¿Es seguro guardar las contraseñas en el navegador?

Sí, el navegador cifra tus contraseñas

Es lo primero que hay que aclarar, porque es donde falla casi toda la información que vas a encontrar en español.

Es fácil encontrar artículos, algunos en medios grandes, que afirman que Chrome guarda las contraseñas «sin cifrar» o «visibles para cualquiera». Eso no es cierto. En Windows, el navegador las cifra con una clave ligada a tu cuenta de usuario del sistema. Y desde julio de 2024, con Chrome 127, Google añadió además el cifrado ligado a la aplicación, que ata esa clave al propio navegador para que otro programa no pueda pedirla sin más.

Así que la pregunta «¿están cifradas?» tiene una respuesta aburrida: sí. El problema es que ésa no es la pregunta correcta.

¿De qué protege ese cifrado, exactamente?

Aquí está el matiz que lo cambia todo, y casi nadie lo explica:

• Protege de otra persona. Alguien que se lleva tu portátil apagado, o que arranca desde un USB y copia los ficheros, se encuentra datos ilegibles.
• Protege de otra cuenta del mismo equipo. Si tu pareja o tu hermano tienen su propio usuario de Windows, no pueden leer las tuyas.
• No protege de un programa que se ejecuta como tú. Y esto es lo importante: el cifrado está atado a tu sesión, así que cualquier cosa que corra dentro de tu sesión tiene, por definición, la llave.

Dicho de otra forma: no es una caja fuerte, es un cajón con cerradura cuya llave llevas puesta todo el rato que estás usando el ordenador. Contra un ladrón que entra en casa, sirve. Contra alguien que ya está dentro disfrazado de ti, no.

Por qué esto ha cambiado en 2026

Durante un tiempo pareció que el cifrado ligado a la aplicación cerraba la puerta. No la cerró: la encareció.

En marzo de 2026 apareció VoidStealer, un ladrón de credenciales que se vende como servicio y que se salta esa protección sin necesitar permisos de administrador. Su técnica es tan elegante como incómoda de leer:

• 1. Deja que Chrome haga su trabajo. No intenta romper el cifrado. Arranca una instancia oculta del navegador y espera.
• 2. Se engancha al proceso como depurador. Igual que haría una herramienta de desarrollo.
• 3. Espera al instante exacto en que Chrome descifra su propia clave para poder usarla, porque en algún momento tiene que hacerlo.
• 4. La captura en memoria mientras está en claro, y a partir de ahí lee contraseñas y cookies de sesión.

La lección de fondo no es «Chrome es inseguro». Es que un dato que tu ordenador tiene que poder descifrar para usarlo, otro programa en ese mismo ordenador también puede descifrarlo. Eso no lo arregla ninguna versión futura.

Y conviene decir lo que no dice este caso: no significa que te vayan a robar las contraseñas por usar Chrome, ni que Firefox o Edge estén a salvo por no salir en la noticia. Significa que el listón para robarlas es más bajo de lo que era, y que hay malware vendiéndose ya con esa capacidad de serie.

La pregunta que sí decide el riesgo

No es «¿el navegador cifra?». Es ésta:

¿Qué probabilidad hay de que se ejecute algo en mi ordenador con mi sesión?

Y ahí sí puedes responder tú, porque depende de cosas concretas:

• ¿Instalas programas de sitios raros? Cracks, activadores, «versiones gratis» de software de pago. Es la vía número uno, con diferencia.
• ¿Tu sesión de Windows tiene contraseña? Si no la tiene, todo el cifrado del navegador se apoya en una puerta abierta.
• ¿Compartes el ordenador con un mismo usuario? Un perfil de Windows compartido anula la separación entre personas.
• ¿Instalas extensiones sin mirar? Una extensión con permisos amplios ya está dentro del navegador.
• ¿Es un ordenador del trabajo o de un tercero? Ahí no controlas qué hay instalado ni quién administra la máquina.

Si tu respuesta a todas es tranquilizadora, guardar contraseñas en el navegador es un riesgo perfectamente razonable. Si a dos o tres no lo es, tienes un problema que no se arregla cambiando de navegador.

Lo incómodo: un gestor tiene el mismo problema

Aquí es donde casi todos los artículos hacen trampa. Te cuentan el riesgo del navegador, te recomiendan un gestor y se van, dando a entender que el problema desaparece. No desaparece.

Si hay malware ejecutándose como tú y tu gestor está abierto en ese momento, puede leerse igual. El malware no rompe la criptografía de nadie: espera a que la abras tú.

La diferencia real es una sola, y es importante: el gestor se cierra.

• El almacén del navegador está disponible siempre que tu sesión esté iniciada. Que son, para la mayoría, todas las horas que el ordenador está encendido.
• El gestor está bloqueado por defecto y se vuelve a bloquear solo tras unos minutos. Fuera de esa ventana, lo que se roben son datos cifrados con una clave que no está en la máquina.
• Y son cosas distintas de robar. Del navegador se llevan un fichero. Del gestor bloqueado, ruido.

No es una diferencia de marketing: es la diferencia entre una puerta cerrada y una entornada. Si te interesa el detalle de cuál elegir, está en la comparativa de gestores de contraseñas.

Cuándo el navegador te vale de sobra

• Cuentas que no te duelen. El periódico, el foro, la tienda donde compraste una vez.
• Ordenador tuyo, con sesión propia y contraseña, y sin costumbre de instalar cosas de cualquier sitio.
• Frente a la alternativa real. Y esto importa mucho más de lo que parece: si la opción no es «gestor», sino repetir la misma contraseña en todas partes porque no te acuerdas, el navegador es claramente mejor que eso.

Ese último punto es el que se pierde en los artículos que dan un «no» rotundo. La contraseña reutilizada es un riesgo seguro y presente; el robo de credenciales es un riesgo probable pero no garantizado. Cambiar lo segundo por lo primero es un mal negocio.

Cuándo no, sin discusión

• Tu correo principal. Es la llave maestra: con él se recuperan todas las demás cuentas. No debería estar guardado en ningún sitio.
• Banco y cualquier cosa con dinero.
• El ordenador del trabajo, o cualquiera que administre otro.
• Un equipo compartido con un solo usuario de Windows.
• Cuentas con datos de otras personas: clientes, pacientes, menores.

Qué hacer hoy, en diez minutos

Por orden de lo que más reduce el riesgo por minuto invertido:

• 1. Activa la verificación en dos pasos en el correo y el banco. Es lo único de esta lista que sigue protegiéndote aunque te roben la contraseña, porque la contraseña sola deja de valer. Si hoy solo haces una cosa, que sea ésta.
• 2. Saca del navegador el correo y el banco. No hace falta migrarlo todo: bórralas de ahí y apréndetelas o guárdalas en otro sitio.
• 3. Ponle contraseña a la sesión de Windows si no la tiene. Es el suelo sobre el que se apoya todo lo demás.
• 4. Revisa las extensiones y quita las que no uses. Cada una es un programa con acceso a lo que haces en el navegador.
• 5. Mira si alguna ya está filtrada, porque el navegador no te protege de una filtración del otro lado. Cómo se comprueba, en esta guía.

Si sospechas que ya te han entrado

Cambia de orden las prioridades, y hazlo desde otro dispositivo, no desde el ordenador sospechoso:

• Primero el correo principal, siempre. Todo lo demás cuelga de él.
• Cierra todas las sesiones abiertas en cada cuenta. Es un paso que casi nadie da y es crítico: quien roba cookies de sesión entra sin necesitar tu contraseña nueva.
• Después el banco y lo que tenga dinero o datos de terceros.
• Y solo entonces el resto, con calma.

Cambiar la contraseña sin cerrar las sesiones abiertas es el error más común, y deja la puerta exactamente igual de abierta.

Lo que hay que llevarse

Que la pregunta estaba mal hecha. El navegador cifra; el cifrado no es el punto débil. El punto débil es que tu sesión abierta es la llave, y el malware moderno lo que hace es esperar a que la uses tú.

Así que no es «navegador sí o navegador no». Es qué cuentas te puedes permitir perder. Las que no te duelen, déjalas donde están. El correo y el banco, fuera, con segundo factor. Y si algún día te entran, ya sabes por dónde empezar y por qué cerrar sesiones va antes que casi todo.