Vaultwarden vs Passbolt vs Bitwarden: gestión de passwords en 2026

septiembre 5, 2026 Alfonso Moreno | Sysadmin Senior 66 Visitas 14 min de lectura

TL;DR — Lo que vas a tener al final

Tiempo de setup: 30 minutos a 2 horas dependiendo de la complejidad del entorno.
Requisitos: Acceso root, Linux moderno, conexión a internet para descargar dependencias.
Resultado: Servicio funcional y estable, documentado paso a paso.
Troubleshooting: Logs estándar en /var/log/, comandos de verificación al final de cada sección.

Por qué hay tres caminos y no uno

Cuando un sysadmin o un equipo pequeño decide dejar de tener las contraseñas en un .txt o en el navegador, aparecen tres proyectos que dominan la conversación: Bitwarden (el SaaS oficial con plan self-hosted pago), Vaultwarden (el reemplazo comunitario escrito en Rust que corre el mismo protocolo cliente) y Passbolt (el fork PHP/MySQL orientado a equipos con GPG por usuario). Los tres resuelven el mismo problema — bóveda cifrada, sincronización entre dispositivos, 2FA, sharing — pero lo hacen con arquitecturas, licencias y presupuestos operativos muy distintos.

Esta guía los pone lado a lado con datos verificados a finales de agosto de 2026: Vaultwarden 1.37.2 (publicado el 22 de agosto), Passbolt 5.15.0 “Who Is He” (publicado el 21 de agosto), y el modelo de Bitwarden self-hosted con su binario oficial. Verás diferencias reales en recursos, modelo de seguridad, gestión de usuarios y costes recurrentes — y al final un árbol de decisión para elegir según tu caso.

2. Versiones estables a finales de agosto de 2026

Antes de elegir nada hay que mirar el calendario de releases, porque una decisión de gestión de contraseñas se mantiene 3 a 5 años y no puede apoyarse en algo etiquetado beta:

Vaultwarden 1.37.2 publicado el 22 de agosto de 2026. Es la rama estable del fork comunitario; releases cada 2 a 4 semanas. El binario es Rust estático y corre en Linux, macOS, Windows, BSD, Raspberry Pi y Docker. Repositorio de dani-garcia/vaultwarden con 66.000+ estrellas. El proyecto es lo que la comunidad ha elegido como “el” reemplazo del servidor de Bitwarden.
Bitwarden self-hosted versión 2026.8.x (siguiendo el esquema de versionado YYYY.M). Bitwarden publica imágenes Docker oficiales (bitwarden/server) bajo licencia AGPL para el código abierto en bitwarden/server, pero las builds listas para producción se ofrecen como planes de pago: Personal ($10/año), Families ($40/año), Teams Starter ($5/usuario/mes), Teams ($7/usuario/mes), Enterprise. Si quieres las imágenes listas para correrlas, pagas. Si quieres compilarlas tú mismo desde el source, el repo está abierto pero no es trivial.
Passbolt CE 5.15.0 “Who Is He” publicado el 21 de agosto de 2026. Releases cada 6 a 8 semanas. Escrito en PHP (CakePHP 5) sobre MySQL/MariaDB o PostgreSQL. Repositorio passbolt/passbolt_api. La edición Community (CE) es AGPL y gratuita; la edición Pro añade SSO, SCIM, auditoría avanzada y soporte oficial desde $9/usuario/mes.

Los tres siguen una cadencia de releases seria y constante. Ninguno está abandonado. La diferencia está en el modelo de gobierno y en qué incluye la versión gratuita.

3. Modelo de licenciamiento y coste recurrente

El coste es donde la balanza se inclina más rápido. Los tres tienen una capa gratuita, pero cada uno entiende “gratis” de forma distinta:

Vaultwarden: AGPL-3.0. Completamente gratuito, sin límite de usuarios, sin telemetría obligatoria, sin planes pagos. El proyecto vive de donaciones en GitHub Sponsors y OpenCollective. Coste recurrente = tu servidor ($5/mes en un VPS pequeño o un homelab).
Bitwarden self-hosted: AGPL-3.0 (código), pero las builds oficiales listas para producción requieren suscripción. Si compilas desde source, es gratis en código pero pierdes la UI de admin oficial y algunas integraciones. Plan Personal cubre 1 usuario ($10/año); Families cubre 6 usuarios ($40/año). Self-hosting corporativo requiere plan Teams/Enterprise ($60-$84/usuario/año).
Passbolt CE: AGPL-3.0. La edición Community es gratuita e incluye todo lo que un equipo pequeño necesita: bóveda compartida, GPG por usuario, roles, recuperación. La edición Pro cuesta $9/usuario/mes (anual) y añade SSO con SAML/OIDC, SCIM, LDAP, auditoría avanzada, API extendida y soporte oficial.

Para una pareja o un autoalojado puro, Vaultwarden es imbatible en coste. Para un equipo de 5 a 50 personas con necesidad de SSO, Passbolt Pro y Bitwarden Teams quedan en el mismo orden de magnitud ($5-$9/usuario/mes). Para una empresa con 200+ empleados que necesita compliance, la decisión pasa por integraciones con el IdP corporativo.

4. Recursos: lo que corre cada uno

El contraste más fuerte está en el consumo de RAM y CPU. Aquí Vaultwarden arrasa:

Vaultwarden 1.37.2: binario Rust estático. Idle consume 30 a 60 MB de RAM en una instalación con 1 usuario activo. Con 10 usuarios sincronizando: 80 a 150 MB. CPU casi cero en idle. Corre sin problema en una Raspberry Pi 4, en un homelab con Proxmox, en un VPS de $5/mes. La imagen Docker oficial pesa ~280 MB comprimida.
Bitwarden self-hosted: imágenes Docker multi-contenedor (server, web vault, admin, attachments, icons, notifications, events, identity). Idle consume 1.2 a 2.5 GB de RAM en total. Con 10 usuarios: 2.5 a 4 GB. CPU baja pero constante por la base de datos MSSQL que incluye. Requiere un servidor dedicado o VM con al menos 4 GB de RAM.
Passbolt CE 5.15.0: PHP 8.2 + CakePHP 5 + MySQL/MariaDB. Idle consume 400 a 700 MB de RAM (PHP-FPM + Nginx + MariaDB). Con 10 usuarios activos: 800 MB a 1.2 GB. Más pesado que Vaultwarden pero mucho más liviano que Bitwarden self-hosted. Docker Compose oficial lo levanta en ~5 minutos sobre cualquier host con 2 GB libres.

Si tu servidor es una Raspberry Pi, un VPS viejo, o un contenedor LXC con 512 MB asignados, Vaultwarden es la única opción realista de los tres. Si tienes un servidor dedicado con 8 GB, los tres corren sin problema.

5. Modelo de seguridad: cifrado, 2FA, sharing

Aquí es donde el enfoque diverge más:

Vaultwarden y Bitwarden comparten el mismo modelo: cifrado AES-256-CBC + PBKDF2 SHA-256 (600.000 iteraciones por defecto en cliente 2026) client-side. El servidor nunca ve la master password ni las contraseñas en plaintext. La bóveda está cifrada antes de salir del cliente. Soportan TOTP, FIDO2/WebAuthn, YubiKey, Duo y email 2FA. El sharing funciona mediante “Organizations”: un cifrado asimétrico (RSA 2048) protege cada item compartido, y el servidor solo retransmite blobs cifrados.
Passbolt usa un modelo distinto: cada usuario tiene su propio par de claves GPG (RSA 2048 por defecto, se puede subir a 4096). La bóveda se cifra con la clave pública del destinatario y se descifra client-side con la clave privada del usuario, que nunca sale del navegador. Esto permite features que los otros dos no tienen nativamente: workflows de aprobación (un item compartido requiere la firma del aprobador), contraseñas por tiempo limitado, y recuperación basada en la frase del GPG. El 2FA es obligatorio en Passbolt desde el primer login: o TOTP o YubiKey, no se puede desactivar.

Para uso personal y familiar, el modelo AES client-side de Bitwarden/Vaultwarden es suficiente y más simple. Para equipos con requisitos de compliance, auditoría o workflows de aprobación, Passbolt tiene un modelo criptográfico más expresivo — pero la configuración inicial de GPG por usuario añade fricción que no todos los equipos están dispuestos a aceptar.

6. Gestión de usuarios y organizaciones

El día a día de administrar una bóveda compartida es donde los tres divergen más:

Vaultwarden / Bitwarden: el concepto central es la Organization. Creas una org, invitas usuarios por email, asignas colecciones (agrupaciones lógicas de items) y das permisos por colección. Hay roles predefinidos: Owner, Admin, Manager, User, Custom. Las políticas de la org controlan 2FA obligatorio, longitud mínima de master password y prohibición de contraseñas débiles. La gestión es 100% web. Bitwarden tiene además directory connector para sincronizar usuarios con LDAP/Okta/Azure AD (solo en planes de pago).
Passbolt: la gestión es por grupos y permisos sobre carpetas compartidas. Los usuarios se crean manualmente o por invitación por email. Los grupos pueden tener permisos de lectura, escritura o ambos. La diferencia clave es que Passbolt tiene un modelo de recuperación más granular: cada usuario configura una frase de recuperación que el admin NO puede usar para descifrar sus items — solo el usuario puede, con su clave privada. Para empresas, Passbolt Pro añade SSO (SAML, OIDC, LDAP) y SCIM para provisionar usuarios desde el IdP.

Si tu equipo es chico (≤10 personas) y está cómodo con el modelo de “org + colecciones” de Bitwarden, esa ergonomía es difícil de superar. Si necesitas aprovisionar 100 usuarios desde el directorio corporativo, Passbolt Pro o Bitwarden Teams son las opciones serias.

7. Apps cliente y experiencia de uso

Las apps cliente son donde los usuarios pasan el 99% del tiempo. Aquí Bitwarden tiene una ventaja que Vaultwarden hereda:

Bitwarden: apps oficiales para Windows, macOS, Linux, iOS, Android, extensiones para Chrome/Firefox/Safari/Edge/Brave/Opera/Vivaldi, app CLI, app de línea de comandos. La extensión del navegador es considerada una de las mejores del mercado. El autocompletado funciona bien incluso en sitios con formularios complicados. La interfaz es pulida y consistente entre plataformas.
Vaultwarden usa las mismas apps cliente que Bitwarden porque implementa el API oficial del servidor. Esto es la magia del proyecto: obtienes todas las apps cliente de Bitwarden (que son open source) pero con un servidor que es 50x más liviano y completamente gratuito. La única limitación es que algunas features empresariales del Bitwarden server (fingerprint phrases, emergency access) no están implementadas en Vaultwarden, pero las apps cliente las piden igual y reciben respuestas válidas.
Passbolt: apps oficiales para Firefox, Chrome, Edge (extensiones del navegador son la forma principal de uso). Hay un cliente móvil para iOS y Android pero la experiencia está más orientada al escritorio. La interfaz es más técnica: ves fingerprints GPG, estados de firma, workflows de compartir. Es más potente pero menos pulida que la de Bitwarden en autocompletado de formularios.

Para un usuario no técnico, la experiencia de Bitwarden/Vaultwarden es muy superior. Para un equipo técnico que valora la criptografía visible, Passbolt no tiene comparación.

8. Cuándo elegir cada uno

Los tres son buenos proyectos. La elección se reduce al tamaño del equipo, al modelo de coste aceptable y a cuánto valoras las features empresariales:

Elige Vaultwarden si: quieres autoalojar en hardware modesto (Raspberry Pi, VPS de $5, LXC con 1 GB). Tu equipo es ≤20 personas. No necesitas SSO ni SCIM. No quieres pagar suscripciones recurrentes. Te basta con las apps cliente oficiales de Bitwarden (que son open source). Es el camino del 80% de los autoalojados.
Elige Bitwarden self-hosted si: necesitas las features empresariales completas (directory connector, eventos de auditoría avanzados, API SCIM) y estás dispuesto a pagar el plan Teams/Enterprise correspondiente ($60-$84/usuario/año). Tienes infraestructura para correr los 8 contenedores Docker con 4+ GB de RAM. Tu organización ya usa Bitwarden SaaS y quieres migrar a on-premise.
Elige Passbolt CE si: tu equipo es de 5 a 50 personas, valora el modelo criptográfico GPG por usuario, y necesita workflows de aprobación o recuperación granular sin pagar Pro. Estás cómodo con PHP + MySQL o PostgreSQL. Quieres una separación clara entre “usuarios que pueden leer” y “usuarios que pueden escribir” en cada item.
Elige Passbolt Pro si: necesitas SSO con SAML/OIDC, SCIM, LDAP, auditoría avanzada o soporte oficial. Estás en una empresa con compliance formal (ISO 27001, SOC 2). $9/usuario/mes es asumible en tu presupuesto de IT.

9. Setup mínimo funcional: Vaultwarden en 10 minutos

Si quieres arrancar hoy con el más liviano y ver cómo se siente, el camino corto es Vaultwarden en Docker:

# Crear directorio y descargar compose
mkdir -p ~/vaultwarden && cd ~/vaultwarden
curl -fsSL -o docker-compose.yml https://raw.githubusercontent.com/dani-garcia/vaultwarden/main/docker/docker-compose.yml
# Crear archivo .env con parámetros mínimos
cat > .env << 'EOF'
ROCKET_PORT=8080
DOMAIN=https://vault.tudominio.com
SIGNUPS_ALLOWED=false
INVITATIONS_ALLOWED=true
SHOW_PASSWORD_HINT=false
LOG_LEVEL=warn
EOF
# Levantar el servicio
docker compose up -d
# Detener registro público (importante: una vez creado tu usuario, desactiva signups)
# Editar .env y poner SIGNUPS_ALLOWED=false, luego docker compose restart

Después pones un reverse proxy con Caddy o Nginx delante para HTTPS, configuras el DNS, y abres https://vault.tudominio.com en el navegador para crear tu cuenta. La extensión de Bitwarden detecta automáticamente el servidor custom si la URL coincide con el formato estándar.

Para Passbolt, el camino equivalente es docker compose con la imagen oficial de Passbolt CE; el primer login te lleva por un wizard que genera el par de claves GPG en el navegador. Para Bitwarden self-hosted, sigues la guía oficial que levanta los 8 contenedores y configura la base de datos MSSQL — más complejo pero más documentado.

10. Migración entre los tres

Si ya tienes usuarios en uno y quieres moverte a otro, las tres plataformas exportan e importan en formatos estándar:

Vaultwarden ↔ Bitwarden: migración trivial. Ambos usan el mismo formato de export (CSV o JSON encriptado). Exporte desde el cliente web, importe en el otro. Los items, las carpetas y las organizaciones se transfieren sin pérdida. Los adjuntos pueden requerir import manual adicional.
Passbolt → Bitwarden/Vaultwarden: Passbolt exporta CSV con columnas: name, username, password, uri, description. Bitwarden/Vaultwarden importan CSV directamente. La pérdida está en los metadatos de Passbolt (GPG fingerprints, descripción de GPG, workflows de aprobación) que no tienen equivalente en Bitwarden.
Bitwarden/Vaultwarden → Passbolt: Passbolt tiene un importador de CSV genérico (no específico de Bitwarden). El mapeo es: name → name, username → username, password → password, url → uri, notes → description. Los shared items requieren reasignación manual a grupos de Passbolt.

Una migración de 100 items toma entre 15 minutos (Vaultwarden ↔ Bitwarden) y 1 hora (cualquiera hacia Passbolt, por el re-mapeo de grupos).

11. Cuándo NO autoalojar tu gestor de contraseñas

Autoalojar es libertad, pero también es responsabilidad. Algunos escenarios donde NO tiene sentido correr tu propio servidor:

Una sola persona con 2 dispositivos: el plan gratuito de Bitwarden SaaS (sin self-hosting) te da todo lo que necesitas con cero mantenimiento. Por $10/año tienes sync, 2FA y backup. No vale la pena operar un servidor para esto.
Equipo distribuido sin sysadmin dedicado: si nadie en el equipo tiene tiempo o ganas de mantener un servidor (backups, updates, monitorización), el coste operativo de autoalojar supera el coste de la suscripción. Paga Bitwarden Teams o Passbolt Pro.
Datos que no quieres en tu infraestructura: si tu empresa tiene políticas estrictas sobre dónde viven los datos sensibles (banca, salud, defensa), autoalojar añade un activo más a auditar. En ese caso, SaaS certificado (Bitwarden Enterprise con SOC 2) puede ser más fácil de justificar ante compliance.
Sin HTTPS propio: si no puedes poner un certificado válido delante del servidor (Let’s Encrypt, Caddy, Nginx + certbot), no autoalojes. Las contraseñas syncen sin TLS son inaceptables.

12. Resumen

Vaultwarden, Passbolt y Bitwarden resuelven el mismo problema con tres modelos distintos. Vaultwarden es la opción ligera y gratuita, ideal para autoalojado puro en hardware modesto y equipos pequeños. Bitwarden self-hosted es la opción empresarial completa, con coste por usuario y requisitos de RAM más altos. Passbolt es la opción con modelo criptográfico más expresivo (GPG por usuario, workflows de aprobación), gratuita en CE y de pago en Pro para SSO.

El árbol de decisión rápido: ¿cuánta RAM tienes? Menos de 1 GB → Vaultwarden. ¿Necesitas SSO? Sí → Passbolt Pro o Bitwarden Teams. ¿Tu equipo es técnico y valora GPG? Passbolt. ¿Quieres apps cliente pulidas sin configurar nada raro? Vaultwarden (que usa las apps de Bitwarden). ¿Empresa con compliance formal? Bitwarden Enterprise o Passbolt Pro, según integraciones con tu IdP.

Eliges lo que elijas, mueve tu bóveda fuera del navegador o del .txt hoy. La diferencia entre “tengo backup de mis contraseñas” y “todavía las tengo escritas en un post-it” es exactamente este paso.

Preguntas frecuentes

¿Por qué Vaultwarden vs Passbolt vs Bitwarden: gestión de passwords en 2026 es relevante para sysadmins Linux?

Forma parte del flujo diario de administración. Los conceptos explicados se aplican directamente a servidores en producción y resuelven problemas reales que enfrentan sysadmins hispanohablantes.

¿Qué necesito para empezar con Vaultwarden vs Passbolt vs Bitwarden:?

Distribución Linux actualizada (Debian, Ubuntu, RHEL, Fedora o Arch), acceso root, y conexión a internet. Para producción: entorno de staging separado antes de aplicar cambios.

¿Cuáles son los errores más comunes con Vaultwarden vs Passbolt vs Bitwarden:?

Los tres más frecuentes: (1) saltar la lectura de logs, (2) aplicar cambios directos en producción sin probar, (3) olvidar permisos y ownership. La documentación y un plan de rollback siempre.

¿Cuándo usar Vaultwarden vs Passbolt vs Bitwarden: y cuándo una alternativa?

Esta solución es ideal para el caso descrito. Alternativas como Docker, Ansible o configuración manual pueden ser mejores según contexto: portabilidad, escala y reproducibilidad son los factores clave.

¿Cómo migro desde una configuración previa a Vaultwarden vs Passbolt vs Bitwarden:?

Documentar el estado actual, probar la nueva configuración en staging, validar funcionalmente, y aplicar en producción con rollback plan listo. Los posts de SoyLinux incluyen troubleshooting para los problemas más comunes.