Guía completa para modernizar la gestión de contraseñas en tu empresa

Vivimos rodeados de tecnología que parece sacada de ciencia ficción. La inteligencia artificial ya escribe textos, genera imágenes y automatiza procesos complejos, pero al mismo tiempo seguimos atascados en problemas ridículos.

Empresas que presumen de asistentes virtuales avanzados todavía dependen de excels manuales para organizar turnos, en el mejor de los casos. Profesionales con acceso a herramientas de IA siguen usando la misma contraseña para todo. Mientras debatimos sobre la automatización del trabajo, la gente se olvida de fichar al salir.

La tecnología avanza a toda velocidad, pero los hábitos humanos no cambian tan rápido. La transformación digital no es solo implementar herramientas nuevas, es asegurarse de que realmente resuelvan problemas y no se conviertan en más ruido en el sistema.

Gestionar contraseñas de forma segura es un problema que muchas empresas arrastran sin darle la importancia que merece. Mientras la tecnología avanza y los ciberataques se vuelven más sofisticados, todavía es común ver equipos compartiendo claves por correo o almacenándolas en hojas de cálculo.

Un gestor de contraseñas profesional soluciona este caos, permitiendo almacenar, compartir y gestionar accesos de forma segura y centralizada. En esta guía, te explicaremos paso a paso cómo implementar una solución como Passbolt en tu empresa, aunque el proceso es aplicable a otras herramientas similares. Lo importante no es solo elegir el software adecuado, sino asegurarte de que tu equipo lo adopte correctamente y realmente mejore la seguridad sin volverse un obstáculo en el trabajo diario.

A continuación tienes un tutorial completo, paso a paso, para instalar Passbolt on premise (en tus propias máquinas/servidores). Te servirá de guía para publicar en tu blog. Explica desde los requisitos hasta la configuración final de Passbolt en un entorno Ubuntu (o similar) con Nginx, PHP y MariaDB.

1. Introducción

Passbolt es un gestor de contraseñas de código abierto diseñado para equipos y organizaciones. Su fortaleza principal radica en la integración con GPG (GNU Privacy Guard), lo que proporciona cifrado de extremo a extremo para todas las credenciales. Instalarlo on premise te da el control absoluto sobre tus datos y la seguridad de tu infraestructura.

2. Requisitos previos

Antes de lanzarnos:

• Servidor con Ubuntu (20.04 o superior) o Debian. También se puede instalar en otras distros, pero el procedimiento cambia ligeramente.

• Acceso root o de superusuario al servidor.

• DNS o IP fija si quieres usar HTTPS y un dominio para tu Passbolt (recomendado).

• Certificado SSL (puede ser auto-firmado o Let’s Encrypt).

• Conexión a Internet para descargar paquetes.

3. Preparar el entorno (LEMP)

Actualizar el sistema

Siempre conviene empezar con un sistema al día:

sudo apt-get update && sudo apt-get upgrade -y

Instalar Nginx

sudo apt-get install nginx -y

Activa y arranca Nginx:

sudo systemctl enable nginx
sudo systemctl start nginx

Instalar MariaDB

Aunque Passbolt puede funcionar con MySQL, se recomienda MariaDB:

sudo apt-get install mariadb-server mariadb-client -y

Asegúrate de tenerlo activo:

sudo systemctl enable mariadb
sudo systemctl start mariadb

Asegurar MariaDB (opcional, pero recomendable)

sudo mysql_secure_installation

Entre otras preguntas, te pedirá:

• Set root password: pon una contraseña segura.

• Remove anonymous users: sí.

• Disallow root login remotely: sí.

• Remove test database: sí.

• Reload privileges: sí.

4. Crear base de datos y usuario para Passbolt

1. Inicia sesión en MariaDB:

sudo mysql -u root -p

1. (te pedirá la contraseña de root que estableciste).
2. Crea la base de datos y usuario:

CREATE DATABASE passbolt CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;
CREATE USER 'passbolt'@'localhost' IDENTIFIED BY 'PassboltPassword';
GRANT ALL PRIVILEGES ON passbolt.* TO 'passbolt'@'localhost';
FLUSH PRIVILEGES;
EXIT;

1. Sustituye PassboltPassword por otra contraseña bien robusta.

5. Añadir repositorio oficial de Passbolt

El equipo de Passbolt ofrece un script que configura el repositorio APT. Sin embargo, si ya tienes PHP instalado, a veces el script se queja de que “PHP is already installed…”. Puedes forzar la instalación manual:

Script (si el servidor está “limpio”)

Descarga el script:

curl -LO https://download.passbolt.com/ce/installer/passbolt-repo-setup.ce.sh

Ejecuta:

sudo bash ./passbolt-repo-setup.ce.sh

Este script añade la clave GPG y las fuentes del repositorio. Luego instala:

sudo apt-get update
sudo apt-get install passbolt-ce-server -y

6. Configuración automática (dbconfig-common) o manual

Mientras se instala passbolt-ce-server, puede saltar el asistente interactivo dbconfig-common:

• Configurar la base de datos: te pedirá credenciales de root de MariaDB (para crear tablas). O bien, puedes negarte y hacerlo a mano.

• Configurar Nginx: el instalador puede hacer un setup básico. Puedes aceptar si quieres que se configure automáticamente, sobre todo si tienes un dominio y un certificado SSL de Let’s Encrypt.

Si lo configuras automáticamente, al final tendrás Nginx sirviendo Passbolt. Si prefieres el control manual, sigue con el siguiente paso.

Tu Passbolt estará accesible en http://passbolt.midominio.com. Es muy recomendable activar HTTPS:

Let’s Encrypt (ejemplo rápido)

sudo apt-get install certbot python3-certbot-nginx
sudo certbot --nginx -d passbolt.midominio.com

Responde a las preguntas y tendrás un certificado SSL gratuito. Nginx se configurará para escuchar en 443.

8. Finalizar instalación a través de la interfaz web

1. Visita la URL de Passbolt. Si usas dominio con SSL, https://passbolt.midominio.com.
2. Verás un asistente:
3. Comprueba requisitos.
4. Configura la conexión a la base de datos (si no se hizo antes).
5. Genera la clave GPG del servidor.
6. Configura el correo SMTP (importante para enviar invitaciones).
7. Crea el primer usuario administrador.
8. Descarga tu Recovery Kit (la clave privada GPG que se crea para tu usuario) y guarda esa copia en un lugar seguro.
9. Instala la extensión de Passbolt en tu navegador (Chrome, Firefox, Edge).
10. Importa tu clave GPG y configura tu frase de contraseña.

Al terminar, ya podrás crear y compartir contraseñas.

9. Validación y troubleshooting

• Ejecutar healthcheck

sudo su -s /bin/bash -c 'bin/cake passbolt healthcheck' www-data

Te dirá si hay fallos de conexión a la base, extensiones PHP faltantes, etc.

• Ver logs

1. Nginx: /var/log/nginx/error.log
2. Passbolt: /var/www/passbolt/logs/error.log (o /usr/share/php/passbolt/logs/error.log, según la ruta)
3. PHP-FPM: /var/log/php8.2-fpm.log (puede variar)

• MariaDB

1. Asegura que estás usando la base de datos y usuario correctos.
2. Si hay problemas de autenticación, revisa mysql -u passbolt -p passbolt en la consola.

10. Uso diario y mantenimiento

• Invitar usuarios

Desde el panel de administrador, secciona “Usuarios” y envía invitaciones a nuevos compañeros.

• Crear grupos y carpetas

Organiza contraseñas por proyecto o departamento.

• Copias de seguridad

Respalda la base de datos y las claves GPG.

• Actualizaciones

Para actualizar, basta con:

sudo apt-get update
sudo apt-get upgrade

(asegúrate de no romper dependencias). Passbolt suele actualizarse sin muchas complicaciones.

Una vez listo, disfrutarás de un gestor de contraseñas seguro y escalable, con cifrado de extremo a extremo y funcionalidades orientadas a la colaboración. Si surgen incidencias, los logs y el comando de healthcheck son tus mejores aliados.