--- title: "Cómo protege Password Vault sus datos: cifrado, PIN y almacenamiento" description: "Seguridad de Password Vault: acceso de Microsoft 365, cifrado AES con clave derivada del PIN mediante PBKDF2, bloqueo automático, límite de intentos y limitaciones del PIN de cuatro dígitos." url: https://vitextra.com/es/support/kb/10452 language: es published: 2026-11-06 modified: 2026-11-06 products: - "Password Vault" author: "Līga Ozola" tags: ["seguridad Password Vault", "cifrado AES", "PBKDF2 PIN", "carpeta aplicación OneDrive", "bloqueo automático", "credenciales personales"] --- # Cómo protege Password Vault sus datos: cifrado, PIN y almacenamiento Seguridad de Password Vault: acceso de Microsoft 365, cifrado AES con clave derivada del PIN mediante PBKDF2, bloqueo automático, límite de intentos y limitaciones del PIN de cuatro dígitos. ## Introducción [Password Vault](https://vitextra.com/es/products/password-vault) es un gestor personal de contraseñas para ::SharePoint Online:: y ::Microsoft Teams::. Cada usuario guarda sus credenciales en un único archivo cifrado en su propio OneDrive. Este artículo explica las capas de protección, la función y limitaciones del PIN, qué partes se cifran y para qué credenciales está diseñado. Se dirige a usuarios finales, administradores y responsables de seguridad que evalúan el producto. ## Resumen | Pregunta | Respuesta | |---|---| | ¿Dónde se almacena? | En `vitextra-password-vault.json`, en la carpeta de la aplicación del OneDrive del usuario | | ¿Quién puede abrir el archivo? | Quien tenga acceso a ese OneDrive según los permisos de ::Microsoft 365::; por defecto, solo el usuario | | ¿Qué identidad utiliza? | El usuario de Microsoft 365 conectado, mediante ::Microsoft Graph:: con el permiso delegado *Files.ReadWrite.AppFolder* | | ¿Qué se cifra? | Campos de texto: nombre, nombre de usuario, contraseña, URL, notas, carpeta y etiquetas (AES en el navegador, clave derivada del PIN) | | ¿Qué hace el PIN? | La clave se deriva del PIN de cuatro dígitos; antes de introducirlo no se muestra ningún elemento | | ¿Cuándo se vuelve a solicitar? | Tras 5 minutos sin interacción dentro del ::elemento web:: y al recargar la página | | ¿Qué pasa con PIN incorrectos? | Tras 5 errores consecutivos se bloquea la bóveda y solo puede restablecerse, eliminando todos los elementos | | ¿Qué recibe Vitextra? | Ningún dato de la bóveda; solo identificadores técnicos de licencia y telemetría de uso | ## Capa 1: inicio de sesión en Microsoft 365 y control de acceso de OneDrive Password Vault no tiene cuentas, servidores ni bases de datos propios. Se ejecuta en el navegador del usuario conectado y lee y escribe mediante Microsoft Graph con su identidad. El archivo está en su OneDrive y lo protegen los mismos mecanismos que a otros archivos: inicio de sesión de Microsoft 365 (incluida autenticación multifactor y ::acceso condicional:: si se utilizan), permisos de OneDrive y políticas de Microsoft 365 de la organización. Password Vault solicita el permiso delegado *Files.ReadWrite.AppFolder* para trabajar con la carpeta de la aplicación del usuario conectado. Este permiso no da acceso al resto de sus archivos ni al OneDrive de otra persona. Las soluciones SPFx utilizan una identidad de aplicación compartida; los administradores también deben tener en cuenta los demás permisos concedidos a esa identidad. [KB10454. Permiso de Microsoft Graph Files.ReadWrite.AppFolder: por qué lo necesita Password Vault y cómo aprobarlo](https://vitextra.com/es/support/kb/10454) Como la bóveda está en el OneDrive del usuario y no en la página, cada persona que abre la misma página o ::pestaña de Teams:: ve solo su bóveda. Colocar el elemento web en una página compartida no comparte contraseñas. ## Capa 2: cifrado de elementos en el navegador Antes de guardar, Password Vault cifra con AES los campos de texto. El cifrado y descifrado se realizan en el navegador; el archivo solo viaja entre este y su OneDrive mediante Microsoft Graph. Por tanto, los valores no se almacenan ni transfieren en texto sin formato: al abrir el archivo se ven cadenas cifradas en lugar de nombres, nombres de usuario y contraseñas. La clave se deriva del PIN en el navegador mediante PBKDF2-SHA256 (Web Crypto), con una sal aleatoria de 16 bytes y 600.000 iteraciones. Al configurar o cambiar el PIN se genera otra sal. La clave no se almacena en el archivo, en el almacenamiento del navegador ni en Vitextra: solo existe en la memoria de la página abierta mientras está desbloqueada. Para verificar un PIN, se deriva la clave y se descifra un valor de comprobación: un texto conocido cifrado con ella, guardado junto con la sal y el número de iteraciones. No se guarda el PIN ni su hash. Por tanto, el archivo por sí solo no basta para leer los elementos: hace falta el PIN. ❗ **Importante** Cuatro dígitos solo ofrecen 10.000 combinaciones. PBKDF2 ralentiza cada intento, pero quien obtenga una copia del archivo puede probar todos los PIN sin conexión, fuera del elemento web. El límite de cinco intentos solo se aplica dentro de este. El control de acceso de OneDrive sigue siendo la primera protección. Proteja su cuenta de Microsoft 365 y no comparta el archivo ni su carpeta. ### Qué se cifra y qué no | Dato del archivo | Cifrado | |---|---| | **Nombre** del elemento | Sí | | **Nombre de usuario** | Sí | | **Contraseña** | Sí | | **URL** | Sí | | **Notas** | Sí | | **Carpeta** | Sí | | **Etiquetas** | Sí | | Marca de favorito (estrella) | No | | Identificadores y fechas de creación y modificación | No | | Sal, iteraciones y valor de comprobación del PIN | Sal e iteraciones: no; la comprobación es texto conocido cifrado con la clave. No se guardan el PIN, su hash ni la clave | | Identificador de objeto de ::Microsoft Entra ID:: del usuario | No | | Contador de intentos fallidos | No | Los datos de la bóveda no se escriben en listas de SharePoint, propiedades del elemento web ni almacenamiento persistente del navegador. Mientras la bóveda está desbloqueada, la clave y los valores descifrados permanecen en la memoria de la página abierta. La configuración y la caché de licencias son independientes de los datos de la bóveda. ### Las bóvedas existentes se actualizan automáticamente Las bóvedas antiguas utilizan el formato anterior, cuya clave se derivaba de un hash SHA-256 del PIN guardado en el archivo y del identificador de objeto de Microsoft Entra ID. Al introducir por primera vez el PIN correcto en la nueva versión, se vuelven a cifrar todos los elementos con una clave derivada mediante PBKDF2 y se guarda el formato nuevo. Se conservan los elementos y sus fechas, y se pone a cero el contador de errores. No tiene que hacer nada. Tras actualizar, el archivo deja de contener el hash del PIN. La actualización solo se completa si se pueden descifrar todos los elementos y guardar correctamente el archivo actualizado. Si falla alguno de estos pasos, la sesión actual puede continuar con el formato anterior; desbloquear no confirma por sí solo que la actualización haya terminado. 📝 **Nota** Solo se actualiza el archivo actual. Las versiones anteriores del historial de OneDrive, la papelera o las copias de seguridad conservan el formato antiguo, que permitía descifrar los elementos desde el propio archivo sin PIN. El control de acceso de OneDrive y las políticas de retención y copias de seguridad determinan quién puede abrirlas. ## Capa 3: el PIN y la bóveda bloqueada El usuario configura el PIN de cuatro dígitos al crear la bóveda (consulte [KB10442. Cómo configurar su PIN en Password Vault](https://vitextra.com/es/support/kb/10442)). Se necesita una vez para abrirla y se comprueba tras el cuarto dígito. Antes, no se muestra ningún elemento ni su nombre. **Introduzca el PIN**, con *Introduzca su PIN para continuar* y cuatro casillas, sustituye la ::lista::. Solo se ofrece **Actualizar** en la barra. | Acción | Disponible con la bóveda bloqueada | |---|---| | Ver lista con nombre, usuario, URL, carpeta, etiquetas y notas | No, está oculta | | Mostrar contraseña (ojo) o **Copiar al Portapapeles** para contraseña o usuario | No | | **Nuevo elemento**, **Editar**, **Quitar** | No | | **Cambiar PIN** (engranaje **Configurar**) | No | | **Añadir a favoritos** / **Quitar de favoritos** | No | | **Buscar** y filtro | No | | **Actualizar** | Sí | Tras un PIN correcto, las acciones funcionan directamente sin pedirlo de nuevo hasta el siguiente bloqueo. ![La solicitud del PIN de una bóveda bloqueada](https://static.vitextra.com/articles/10452/enter-pin-dialog-es.png) *La solicitud del PIN de una bóveda bloqueada* ❗ **Importante** Con la bóveda desbloqueada, cualquiera que utilice su equipo puede mostrar y copiar todo su contenido, incluidas contraseñas, hasta que se bloquee. Bloquee el equipo al alejarse. En **Introduzca el PIN**, los dígitos se enmascaran. En **Configurar PIN** y **Cambiar PIN** son visibles. Configure o cambie el PIN donde nadie pueda mirar su pantalla. ## Bloqueo automático Tras cargar la página, solo aparece **Introduzca el PIN**. Con un PIN correcto se abre la bóveda y permanece abierta mientras trabaja. Tras **5 minutos** sin clics ni pulsaciones dentro del elemento (también cuenta **Cambiar PIN**), se bloquea: desaparece la lista, se ocultan contraseñas, se elimina la clave de la memoria y se cierran sin guardar los cuadros (**Nuevo elemento**, **Editar propiedades** y confirmación de eliminación). Recargar también bloquea, porque el estado solo existe en la página abierta. Consulte [KB10451. Bloqueo automático: cuándo Password Vault vuelve a pedir el PIN](https://vitextra.com/es/support/kb/10451). ## Límite de intentos fallidos El contador no se restablece con el tiempo. El elemento web muestra *El PIN es incorrecto* y el número de intentos restantes. Cuando se guarda correctamente, el contador queda en el archivo de la bóveda y suma los intentos de distintos dispositivos y sesiones. Un PIN correcto o un cambio de PIN pone el contador a cero; ese resultado también debe guardarse correctamente en el archivo. Si el archivo no se puede leer o el contador no se puede guardar, la página puede utilizar datos ya cargados y contar un intento fallido solo localmente; restablezca la conexión y actualice antes de continuar. Tras 5 PIN incorrectos consecutivos, la bóveda se bloquea con *Ha introducido un PIN incorrecto demasiadas veces.* y solo está disponible **Restablecer**. Consulte [KB10455. Intentos de PIN incorrecto en Password Vault: qué ocurre tras cinco intentos fallidos](https://vitextra.com/es/support/kb/10455). ❗ **Importante** Si la bóveda sigue desbloqueada, puede cambiar el PIN sin introducir el anterior. Complete y guarde el cambio antes de que se bloquee la bóveda; las entradas se conservan si se guarda correctamente. Si todas las sesiones están bloqueadas y ha olvidado el PIN, Password Vault no ofrece ninguna función de recuperación para usted, su administrador ni Vitextra. Restablecer una bóveda bloqueada elimina todas las entradas. Guarde también las credenciales importantes en otra ubicación aprobada por su organización. [KB10460. He olvidado mi PIN de Password Vault: ¿qué opciones tengo?](https://vitextra.com/es/support/kb/10460) ## Ningún dato de la bóveda en Vitextra Vitextra no recibe, almacena ni realiza copias de seguridad de la bóveda. Solo se envían comprobaciones de licencia y telemetría de uso con identificadores técnicos a sus servicios. Consulte la lista completa en [KB10363. Dónde almacenan sus datos los productos de Vitextra: privacidad, residencia de datos y RGPD](https://vitextra.com/es/support/kb/10363). ## Para qué está diseñado Password Vault Es un lugar personal y práctico para credenciales cotidianas: portales web, sistemas de socios, cuentas de prueba y similares que de otro modo se guardarían en una libreta o archivo de texto. Combina el control de acceso de Microsoft 365 con cifrado mediante una clave derivada de un PIN de cuatro dígitos. No es un sistema de gestión de accesos privilegiados: no permite compartir entre usuarios, recuperar mediante administrador, consultar un registro de auditoría propio ni usar una contraseña maestra de alta seguridad. Para cuentas administrativas, de servicio, compartidas por equipos y otros secretos privilegiados, siga la política de su organización y utilice sus herramientas prescritas. Consulte [KB10440. Password Vault frente a los gestores de contraseñas del navegador y empresariales: qué opción elegir](https://vitextra.com/es/support/kb/10440). ## Recomendaciones - Proteja su cuenta de Microsoft 365: la seguridad de la bóveda depende de la cuenta propietaria de OneDrive. - Elija un PIN difícil de adivinar, evitando *0000*, *1234* o su año de nacimiento, y guárdelo de forma segura. - No comparta ni copie el archivo: con una copia se pueden probar los 10.000 PIN sin conexión. - Bloquee el equipo al alejarse, incluso brevemente. - Una contraseña copiada permanece en el portapapeles hasta copiar otra cosa; vacíelo después del uso en equipos compartidos. - Los cambios de varios dispositivos o pestañas se aplican automáticamente al archivo más reciente. Pulse **Actualizar** para ver los realizados en otro lugar (consulte [KB10453. Dónde guarda Password Vault sus contraseñas: la carpeta de aplicación de OneDrive](https://vitextra.com/es/support/kb/10453)). Si se edita el mismo elemento a la vez, prevalece la última versión guardada de ese elemento. - Guarde solo credenciales permitidas por su organización en un gestor personal. 💡 **Consejo** Consulte [KB10456. Quién puede ver sus contraseñas en Password Vault](https://vitextra.com/es/support/kb/10456) para conocer quién puede acceder.