Vaultwarden vs Bitwarden Cloud: ¿cuál usar para tus contraseñas?

Qué es cada uno

Bitwarden Cloud es el servicio gestionado de Bitwarden Inc.: tu bóveda cifrada vive en su infraestructura, ellos se ocupan de la disponibilidad, las copias y las actualizaciones, y tú solo instalas las aplicaciones.

Vaultwarden es una reimplementación no oficial de la API de Bitwarden escrita en Rust. No es un fork del servidor original: es otro programa que habla el mismo idioma, por eso funciona con las aplicaciones oficiales de Bitwarden sin ningún parche. Cabe en un contenedor Docker de pocos megabytes y corre cómodo en un VPS de 1 GB de RAM, mientras que el servidor oficial autoalojado pide unos 2 GB y una base de datos Microsoft SQL.

Comparativa directa (precios 2026)

Un apunte de contexto: el plan Premium de Bitwarden subió de precio en 2026 y pasó de rondar los 10 dólares anuales a los 19,80 actuales. Sigue siendo barato, pero cambia el cálculo para familias y equipos pequeños que sumaban varias licencias.

Cifrado y arquitectura de seguridad: cómo funciona el cero conocimiento

En las dos opciones el servidor nunca ve tus contraseñas en claro. Ese es el punto que más confusión genera y conviene entenderlo antes de decidir nada, porque significa que el debate no es "¿confío en Bitwarden con mis contraseñas?" sino "¿quién quiero que custodie un archivo cifrado que nadie puede abrir sin mi contraseña maestra?".

El proceso, paso a paso:

1. 1 Escribes tu contraseña maestra en la aplicación. Nunca se envía a ningún servidor.
2. 2 La aplicación deriva de ella una clave con PBKDF2-SHA256 a 600.000 iteraciones, el valor por defecto de Bitwarden y el que recomienda OWASP. También puedes cambiar a Argon2id, un algoritmo más resistente a ataques con GPU.
3. 3 Con esa clave se cifra la bóveda usando AES-256 en modo CBC, autenticado con HMAC-SHA256. El servidor recibe un bloque cifrado y un hash de autenticación distinto de la clave de cifrado.
4. 4 Para iniciar sesión se envía ese hash, no la contraseña. Aunque alguien intercepte el tráfico o vacíe la base de datos, obtiene material cifrado.

La diferencia real entre Vaultwarden y Bitwarden Cloud no está en el cifrado, que es equivalente: está en los metadatos y en la superficie de ataque. Bitwarden Cloud almacena en su infraestructura los nombres de tus entradas, las URL asociadas y las marcas de tiempo de acceso. Con Vaultwarden, todo eso vive en tu servidor y nadie más lo indexa.

A cambio, Bitwarden pone sobre la mesa algo que Vaultwarden no tiene: auditorías anuales de terceros (Cure53 e Insight Risk Consulting sobre código, bóveda web, extensiones y apps), certificación ISO 27001 y SOC 2 Tipo II. Vaultwarden es código abierto revisable, pero sin ese aval formal. Si trabajas con clientes que exigen certificaciones a sus proveedores, esto no es un detalle menor.

El argumento del costo, con números

Para una persona sola, Bitwarden Free es difícil de batir: cuesta cero y guarda contraseñas ilimitadas en dispositivos ilimitados. Lo que quedó fuera del plan gratuito es el TOTP integrado, los adjuntos y el acceso de emergencia, que hoy son funciones de pago.

Donde la balanza se inclina es en grupos:

La tabla asume que el VPS existe solo para esto, que casi nunca es el caso. Lo habitual es que Vaultwarden comparta servidor con otros servicios: si ya tienes un VPS corriendo aplicaciones autoalojadas, el costo marginal de añadirlo es prácticamente cero, igual que ocurre al comparar Nextcloud frente a Google Drive.

Organizaciones y equipos: compartir contraseñas sin caos

Una organización es el mecanismo con el que Bitwarden y Vaultwarden comparten contraseñas entre varias personas sin enviárselas por WhatsApp. Dentro de una organización, las entradas se agrupan en colecciones (por ejemplo "Redes sociales", "Servidores", "Bancos") y a cada colección se le da acceso de lectura o de edición a usuarios o a grupos.

Vaultwarden habilita organizaciones, colecciones y grupos sin límite de miembros y sin costo. Para una agencia de 8 personas que comparte accesos de clientes, eso reemplaza el plan Teams de $4 por usuario al mes.

Ahora la parte honesta: Vaultwarden no cubre todo lo que una empresa mediana pide. Lo que falta frente a los planes Teams y Enterprise:

• Aprovisionamiento automático (SCIM y sincronización con Active Directory o Google Workspace). En Vaultwarden las altas y bajas se hacen a mano.
• Inicio de sesión con SSO contra el proveedor de identidad corporativo.
• Recuperación de cuenta por el administrador con las garantías del producto comercial.
• Soporte con SLA cuando algo falla y hay 200 personas sin acceder a sus credenciales.

Con menos de 20 personas y un administrador técnico, Vaultwarden va sobrado. Por encima de eso, o si el departamento de sistemas necesita altas y bajas automáticas al ritmo de la nómina, Teams se justifica solo.

Lo que te toca a ti si eliges Vaultwarden

Autoalojar un gestor de contraseñas concentra un riesgo enorme en una sola máquina, y por eso el mantenimiento no es negociable. La lista corta:

• HTTPS obligatorio. Los clientes de Bitwarden se niegan a conectarse a un servidor sin certificado válido. Nginx o Caddy delante, con Let's Encrypt.
• Cerrar el registro público: SIGNUPS_ALLOWED=false en cuanto crees tu cuenta. Si no, cualquiera que encuentre tu dominio puede crearse una.
• Proteger el panel de administración: define ADMIN_TOKEN como hash Argon2 (Vaultwarden trae el comando para generarlo desde la versión 1.28) en lugar de texto plano, o directamente déjalo desactivado.
• Blindar el servidor: es el mismo trabajo de base de cualquier despliegue serio, y está detallado en la guía para asegurar un VPS con Ubuntu. Como mínimo, acceso por llaves SSH con las contraseñas desactivadas y firewall cerrado salvo 80 y 443.
• Backups automáticos y probados. Respalda db.sqlite3, la carpeta attachments y el archivo rsa_key. Y restaura ese backup en otro sitio al menos una vez: un respaldo nunca probado no es un respaldo.

El paso a paso completo del despliegue con Docker, dominio y certificado está en la guía de instalación de Vaultwarden en un VPS.

Migrar desde 1Password, LastPass o KeePass

La migración se hace exportando la bóveda del gestor actual e importándola desde la bóveda web, y funciona igual en Vaultwarden que en Bitwarden Cloud porque es el mismo cliente. Bitwarden reconoce más de 50 formatos de origen, incluidos los más comunes:

El procedimiento en Vaultwarden: entras a la bóveda web de tu dominio, vas a Herramientas → Importar datos, eliges el formato de origen, subes el archivo y confirmas.

Cuatro advertencias que evitan disgustos:

1. 1 El archivo exportado no está cifrado. Es tu bóveda completa en texto legible. Bórralo del disco (y de la papelera, y de Descargas) en cuanto termines.
2. 2 Los adjuntos no se importan. Hay que volver a subirlos entrada por entrada.
3. 3 La importación no detecta duplicados. Si repites el archivo, tendrás cada contraseña dos veces. Corregirlo después es tedioso.
4. 4 Importa primero, cambia la contraseña maestra después. Y aprovecha para revisar el informe de contraseñas filtradas: casi siempre aparecen sorpresas de hace años.

Cuándo elegir cada opción