Tu gestor de contraseñas perfecto vive en la terminal: pass

¿Y si tu terminal fuese tu gestor de contraseñas?

Te propongo una idea que a mucha gente le suena rara al principio: que tu terminal sea tu gestor de contraseñas. La de Instagram, sí, pero también la clave de tu base de datos o las credenciales de un servidor. Y que encima sea gratis, de código abierto y esté hecho por el mismo investigador que creó WireGuard (Jason Donenfeld, casi nada).

Esa herramienta existe y se llama pass, “the standard unix password manager”. Usamos servicios de pago sin cuestionarnos si hay alternativas mejores, y con algo tan delicado como tus secretos, vale la pena mirar más allá. Te cuento qué es y, con honestidad, si es para ti.

Qué es pass y cómo funciona

La filosofía de pass es de una simplicidad casi extrema, y ahí está su gracia. Cada contraseña es, literalmente, un archivo cifrado. Esos archivos se organizan en carpetas (puedes tener redes/instagram, trabajo/base-de-datos, lo que quieras), y todo el conjunto se cifra con GPG, el estándar de cifrado de toda la vida.

Sobre esa base tan sencilla, pass apila cosas muy potentes:

• Cifrado sólido con GPG: tus claves están cifradas con tu propia clave, no en el servidor de una empresa.
• Control de cambios con git: como son archivos, puedes versionarlos con git. Sabes qué cambió y cuándo, y sincronizas entre máquinas con tu propio repositorio.
• Extensiones para todo: importar desde casi cualquier gestor que usaras antes, manejar códigos de un solo uso (OTP, esos de doble factor), y mucho más.
• Apps por todas partes: hay clientes para Android, iOS y cualquier escritorio, así que no te quedas atado a la terminal si no quieres.

En el fondo, pass no reinventa nada: junta piezas que ya funcionaban de maravilla (GPG, git, el sistema de archivos) y las convierte en un gestor de contraseñas. Elegante de cojones, si me permites.

Por qué a la gente técnica le encanta

Hay varias razones por las que pass tiene tantísimos fans entre quienes saben de esto:

• Tú tienes el control. Tus contraseñas son archivos tuyos, cifrados con tu clave, en tu sitio. No dependes de la nube de nadie ni de que una empresa no la fastidie.
• Sin ataduras. Nada de suscripciones, nada de “tu plan gratuito permite X contraseñas”. Es tuyo y punto.
• Transparente. Es código abierto y se apoya en estándares auditados (GPG, git). No hay caja negra.
• Se integra con todo. Como vive en la terminal y son archivos, lo enchufas a scripts, a tus flujos de trabajo, a lo que quieras. Para automatizar, es una bendición.

Es la antítesis del gestor comercial brillante: feo, de texto, y a prueba de bombas.

Seamos honestos: no es para todo el mundo

Ahora la parte que algunos fans no te cuentan. pass es maravilloso si te manejas en la terminal. Si no, la cosa cambia:

• Tiene curva. Montar GPG, entender las claves, configurar git… no es enchufar y listo. Para alguien no técnico, puede ser un muro.
• La comodidad la pones tú. Un gestor comercial te da autocompletado en el navegador, sincronización mágica y soporte. Con pass, parte de eso lo montas o lo configuras tú con extensiones y apps.
• Si pierdes tu clave GPG, se acabó. El control total implica responsabilidad total. Aquí no hay un “he olvidado mi contraseña, mándame un correo”. Tienes que gestionar bien tus copias de seguridad.

Para una persona no técnica que solo quiere guardar sus contraseñas del día a día sin complicarse, probablemente un buen gestor con interfaz le sirva mejor. pass brilla para perfiles técnicos, gente que vive en la terminal y quien quiere control absoluto sobre sus secretos.

Si gestionas infraestructura y quieres ordenar de verdad cómo guardáis credenciales y secretos en tu equipo o empresa, sin dejarlos en notas o en hojas de cálculo (que lo he visto, y da escalofríos), es justo el tipo de cosa que ayudo a montar: una gestión de secretos seria y a vuestra medida.

Un par de buenas costumbres con pass

Si te animas, dos consejos para que no te dé un disgusto. El primero: cuida tu clave GPG como si fuera oro, porque lo es. Haz copias de seguridad de esa clave en un sitio seguro, porque sin ella no hay forma de recuperar tus contraseñas. Aquí no existe el “he olvidado mi clave, mándame un enlace”: el control total implica responsabilidad total.

El segundo: aprovecha que todo son archivos y sincroniza con un repositorio git privado tuyo. Así tienes copia, historial de cambios y acceso desde varias máquinas, sin depender de la nube de nadie. Con esas dos costumbres, pass es tan cómodo como seguro, y tienes lo mejor de los dos mundos: control absoluto y disponibilidad en todos tus dispositivos.

Lo que me llevo de todo esto

pass me parece una pequeña obra de arte de la filosofía Unix: coge herramientas simples que ya funcionan (GPG, git, archivos) y monta sobre ellas un gestor de contraseñas que es tuyo de verdad, sin suscripciones ni cajas negras. Que lo haya hecho el creador de WireGuard no me sorprende: tiene esa elegancia minimalista.

¿Es para todos? No. Tiene su curva y exige responsabilidad. Pero si te manejas en la terminal y te tomas en serio tus secretos, es de esas herramientas que, una vez configuradas, no sueltas. Y saber que existe ya te abre los ojos a que no todo tiene que ser una suscripción.

Preguntas frecuentes

¿Qué es pass, el gestor de contraseñas?

Es el gestor de contraseñas estándar de Unix: guarda cada contraseña como un archivo cifrado con GPG, organizado en carpetas. Es gratis, de código abierto y obra de Jason Donenfeld, el creador de WireGuard. Se apoya en git para el control de cambios y la sincronización, y tiene extensiones para importar de otros gestores, manejar OTP y apps para móvil y escritorio.

¿Es seguro guardar las contraseñas en la terminal con pass?

Sí, porque cada contraseña se cifra con GPG, un estándar de cifrado sólido y auditado, usando tu propia clave. Tus secretos no viven en el servidor de una empresa, sino cifrados en tu sistema. La seguridad depende, eso sí, de que protejas bien tu clave GPG y mantengas copias de seguridad, porque si la pierdes no hay recuperación posible.

¿pass es para usuarios no técnicos?

No especialmente. pass brilla para quien se maneja en la terminal y quiere control total sobre sus secretos, pero tiene curva: hay que configurar GPG, entender las claves y, normalmente, git. Para alguien no técnico que solo quiere guardar contraseñas cómodamente, un gestor comercial con interfaz suele ser más práctico. El control total de pass conlleva también responsabilidad total.

¿Puedo usar pass en el móvil?

Sí. Aunque pass nace en la terminal, existen aplicaciones cliente para Android, iOS y prácticamente cualquier escritorio, además de extensiones para navegadores. Así puedes consultar y usar tus contraseñas fuera de la línea de comandos, sincronizándolas con tu repositorio git, sin quedarte atado solo al terminal.

Fuentes

• pass: the standard unix password manager (web oficial)
• Vídeo: the perfect password manager is hiding in your terminal

Compártelo si te ha resultado útil, sobre todo con quien guarde sus claves en un archivo de texto (por favor, no).

¿Usas un gestor comercial o eres de los de pass y control total? Cuéntame.

Y… tus secretos, mejor cuanto más tuyos.