Bitwarden a examen: análisis, precios y seguridad en 2026

Bitwarden es la respuesta que más doy cuando una empresa española me pregunta con qué gestor de contraseñas empezar. Es de código abierto, se audita con más insistencia que cualquier otro de la categoría y su plan gratuito es de verdad utilizable, no un embudo de ventas. En enero de 2026 la ecuación cambió: Bitwarden casi duplicó el precio de Premium, un equipo académico publicó doce escenarios de ataque contra él y las valoraciones de su extensión de navegador bajaron. Toca mirarlo con lupa.

Este análisis es el complemento en profundidad de nuestra comparativa del mejor gestor de contraseñas para empresas, donde Bitwarden se llevó la corona en relación calidad-precio. Aquí pongo esa corona a prueba con peso encima: lo que cuestan los planes ahora de verdad, qué demuestran y qué no ocho años de auditorías de seguridad, qué encontró realmente el estudio de la ETH de Zúrich y las asperezas que las páginas de marketing se saltan. Todo está sacado de la documentación del fabricante, de investigación primaria y de datos de las tiendas de aplicaciones consultados esta semana.

La versión corta: Bitwarden sigue siendo la opción por defecto más defendible para los equipos españoles con el presupuesto ajustado, y las críticas que merece tomarse en serio van de acabado, no de protección. Si ya tienes claro que el duelo es con la alternativa premium, nuestra comparativa entre Bitwarden y 1Password resuelve ese cara a cara con precios y veredicto. La versión larga, con las gráficas y las salvedades, está debajo. Si solo quieres la recomendación, la recomendación rápida la resume.

Cifras verificadas en la documentación y el repositorio de Bitwarden el 11 de junio de 2026. Detalle en el bloque de fuentes al final.

Qué es Bitwarden (y qué cambió en 2026)

Bitwarden es un gestor de contraseñas de conocimiento cero: cada elemento de la caja fuerte se cifra en tu dispositivo con claves derivadas de tu contraseña maestra, y la empresa afirma que esa contraseña maestra nunca se transmite a sus servidores. A diferencia de casi toda la competencia, el código que respalda esa afirmación es público, con 67 repositorios abiertos que cubren el servidor, la web, la extensión y los clientes de escritorio y móvil. Guarda contraseñas, passkeys, tarjetas, identidades y notas seguras, sincroniza entre dispositivos ilimitados incluso en el plan gratuito y mantiene un programa público de recompensas por fallos en HackerOne.

Tres cosas cambiaron el panorama en 2026. Enero trajo la primera subida de precio de Premium en aproximadamente una década, empaquetada con funciones nuevas y comunicada con la torpeza suficiente como para que Fast Company la calificara de “la peor forma posible” de anunciar una subida. Febrero trajo el estudio académico de la ETH de Zúrich y la USI, que puso a prueba su criptografía bajo un modelo de servidor hostil. Y a lo largo de 2025-26 Bitwarden lanzó su mayor oleada de producto en años: apps móviles nativas, una extensión rediseñada, bloqueo de phishing y Access Intelligence para administradores de empresa.

La presión normativa sobre las empresas españolas subió en paralelo: el INCIBE lleva años recomendando los gestores de contraseñas como medida básica de higiene digital, y el RGPD obliga a proteger las credenciales que dan acceso a datos personales. Si tu equipo aún arrastra esa deuda, una consultoría de inteligencia artificial que ordene primero los procesos antes de automatizarlos es el paso lógico.

Planes y precios de Bitwarden tras la subida de 2026

Todos los precios de Bitwarden van en dólares estadounidenses (USD) y se facturan por año en la opción más barata. El cambio de enero de 2026 afectó solo a los planes personales: Premium pasó de 19,80 USD desde los 10 USD anteriores, un salto del 98% y el primero de su historia, mientras que Families se quedó en 47,88 USD. Los suscriptores existentes recibieron un descuento de fidelidad puntual del 25% en su primera renovación, dejando el primer año en 14,85 USD. Las licencias de empresa no se movieron: Teams sigue en 4 USD por usuario al mes y Enterprise en 6 USD, ambos anuales. Si quieres sopesar esas licencias frente a las horas que tu equipo pierde reseteando contraseñas, ese cálculo es justo el tipo de análisis que ordenamos al empezar cualquier proyecto de automatización, el mismo que aplicamos al medir el retorno de la automatización de cuentas a pagar con IA.

Qué compró la subida: alertas de salud de la caja fuerte, asesoramiento sobre contraseñas, cinco veces más almacenamiento de adjuntos, soporte para diez llaves de seguridad por hardware y un bloqueador de phishing que llega con las extensiones de 2026. La queja más sonora de la comunidad fue la forma de comunicarlo, no el dinero: la subida quedó enterrada en un anuncio de funciones con solo 15 días de aviso, y aun con el precio nuevo Premium sale más barato que el plan individual de cualquier rival de primera línea.

El plan gratuito de Bitwarden sigue siendo el mejor de la categoría

Nada del plan gratuito cambió en 2026, por mucho que algún artículo afirmara lo contrario. Sigue cubriendo elementos de caja fuerte ilimitados en dispositivos ilimitados con sincronización, almacenamiento de passkeys, el generador de contraseñas, un informe de filtraciones de datos y una organización gratuita de dos usuarios para compartir con otra persona.

Los límites honestos: el autenticador TOTP integrado dentro de los elementos de la caja fuerte siempre ha sido de pago (aunque la app Authenticator independiente de Bitwarden es totalmente gratis), los adjuntos y los envíos de archivos son de pago, y compartir con más de dos personas necesita una organización de pago. Para un autónomo o un negocio de dos personas es un producto completo, y hace que pilotar no cueste nada: empieza por mapear qué credenciales maneja cada persona y sabrás exactamente a quién meter en el grupo piloto, igual que recomendamos a las empresas que asesoramos desde nuestra agencia de inteligencia artificial en Valencia.

Documentación de planes verificada el 11 de junio de 2026. Un detalle que conviene saber: Premium no añade compartir en equipo; eso lo hacen las organizaciones.

Seguridad de Bitwarden: el rastro de auditorías detrás del conocimiento cero

Las promesas de marketing salen baratas en esta categoría; la costumbre que distingue a Bitwarden es pagar a terceros para que lo ataquen y publicar los resultados. Desde su primera auditoría de Cure53 en 2018, y todos los años desde 2020, ocho firmas distintas lo han evaluado, y 2025 fue el año más a fondo hasta ahora: una revisión criptográfica dedicada por el grupo de criptografía aplicada de la ETH de Zúrich, una auditoría móvil de la Unit 42 de Palo Alto Networks y pruebas de web y red de Fracture Labs.

El cifrado de base es AES-CBC de 256 bits con autenticación HMAC, derivación de clave por PBKDF2 con 600.000 iteraciones o Argon2id, y desde el cliente 2026.2.1 ese suelo de 600.000 se aplica a todo el mundo, cerrando una debilidad heredada de hace años. Es el mismo criterio de “primero la prueba” que defendemos al evaluar a cualquier proveedor: fíate de lo que se pone a prueba, no de lo que se afirma. Si tu sector maneja datos sensibles, ese rigor es el mismo que aplicamos en las clínicas para las que trabajamos, como contamos en nuestra guía de IA para clínicas.

Conviene saber qué no está cifrado de extremo a extremo: tu email de cuenta, los datos de facturación, los nombres de las organizaciones y las marcas de tiempo de los eventos son datos administrativos. El contenido de la caja fuerte, incluidas las URL de los sitios, las notas, los adjuntos y las passkeys, sí está cifrado, un contraste afilado con LastPass, cuya brecha de 2022 expuso las URL de los sitios sin cifrar junto a las cajas fuertes robadas. Las casillas de cumplimiento también están marcadas: SOC 2 Type II, SOC 3, ISO 27001, HIPAA y RGPD, las mismas que pesan en cualquier plan de cumplimiento de IA bajo el RGPD y el AI Act.

Los hallazgos de la ETH de Zúrich contra Bitwarden: qué significan 12 escenarios de ataque

En febrero de 2026, investigadores de la ETH de Zúrich y la USI publicaron la prueba académica más seria que ha tenido esta categoría: 25 ataques contra Bitwarden, LastPass y Dashlane bajo un modelo de servidor plenamente malicioso, justo el escenario que el marketing de conocimiento cero dice resistir. Bitwarden se llevó el mayor número de escenarios, doce, de los cuales siete podían llevar a la revelación de contraseñas. Antes de que esa cifra te asuste, tres apuntes de contexto. Cada ataque exige que el atacante ya controle la infraestructura de servidores de Bitwarden. Los investigadores eligieron Bitwarden en parte porque su código totalmente abierto hizo posible un análisis profundo, y porque sus funciones de empresa más ricas (SSO, recuperación de cuenta, organizaciones) crean más superficie que examinar. Y nadie ha reportado explotación alguna en el mundo real.

La respuesta de Bitwarden es la parte que genera confianza: publicó un registro completo de mitigaciones nombrando cada problema, resolvió o empezó a corregir siete de los diez, declaró tres como concesiones de diseño intencionadas que está investigando y dio las gracias a los investigadores en público. LastPass discutió las valoraciones de gravedad; 1Password calificó sus dos hallazgos del apéndice como limitaciones conocidas. El calendario de divulgación también importa: los investigadores avisaron a Bitwarden en enero de 2025, un año entero antes de la publicación, y las correcciones fueron llegando por el camino, incluido ese mínimo de KDF obligatorio.

El historial de brechas de Bitwarden frente a la competencia

Nunca se ha reportado públicamente ninguna brecha de los servidores de Bitwarden ni de los datos de las cajas fuertes de sus clientes, un historial que ya abarca cerca de una década. Dos incidentes mantienen honesta esa afirmación. En marzo de 2023, unos investigadores demostraron que la extensión autocompletaba credenciales en iframes de otro dominio, una debilidad ya señalada en su primera auditoría de 2018 y corregida solo tras la publicidad. Y en abril de 2026, una versión maliciosa de la CLI de Bitwarden estuvo en el registro de npm durante 93 minutos dentro de una campaña más amplia de cadena de suministro, con unas 334 descargas antes de su retirada; Bitwarden informó de que no había indicios de que ningún dato de caja fuerte estuviera en riesgo.

Ninguno se acerca a la historia alternativa: las cajas fuertes robadas a LastPass en 2022 seguían financiando robos de criptomonedas a finales de 2025, incluido un atraco de 150 millones de dólares vinculado por las autoridades federales a la brecha.

Usar Bitwarden en el día a día: autofill, apps y asperezas

Aquí es donde el análisis honesto se gana el sueldo, porque el acabado del día a día es el punto más flojo de Bitwarden y los datos de las tiendas lo dicen. Las apps móviles, reconstruidas de forma nativa en 2024-25, puntúan de fábula: 4,76 en Google Play sobre unas 150.000 valoraciones y 4,8 en la App Store española. La extensión de navegador, donde se hace la mayor parte del trabajo, se queda en 4,3 en la Chrome Web Store sobre 7.800 valoraciones y siete millones de usuarios, la cicatriz visible de un rediseño de enero de 2025 que el megahilo de la comunidad dijo que “rompió flujos de uso”, más regresiones documentadas del autofill a lo largo de los lanzamientos de 2025 y una racha de compilaciones rotas en Safari a finales de 2025. Los lanzamientos de 2026 de Bitwarden han ido a por esas mismas quejas.

Para los equipos de ecommerce y retail que rotan personal eventual por accesos compartidos, el consejo práctico es simple: activa el menú de autofill en línea (viene desactivado por defecto, una postura de seguridad deliberada) y cuenta con una curva de aprendizaje corta que los rivales más pulidos no tienen.

Bitwarden para empresas: Teams, Enterprise y la capa de administración

El producto de empresa se construye alrededor de las organizaciones: los elementos viven en colecciones, los grupos asignan accesos y los miembros pasan por un flujo de invitar, aceptar y confirmar en el que la confirmación final comprueba una frase de huella. Esa capa de permisos y registros encaja con el mismo orden que pedimos antes de mover papeleo en cualquier proyecto de automatización de documentos con IA.

La baja de usuarios es la parte que importa a los responsables: revocar a un usuario temporalmente, eliminarlo de forma permanente o, con un dominio de email reclamado, borrar la cuenta por completo mientras los registros de auditoría muestran qué tocó. Teams a 4 USD trae registros de eventos, aprovisionamiento SCIM y sincronización con Directory Connector; Enterprise a 6 USD añade inicio de sesión único SAML y OIDC (ingeniosamente desacoplado del descifrado, así que tu proveedor de identidad nunca tiene las claves de la caja fuerte), diecisiete políticas exigibles, recuperación de cuenta por el administrador y el nuevo panel de riesgos Access Intelligence. Las asesorías y despachos que automatizamos suelen aterrizar en Enterprise por una sola función: la recuperación de cuenta sin tickets de soporte, un patrón que detallamos en nuestra guía de IA para asesorías.

Documentación de precios y políticas del fabricante, 11 de junio de 2026. El soporte es por email y tickets en todos los niveles; Bitwarden no ofrece soporte telefónico ni chat en vivo.

Autoalojar Bitwarden, Vaultwarden y el ángulo de la residencia del dato

Bitwarden es el único gestor de contraseñas de primera línea con una opción oficial de autoalojamiento, y para las empresas españolas eso es más que una función para aficionados. El servicio en la nube corre solo en regiones de Azure de EE. UU. y la UE; no hay región española, pero las regiones europeas sí cubren la residencia del dato en la UE que exige el RGPD. Aun así, si por contrato necesitas el control total de la infraestructura, autoalojar en un servidor propio en la UE es la vía, y es la que hemos visto tomar en proyectos donde la automatización documental obliga a tener los datos bajo techo. La pila oficial pide un par de gigas de RAM y una licencia Enterprise o Families; el nuevo contenedor Bitwarden lite corre en 200 MB pero está pensado para uso personal.

Luego está Vaultwarden, el servidor de la comunidad escrito en Rust que habla la API de Bitwarden, de modo que las apps oficiales funcionan contra él sin cambios, corre en unos 50 MB y desbloquea funciones de pago gratis. El encuadre honesto: es no oficial, queda fuera de las auditorías, el SOC 2 y el programa de recompensas de Bitwarden, parcheó una vulnerabilidad grave del panel de administración a principios de 2025 y no ofrece contrato de soporte. Encaja con equipos técnicamente capaces y con disciplina real de operaciones, no con quien necesita certificaciones de cumplimiento, el mismo perfil que tiende a sentirse cómodo corriendo un agente de IA open source en su propio ordenador.

Bitwarden en España: precios, IVA y la letra pequeña local

Comprar desde España es sencillo, con tres detalles que conviene saber de antemano. Bitwarden factura solo en USD, no existe lista de precios en euros, así que presupuesta el vaivén del cambio en las renovaciones. El IVA se calcula y se añade como una línea aparte en las facturas, y las organizaciones de empresa pueden eliminarlo introduciendo un NIF-IVA válido en la consola de administración, un trámite de dos minutos que tu gestoría agradecerá. Y para los equipos que quieran facturación en euros o ayuda en horario local, hay distribuidores europeos que venden licencias de Bitwarden, aunque el producto en sí es idéntico. El sentir local encaja con el patrón global: las empresas de Madrid y Valencia con las que tratamos a través de nuestra agencia de inteligencia artificial en Madrid alaban el precio y las auditorías, y refunfuñan un poco por la primera semana de autofill.

Cómo se compara Bitwarden con 1Password, Proton Pass y NordPass

El panorama competitivo en un párrafo. 1Password es la apuesta por el acabado: autofill multipaso más fino, una experiencia de administración más cuidada y la monitorización Watchtower, a 2,4 veces el precio personal de Bitwarden tras las subidas de 2026 de ambos, y con código cerrado tras un portal de confianza con verja. Proton Pass es el rival filosófico más cercano, de código abierto, recién auditado en 2026, con un plan gratuito generoso y el nivel de SSO más barato del mercado, pero un conjunto de funciones de empresa mucho más joven.

NordPass trae el cifrado moderno XChaCha20 y precios promocionales bajos que suben al renovar, con un plan gratuito limitado a un dispositivo activo a la vez, frente a los ilimitados de Bitwarden. Para profesiones sensibles a la privacidad que sopesan Proton frente a Bitwarden, vale la misma lógica que mapeamos en nuestras herramientas de IA para abogados: elige aquel cuya prueba puedas leer.

Precios en USD, facturación anual, tarifas de lista a 11-12 de junio de 2026; NordPass y Proton lanzan promociones frecuentes que suben al renovar.

Quién debería elegir Bitwarden (y quién no)

Después de todas las pruebas, la decisión va de qué valora tu equipo. Bitwarden gana en pruebas, precio y opciones de salida; cede en acabado, soporte telefónico y nube alojada dentro de España. Como agencia de automatización con IA somos neutrales con los proveedores, aquí no revendemos nada, y esta es la misma chuleta que usamos cuando el despliegue de un cliente llega a la conversación de las credenciales.

Preguntas frecuentes sobre Bitwarden

¿Bitwarden es de verdad gratis?

Sí, y el plan gratuito es de una completitud poco habitual: contraseñas y passkeys ilimitadas en dispositivos ilimitados con sincronización, más una organización de dos usuarios para compartir. Los planes de pago añaden códigos TOTP en la caja fuerte, adjuntos de archivos, acceso de emergencia, informes de salud y funciones de equipo.

¿Bitwarden es seguro?

Su historial es el mejor argumento: ninguna brecha conocida públicamente de los datos de caja fuerte en cerca de una década, auditorías independientes anuales desde 2020, código totalmente abierto y un programa público de recompensas por fallos. Como cualquier gestor de contraseñas, su seguridad depende de una contraseña maestra fuerte y del inicio de sesión en dos pasos.

¿Han hackeado alguna vez Bitwarden?

No se ha reportado públicamente ninguna brecha de los servidores de Bitwarden ni de las cajas fuertes de sus clientes. Su incidente más grave fue un paquete CLI envenenado en el registro de npm en abril de 2026, activo durante 93 minutos, que según Bitwarden no puso en riesgo ningún dato de caja fuerte.

¿Cuánto cuesta Bitwarden en 2026?

Premium cuesta 19,80 USD al año tras la subida de enero de 2026, Families 47,88 USD, Teams 4 USD por usuario al mes y Enterprise 6 USD, facturados anualmente en USD. Las facturas en España añaden el IVA como una línea aparte, eliminable para las empresas con un NIF-IVA válido.

¿Qué diferencia hay entre Bitwarden y Vaultwarden?

Vaultwarden es un servidor no oficial, construido por la comunidad, que imita la API de Bitwarden para que las apps oficiales funcionen con él, en un contenedor que necesita unos 50 MB de RAM. Queda fuera de las auditorías, las certificaciones y el soporte de Bitwarden, así que encaja con laboratorios caseros más que con empresas.

¿Es Bitwarden mejor que LastPass?

Para la mayoría de los equipos, sí. Bitwarden es de código abierto, no tiene ninguna brecha de caja fuerte conocida y cifra las URL de los sitios; las cajas fuertes robadas a LastPass en 2022 expusieron las URL sin cifrar y se las seguía vinculando a robos de criptomonedas, incluido un atraco de 150 millones de dólares, años después.

¿Bitwarden guarda passkeys?

Sí. La extensión y las apps móviles crean, guardan y sincronizan passkeys, incluso en el plan gratuito, y puedes iniciar sesión en el propio Bitwarden con una passkey en navegadores Chromium. En iOS 26 soporta el nuevo estándar de intercambio de credenciales para importaciones directas desde Apple Passwords.

¿Pueden las empresas españolas mantener los datos de Bitwarden en la UE?

Sí, de dos maneras. La nube de Bitwarden tiene región en la UE, que cubre la residencia del dato que exige el RGPD; y si por contrato necesitas control total de la infraestructura, puedes autoalojar el servidor oficial en un servidor propio dentro de la UE bajo una licencia Enterprise.

La conclusión sobre Bitwarden para los equipos españoles en 2026

El argumento de valor de Bitwarden sobrevivió a su año más duro. La subida de precio escoció y se anunció con torpeza, el estudio académico encontró debilidades reales aunque remotas, y la brecha de acabado de la extensión está documentada en su propia valoración de tienda. Frente a eso: las licencias de empresa no se movieron ni un céntimo, los hallazgos de la investigación se corrigieron a la vista de todos más rápido y con más transparencia que cualquier rival, y el plan gratuito sigue siendo la mejor rampa de entrada de la categoría. La prueba gana a la promesa, y Bitwarden sigue publicando más pruebas que nadie.

El patrón que vemos en los despliegues es constante: los equipos que activan el menú de autofill en línea y hacen una semana de piloto en condiciones dejan de notar las asperezas; los que lo juzgan el primer día contra el brillo de 1Password vuelven a las hojas de cálculo o gastan de más. El producto premia un poco de disciplina al configurarlo, algo cierto en cualquier herramienta que merezca la pena conservar. Mídelo en la segunda semana, no en la segunda hora, y mira cómo encaja con el resto de tu stack mientras corre el piloto.

Si quieres ayuda para meter las credenciales en un esfuerzo más amplio de automatización, ese es el trabajo que hacemos cada semana con empresas españolas desde Aivy Automatizaciones, y la higiene de credenciales es el paso cero de todo ello. Reserva una reunión y lo mapeamos contigo.

Última actualización: 12 de junio de 2026. Precios, auditorías y valoraciones de tiendas verificados con las fuentes de abajo en el momento de escribir; los fabricantes cambian de plan a menudo, así que confirma las cifras actuales antes de comprar.