Gestor de contraseñas: qué revisar antes de exportar

Un botón «Exportar» no garantiza que puedas mudarte a otro gestor sin pérdidas. El archivo puede contener contraseñas pero omitir notas, adjuntos o passkeys; también puede conservar más información en un formato que el programa de destino no entiende. La pregunta útil no es solo «¿puedo descargar mis datos?», sino «¿qué parte de mi bóveda puedo importar, comprobar y proteger durante el traslado?».

Ilustración conceptual generada para Gaia; no representa una exportación real ni muestra credenciales. Crédito: Gaia Genis Hub.

El nombre del formato no basta

La guía de exportación de 1Password permite sacar datos de 1Password 8 como 1PUX o CSV. Advierte que su CSV solo incluye elementos de inicio de sesión y contraseña y una parte de sus campos; no conserva toda la estructura disponible en la bóveda. El formato 1PUX documentado por la empresa empaqueta datos en una estructura más rica. Que un archivo guarde más datos no significa que otro proveedor los importe todos: hay que contrastar el importador específico del destino.

Bitwarden ofrece CSV, JSON sin cifrar, JSON cifrado y ZIP con adjuntos. Según su documentación, solo las exportaciones JSON incluyen tarjetas, identidades, passkeys guardadas y claves SSH; ningún formato incluye elementos de la papelera ni Sends. El ZIP con adjuntos sirve para un caso concreto de su bóveda individual. Son capacidades actuales de esos productos, no reglas universales de CSV o JSON. Un CSV de otro programa puede tener columnas distintas y un JSON puede ser propietario.

Una matriz para comparar sin prometer compatibilidad

Esta tabla es una guía de lectura elaborada por Gaia a partir de los ejemplos de Bitwarden y la documentación de 1Password; no es una prueba de interoperabilidad entre todas las marcas. El tipo de archivo es un indicio, no un certificado de migración.

Diagrama editorial de Gaia. Resume el método de comprobación; no contiene resultados de un ensayo de productos.

El peligro temporal: un archivo legible con todas tus claves

Ambos proveedores avisan de que una exportación sin cifrar deja los secretos legibles para quien obtenga el archivo. 1Password explica que el archivo exportado no está protegido por su servicio y recomienda eliminarlo tras la migración; Bitwarden aconseja no enviar ni guardar un archivo sin cifrar por canales inseguros. No lo envíes por correo como adjunto, no lo dejes en una carpeta sincronizada sin protección y no lo compartas con un servicio de conversión online. Comprueba también la ubicación de descargas, copias temporales y papelera del sistema.

Si necesitas conservar una copia, decide cómo cifrarla y dónde guardarás la clave de recuperación. No confundas un JSON cifrado restringido a una cuenta con un respaldo portátil: Bitwarden distingue la exportación «Account restricted», que solo puede importarse en la cuenta que la creó, de la protegida por contraseña, que puede importarse en otra cuenta Bitwarden. Ninguna de esas variantes garantiza importación en otro proveedor; para salir de Bitwarden hay que verificar aparte el formato y el importador del destino.

Passkeys y adjuntos exigen una revisión aparte

Las passkeys no siempre viajan como una contraseña tradicional. La ayuda de 1Password sobre exportación indica que solo se exportan desde iOS o Android; con sus aplicaciones de escritorio hay que crear passkeys nuevas en cada sitio. Bitwarden describe inclusión de passkeys en JSON, pero su advertencia sobre el contador que limita ciertas copias como respaldo duradero afecta a las passkeys creadas antes de la versión 2024.3.1. Comprueba en la documentación de ambos extremos el método de traslado compatible en tus versiones y sistemas. Después verifica que puedes entrar realmente en las cuentas críticas antes de cerrar el gestor anterior.

Los archivos adjuntos, códigos de recuperación, claves de segundo factor y elementos compartidos con una organización pueden quedar fuera de una exportación ordinaria. Haz un inventario por tipos, no publiques el inventario con valores secretos y conserva el origen operativo hasta completar la revisión. En una bóveda de empresa, confirma también tus permisos: poder ver un elemento no siempre concede permiso de exportarlo.

Un procedimiento seguro y comprobable

1. Abre la documentación actual del exportador y anota tipos incluidos, exclusiones, cifrado y restricciones de cuenta. No uses como única guía una captura antigua.
2. Consulta el importador del destino para ese mismo formato. Comprueba si acepta campos personalizados, adjuntos, TOTP y passkeys. Si no hay compatibilidad documentada, no supongas que renombrar la extensión lo arreglará.
3. Prepara el traslado en un dispositivo de confianza, con el archivo protegido y fuera de un canal compartido. Nunca pegues el contenido en una web de conversión de terceros.
4. Importa sin eliminar el origen. Compara recuentos por tipo y revisa manualmente una muestra de entradas que incluya notas, campos personalizados y cuentas importantes. Un recuento igual puede ocultar campos vacíos.
5. Accede de nuevo a varias cuentas críticas, verifica segundo factor y passkeys, y solo entonces retira archivos temporales y decide cuándo cerrar el servicio anterior.

La prueba final es funcional: recuperar las cuentas que te importan, con sus campos y factores, en la aplicación de destino. El simple mensaje «importación completada» no demuestra que el traslado esté íntegro.

Fuentes y agradecimientos

• 1Password: exportar datos y especificación 1PUX, consultadas el 11 de noviembre de 2026 para identificar formatos y límites del producto.
• Bitwarden: exportar la bóveda, consultada el 11 de noviembre de 2026 para tipos de archivo, exclusiones y protección.

Agradecemos a los equipos de documentación de 1Password y Bitwarden que publiquen estas especificaciones de uso. Su cita no supone que hayan probado, revisado o avalado esta guía de Gaia.