KeePassXC: exportar, importar y por qué un CSV de tus contraseñas es el fichero más peligroso del disco

2026-10-18

Un gestor de contraseñas solo ayuda si puedes recuperar tus datos el día que falle o quieras cambiar de herramienta. KeePassXC guarda todo en un fichero .kdbx cifrado, y es fácil de copiar. Lo delicado son las exportaciones. Esta prueba usa la versión de línea de comandos para ver qué se genera exactamente.

Condiciones: keepassxc-cli 2.7.6 (el de Ubuntu 24.04), contraseñas desechables, una base con una sola entrada ficticia. Script: tools/test-keepassxc-cli.sh. No se probó la aplicación gráfica, la extensión del navegador ni el uso de fichero de clave o llave física.

Qué se probó y qué salió

• Crear la base: keepassxc-cli db-create -p a.kdbx creó un fichero de 1118 bytes. Con una entrada, 1358 bytes.
• Contraseña maestra incorrecta: Invalid credentials were provided, código de salida 1. El mensaje añade "your database file may be corrupt", que aparece igual con una simple clave mal escrita: no te asustes por eso, comprueba primero la clave.
• Contraseña generada: generate -L 20 produjo 20 caracteres; estimate calculó 99,1 bits de entropía.
• Exportar a CSV: el fichero (205 bytes) contiene la contraseña en texto plano: "Banco","[email protected]","pass-del-banco". Cualquiera que abra ese fichero lee todas tus claves.
• Exportar a XML: 3304 bytes, también legible. (No se miró si las contraseñas protegidas aparecen o no en XML; la importación de vuelta recuperó la clave, así que contiene los datos completos.)
• Importar el CSV: keepassxc-cli import no admite CSV: respondió Unable to import XML database: No root group. El comando espera un XML. Si quieres importar CSV de otro gestor, la ruta es la aplicación gráfica, que no se probó aquí.
• Importar el XML en una base nueva: Successfully imported database; la entrada Banco se recuperó con usuario y contraseña idénticos.

Consecuencias prácticas

1. Una exportación es una copia sin cifrar de todas tus contraseñas. Hazla solo para migrar, en una carpeta temporal, y bórrala al terminar. Ojo: si tu copia de seguridad recorre esa carpeta, la exportación acabará dentro del repositorio; entra en las exclusiones o bórrala antes de la copia. Borrar un fichero no garantiza que no se pueda recuperar del disco; no se probó el borrado seguro.
2. Para respaldo, no exportes: copia el .kdbx. Ya está cifrado. Es un fichero pequeño, así que cabe en cualquier plan; incluirlo en restic es trivial y las versiones antiguas quedan en el historial (retención).
3. Comprueba que sabes abrir la copia. Restaura el .kdbx a otra carpeta y ábrelo con la clave maestra: es la prueba de restauración aplicada a lo más importante que tienes. Con una clave maestra incorrecta la base no se abre (el mensaje de error de arriba) y no se probó ninguna vía de recuperación.

Este artículo no contiene enlaces de afiliado.