cask keepassxc

Crear la bóveda en KeePassXC

1. Instala KeePassXC y pulsa Crear nueva base de datos.
2. Ponle un nombre que reconozcas.
3. Sigue con la configuración recomendada.
4. Crea una contraseña maestra larga, única y que puedas recordar.
5. Guarda la base de datos.

Tu bóveda es un archivo .kdbx, por ejemplo MiBoveda.kdbx, cifrado.

No hay ninguna cuenta online que pueda recuperar tu contraseña maestra. Si la pierdes, o pierdes el archivo sin tener copia, pierdes la bóveda.

Guardar y generar contraseñas

Para cada cuenta, crea una entrada con la web, el usuario y la contraseña. Deja que KeePassXC las genere: largas, aleatorias y distintas en cada sitio. Solo tienes que recordar la maestra.

Autorrelleno en el navegadorOpcional: la extensión KeePassXC-Browser.

Instala la extensión oficial KeePassXC-Browser para Chrome o Brave (enlazada en la web de KeePassXC). Después, en KeePassXC:

1. Herramientas → Configuración → Integración con navegador.
2. Activa la integración y marca tu navegador.
3. En la extensión, pulsa Connect y autoriza la conexión con tu base de datos.

La extensión habla con el KeePassXC de tu ordenador: la bóveda no se sube a ningún servidor.

Ente Auth sin nube

Instala Ente Auth donde quieras generar los códigos. Al abrirlo, elige Use without backups: sin cuenta y sin copia en los servidores de Ente. Los códigos se quedan en ese dispositivo.

«Sin backups» se refiere a los servidores de Ente, no a que vivas sin copias. Más abajo hacemos una copia local cifrada.

Añadir una cuenta 2FA

En la web que quieras proteger, busca Seguridad → Autenticación en dos pasos.

1. En Ente Auth pulsa +.
2. En el móvil, escanea el QR. Si no puedes, elige introducir los datos a mano y pega la clave secreta.
3. Guarda y escribe en la web el código que aparece.

El QR y la clave secreta sirven para generar tus códigos. No los compartas con nadie.

Los códigos de recuperación de cada web: Al activar el 2FAAdemás de la contraseña, un segundo paso para entrar: un código de una app, una llave física o una passkey. Si te roban la contraseña, sin ese segundo paso no entran., muchas webs te dan códigos de recuperación. Son la salida de emergencia si pierdes el autenticador: guárdalos offline, no solo en Ente Auth y nunca por Discord o correo.

Haz copias de los dos

KeePassXC:

Copia el archivo .kdbx de vez en cuando en otros soportes: por ejemplo, el original en el PC, una copia en un USB y otra en un disco externo guardado en otro sitio. El archivo va cifrado.

No tengas la única copia en el mismo disco que el original: si ese disco falla, pierdes las dos. Actualiza las copias después de cambios importantes.

Ente Auth: En los ajustes de Ente Auth, busca la exportación o copia local de los códigos y hazla cifrada, con una contraseña. Si tu versión permite copias automáticas en una carpeta, actívalas. Guarda también una copia en otro soporte físico.

Guarda la contraseña de esa copia fuera de Ente Auth.

No mezcles los dos factores. KeePassXC también sabe generar códigos 2FA, pero aquí no lo usamos para eso: si la contraseña y el código están en la misma bóveda, quien la abra tiene las dos cosas. KeePassXC para contraseñas; Ente Auth para códigos.

Si pierdes un dispositivo

El PC

Instala KeePassXC en otro equipo, copia tu .kdbx desde la copia y ábrelo con la contraseña maestra.

El móvil con Ente Auth

Instálalo de nuevo e importa tu copia cifrada. Si no puedes, usa los códigos de recuperación de cada web.

Ente no puede recuperar códigos que nunca subiste a sus servidores. Tu copia es la única red de seguridad.

Para que dure: descarga siempre de las webs oficiales, bloquea el PC y el móvil con contraseña, comprueba de vez en cuando que las copias se abren y no compartas nunca el .kdbx, las copias de Ente Auth, los QR ni las claves secretas.

Si algo falla

• Pierdes el PC o el móvil: mira «Si pierdes un dispositivo», arriba.
• Una copia no se abre: usa otra; por eso se tienen varias y se comprueban de vez en cuando.

Novedades

Aquí vamos apuntando lo que trae cada versión de KeePassXC y de Ente Auth, con su fecha.

Ente Auth 4.4.26 — 19 de octubre de 2026

• Buscar escribiendo, en el programa de escritorio: empiezas a escribir y encuentras el código al momento.
• En Mac, un modo opcional en la barra de menús para ver tus códigos al instante.
• Importar es más fiable: exportaciones de Google Authenticator con varios códigos QR en una sola vez; se conservan las notas al importar desde Aegis y Bitwarden; y se arreglan las importaciones de 2FAS y de entradas sin emisor en OTP Auth.
• En iPhone, el escáner de códigos QR solo lee lo que cae dentro del marco.
• Sin conexión: si una instalación solo sin conexión no puede acceder a su clave de cifrado, ahora te explica qué hacer.

KeePassXC 2.8.0 beta 1 — 23 de septiembre de 2026

Es una beta: sirve para probar, no para tu bóveda de siempre. Si la pruebas, hazlo con una copia del .kdbx. Esta guía sigue con la versión estable, la 2.7.12, hasta que salga la 2.8.0 definitiva.

• Sincronizar la bóveda con una copia remota e importar datos, las dos cosas a través de herramientas externas.
• Atajos de teclado que puedes cambiar a tu gusto.
• En Linux, el autorrellenado (Auto-Type) funciona por fin en Wayland, lo que usan por defecto KDE Plasma y GNOME, y se puede desbloquear rápido con la contraseña del sistema.
• En Mac, desbloqueo rápido con la contraseña del equipo cuando no hay Touch ID.
• En Windows, versión propia para equipos con procesador Arm.
• Arregla varios fallos de seguridad, entre ellos uno al importar bases antiguas de KeePass (.kdb) preparadas a propósito y otros en la conexión con la extensión del navegador.