Los usuarios de Linux tienen una alternativa a los gestores de contraseñas integrados en los navegadores: pass, conocido como The Standard Unix Password Manager. Esta herramienta de código abierto guarda cada contraseña en un archivo independiente cifrado con GPG (GNU Privacy Guard), organiza las credenciales en carpetas y permite sincronizarlas entre equipos mediante Git. No necesita una cuenta en la nube ni una base de datos propietaria. El usuario conserva los archivos y las claves necesarias para acceder a ellos.
Las claves de pass y la gestión de contraseñas en Linux en 30 segundos
- pass cifra cada contraseña por separado mediante GPG y guarda los archivos en
~/.password-store. - Permite añadir credenciales, generar contraseñas aleatorias, editarlas, copiarlas al portapapeles y organizarlas en directorios.
- Git puede registrar los cambios y sincronizar el almacén entre ordenadores sin enviar las contraseñas en texto legible.
- gopass amplía el planteamiento con gestión de varios almacenes y funciones para compartir credenciales entre equipos.
- QtPass ofrece una interfaz gráfica compatible con Linux, Windows y macOS, mientras que las extensiones permiten integrar pass en otros entornos.
El proyecto fue desarrollado por Jason A. Donenfeld, conocido también por ser el creador de WireGuard. Su filosofía sigue una idea habitual en Unix: utilizar herramientas pequeñas, formatos abiertos y archivos que puedan manipularse con programas convencionales.
La propuesta tiene un atractivo especial para administradores de sistemas, desarrolladores y usuarios que prefieren mantener el control de sus datos. Pero también exige asumir tareas que los gestores comerciales suelen resolver automáticamente, como gestionar las claves criptográficas, preparar las copias de seguridad y configurar la sincronización.
Cómo funciona pass: una contraseña, un archivo cifrado
La estructura de pass es sencilla. Cada credencial se almacena en un archivo independiente dentro de una carpeta llamada ~/.password-store. El contenido se cifra con GPG y solo puede recuperarse utilizando una clave privada autorizada.
Por ejemplo, una entrada llamada email/gmail corresponde a un archivo:
~/.password-store/
└── email/
└── gmail.gpgLenguaje del código: JavaScript (javascript)El nombre es una etiqueta elegida por el usuario. No establece ninguna conexión con Gmail ni con otro servicio. Sirve únicamente para organizar y localizar la credencial.
La instalación en Debian y Ubuntu se realiza con:
sudo apt install passTambién hace falta GPG. En muchas distribuciones ya está instalado o puede obtenerse desde sus repositorios.
Antes de inicializar el almacén conviene comprobar si existe una clave privada disponible:
gpg --list-secret-keysLenguaje del código: PHP (php)Si no aparece ninguna, habrá que generar una:
gpg --full-generate-keyGPG presenta varias opciones para configurar el tipo de clave, su algoritmo, la caducidad y la identidad asociada. La elección depende de la versión y de las opciones disponibles. No hay que asumir que todos los sistemas ofrecen exactamente las mismas preguntas ni que los tamaños de clave RSA se aplican a los algoritmos de curva elíptica.
La clave privada debe protegerse con una frase de paso robusta. También conviene guardar una copia de seguridad segura de la clave y del certificado de revocación. Si se pierde la clave privada y no existe una copia recuperable, el contenido cifrado puede quedar inaccesible.
Una vez creada, se inicializa pass indicando el identificador de la clave GPG:
pass init tu-correo@example.comLenguaje del código: CSS (css)El correo electrónico puede servir como identificador si coincide con el usuario de la clave. Para configuraciones más cuidadas también se puede utilizar su huella digital (fingerprint), que identifica la clave de forma más precisa.
Guardar, consultar y generar contraseñas desde el terminal
Con el almacén preparado, añadir una contraseña requiere una sola instrucción:
pass insert email/gmailLa herramienta solicita la contraseña y pide repetirla para confirmar que se ha escrito correctamente. Después cifra el contenido y lo guarda en el archivo correspondiente.
Para consultar la credencial:
pass show email/gmailGPG solicita autorización para descifrar el archivo. Si el agente de GPG mantiene la frase de paso en caché durante un periodo configurado, no será necesario introducirla en cada operación.
También es posible copiar la contraseña directamente al portapapeles:
pass -c email/gmailEn lugar de mostrar el secreto en pantalla, pass lo copia y programa su eliminación del portapapeles después de 45 segundos, según la configuración predeterminada. Esta función necesita que el sistema tenga disponible una herramienta de portapapeles compatible.
Otra función práctica es la generación de contraseñas aleatorias:
pass generate email/nuevaservicio 20El comando crea una contraseña de 20 caracteres y la guarda cifrada en la ruta indicada. También permite generar contraseñas sin símbolos o copiarlas directamente al portapapeles.
La organización sigue una estructura convencional de carpetas:
pass insert trabajo/slack
pass insert trabajo/github
pass insert personal/netflixPara consultar las entradas de una categoría:
pass trabajoY para modificar una credencial existente:
pass edit email/gmailEl programa abre el editor de texto configurado en el sistema, descifra temporalmente el contenido y vuelve a cifrarlo al guardar los cambios. También permite eliminar entradas:
pass rm personal/antigua-cuentaEl resultado es un gestor de contraseñas que se maneja con comandos relativamente fáciles de recordar y que no necesita una interfaz gráfica para funcionar.
Git permite sincronizar el almacén sin subir contraseñas en claro
Una de las características más interesantes de pass es su integración con Git. El usuario puede convertir la carpeta de contraseñas en un repositorio:
pass git initA partir de ahí, las modificaciones pueden quedar registradas en el historial de Git. El repositorio puede sincronizarse con un servidor propio o con servicios como GitHub y GitLab.
Los archivos que se almacenan en el repositorio contienen las credenciales cifradas, por lo que el servidor no necesita recibir las contraseñas en texto legible. Sin embargo, hay un detalle importante: los nombres de los archivos y la estructura de directorios no están cifrados. Alguien con acceso al repositorio podría conocer qué servicios utiliza el propietario, aunque no pueda leer directamente sus contraseñas.
Por eso, la documentación del proyecto recomienda utilizar repositorios privados y proteger adecuadamente las claves GPG. También es importante recordar que Git conserva el historial: eliminar una entrada del almacén no significa que desaparezca de todas las revisiones anteriores.
Esta integración permite mantener el mismo almacén en varios equipos, pero requiere configurar correctamente las claves y los permisos. No basta con copiar la carpeta: cada ordenador que necesite descifrar las credenciales debe disponer de la clave privada correspondiente.
gopass amplía las posibilidades para equipos y varios dispositivos
Para quienes necesitan más funciones, gopass amplía el planteamiento original de pass. Está escrito en Go y mantiene la compatibilidad con el formato de almacenamiento de su predecesor.
Entre sus posibilidades destacan la gestión de varios almacenes, la sincronización con repositorios Git, el trabajo con diferentes claves GPG y la compartición de secretos entre miembros de un equipo.
Su configuración inicial también incluye un asistente que ayuda a preparar el almacén y establecer las claves y los repositorios remotos. La documentación contempla instalaciones en Linux, macOS y Windows.
En Debian y Ubuntu conviene seguir las instrucciones oficiales de instalación: existe un paquete llamado gopass en los repositorios de algunas distribuciones que no corresponde al proyecto de gopass de Go. Instalarlo sin comprobar su procedencia puede llevar a utilizar otro programa distinto.
QtPass lleva el sistema a una interfaz gráfica y Windows
No todos los usuarios quieren consultar sus credenciales desde una terminal. QtPass proporciona una interfaz gráfica para trabajar con el mismo modelo de archivos cifrados.
Permite consultar, añadir y modificar entradas, generar contraseñas y copiar secretos al portapapeles. También admite códigos de autenticación de un solo uso (TOTP), varias claves y dispositivos de seguridad compatibles con GPG.
Una de sus ventajas es que funciona en Linux, Windows y macOS. Además, puede trabajar con un almacén creado previamente con pass, por lo que no obliga a empezar de cero si el usuario ya utiliza el gestor desde el terminal.
La instalación en Windows puede realizarse mediante WinGet:
winget install IJHack.QtPassLenguaje del código: CSS (css)En Debian y Ubuntu:
sudo apt install qtpassEsto permite utilizar una misma estructura de contraseñas en diferentes sistemas operativos, algo interesante para quienes trabajan habitualmente con Linux en sus servidores y Windows o macOS en sus equipos personales.
Qué gana el usuario y qué responsabilidades asume
pass ofrece independencia respecto a un proveedor, archivos cifrados con estándares conocidos y un formato que puede gestionarse con herramientas habituales. Su integración con Git permite mantener copias y sincronizar dispositivos sin entregar las contraseñas en texto claro a un servicio externo.
Pero no sustituye automáticamente todas las funciones de un gestor moderno. El programa original no ofrece por sí solo la misma experiencia de autocompletado en navegadores, sincronización transparente, detección de contraseñas reutilizadas o recuperación de cuenta que algunos servicios comerciales.
También hay que tener en cuenta que el cifrado no protege frente a cualquier problema. Un equipo comprometido, una clave privada robada o una copia de seguridad mal protegida pueden poner en peligro el almacén. La gestión de claves y la configuración de los dispositivos forman parte de la seguridad del sistema.
Para quien busca un gestor sencillo, abierto y controlado desde el terminal, pass sigue siendo una opción interesante. gopass añade herramientas para escenarios más complejos y QtPass reduce la barrera de entrada para quienes prefieren una aplicación gráfica. Las tres propuestas comparten una filosofía: guardar las credenciales en archivos cifrados que el usuario puede conservar y trasladar sin depender de una plataforma propietaria.
Preguntas frecuentes
¿Qué es pass en Linux?
Es un gestor de contraseñas de código abierto que almacena cada credencial en un archivo cifrado con GPG. Permite organizarlas en carpetas y utilizar Git para registrar cambios y sincronizar el almacén.
¿Es seguro guardar las contraseñas con pass?
Utiliza cifrado GPG y claves controladas por el usuario. Su seguridad también depende de proteger la clave privada, mantener los dispositivos libres de malware y realizar copias de seguridad adecuadas.
¿Cuál es la diferencia entre pass y gopass?
pass ofrece las funciones básicas de almacenamiento, cifrado y gestión de credenciales. gopass amplía esas capacidades con varios almacenes, sincronización y herramientas para compartir secretos entre usuarios.
¿Se puede utilizar pass en Windows?
Sí. QtPass ofrece una interfaz gráfica compatible con Windows, Linux y macOS. También existen clientes y herramientas que permiten trabajar con almacenes compatibles con pass en otros entornos.
