Gestor de contraseñas On-Premises

¿Qué es un gestor de contraseñas On-Premises?

Un gestor de contraseñas On-Premises es una gestión centralizada de contraseñas cuyo componente de servidor se ejecuta en la propia infraestructura de la empresa: clásicamente en el propio centro de datos y, cada vez más, también en una nube privada o en el propio tenant de Azure. Las bases de datos de contraseñas cifradas, la gestión de usuarios y los registros permanecen así íntegramente en el ámbito de responsabilidad de la propia TI.

Funcionalmente ofrece lo mismo que un Gestor de contraseñas para empresas en general: las credenciales se almacenan cifradas en un punto central, los empleados acceden mediante clientes y los permisos controlan quién puede ver y usar qué entradas. La diferencia respecto a las soluciones puramente Cloud está en la arquitectura: en el modelo SaaS, el fabricante opera los servidores y almacena las bóvedas en su infraestructura; en la operación On-Premises lo hace su TI.

Esta diferencia es relevante allí donde rigen altos requisitos de seguridad y de evidencia: quien controla la infraestructura controla también la ubicación de almacenamiento, las vías de acceso, las copias de seguridad y el momento de las actualizaciones, y puede demostrarlo en auditorías.

¿Para qué empresas tiene sentido un gestor de contraseñas On-Premises?

On-Premises no es un fin en sí mismo. El modelo tiene sentido sobre todo para organizaciones en las que se cumple al menos uno de estos puntos:

• Requisitos estrictos de protección de datos: empresas que quieren evitar transferencias a terceros países y asumir por completo la responsabilidad del almacenamiento de los datos.
• Sectores regulados: organizaciones cuyos auditores y clientes esperan declaraciones claras sobre la ubicación de almacenamiento y el control de acceso.
• Instituciones públicas: administraciones y TI municipal que deben mantener las credenciales en infraestructura propia o municipal.
• Empresas industriales: plantas que no quieren que los accesos a sistemas de producción y suministro dependan de un servicio Cloud externo.
• Proveedores de servicios de TI y agencias: equipos que gestionan los accesos de clientes de forma separada, trazable y bajo su propio control.
• Empresas con infraestructura de TI propia: quien ya opera centro de datos, virtualización y copias de seguridad integra la gestión de contraseñas sin un nuevo componente externo.
• Directrices internas de cumplimiento: organizaciones cuyas políticas restringen o prohíben externalizar credenciales a terceros.

Ventajas de un gestor de contraseñas On-Premises

• Soberanía de los datos: las bases de datos cifradas residen en sistemas que controla su empresa, no en el fabricante ni en sus subencargados del tratamiento.
• Control sobre la infraestructura: la ubicación de almacenamiento, las vías de acceso a la red, la estrategia de copias de seguridad y las ventanas de actualización las determina su TI.
• Gestión centralizada de usuarios: los usuarios, grupos y políticas se administran en un solo punto.
• Roles y permisos claros: los permisos escalonados regulan quién puede ver, usar o modificar entradas.
• Uso compartido seguro de contraseñas: los equipos comparten accesos a través de bases de datos comunes y cifradas, no por correo electrónico o mensajería.
• Auditabilidad: los inicios de sesión, cambios y acciones administrativas registrados proporcionan respuestas sólidas para las auditorías.
• Integración en la TI existente: la conexión con servicios de directorio, Single Sign-on y MFA evita una gestión de usuarios duplicada; la integración con SIEM facilita el análisis centralizado de los registros.
• Menor dependencia: la operación no depende de la disponibilidad ni de las condiciones de un servicio Cloud externo.

On-Premises frente a gestores de contraseñas en la nube

Los gestores de contraseñas en la nube no son inseguros per se: para empresas sin infraestructura propia y sin requisitos especiales de cumplimiento pueden ser una opción adecuada, sobre todo porque la carga de operación recae en el proveedor. La pregunta no es «¿bueno o malo?», sino: ¿quién debe tener el control sobre los datos más sensibles de la empresa?

En resumen: On-Premises es la opción correcta cuando el control, el cumplimiento y la infraestructura propia existente inclinan la balanza, no porque la nube quede descartada por principio.

Password Depot Enterprise Server como gestor de contraseñas On-Premises

El Password Depot Enterprise Server está construido de forma consecuente para la operación en su entorno: on-premises en el propio centro de datos, en una nube privada con el partner de hosting de su elección o en su propio tenant de Azure. La solución no impone ningún servicio Cloud externo: la soberanía de los datos permanece íntegramente en sus manos. Desarrollado en Darmstadt desde 1998 y utilizado por más de 100.000 clientes.

• Gestión centralizada de contraseñas: usted controla usuarios, grupos, roles y permisos de forma centralizada en el servidor, con tres niveles de permisos y políticas para un uso compartido seguro.
• Integración con el directorio: importe usuarios y grupos de seguridad desde Active Directory – a través de varios dominios de un bosque – y sincronícelos manualmente o de forma automática según un plan; Microsoft Entra ID y los proveedores OpenID Connect también son compatibles. El resumen de funciones ofrece una visión general de Active Directory, SSO y MFA.
• SSO y MFA: Single Sign-on con Kerberos y autenticación multifactor con FIDO2/WebAuthn (p. ej., YubiKey) y TOTP.
• Registros de auditoría y SIEM: los inicios de sesión, los cambios y las acciones administrativas se registran y se exportan a su SIEM mediante Syslog (RFC 5424).
• Alta disponibilidad: replicación en espejo en tiempo real en una instancia de servidor secundaria; si el servidor principal falla, el servidor espejo asume el servicio automáticamente.
• API REST v2.0: los secretos pueden integrarse en pipelines de DevOps, automatización y flujos de trabajo internos de IA.
• Todas las plataformas: Windows, macOS, iOS, Android, Linux y acceso desde el navegador mediante el cliente web, siempre contra su servidor y con la misma lógica de permisos.

La arquitectura de seguridad es verificable: AES-256 (FIPS 197), TLS 1.3, una prueba de penetración de SySS (12/2025) con el resultado «no se detectaron vulnerabilidades graves» y un SGSI del fabricante AceBIT certificado conforme a ISO/IEC 27001:2022 (TÜV NORD). Los roles, el registro y el cifrado respaldan además la gestión de contraseñas conforme al RGPD según el art. 32 del RGPD.

Escenarios de uso típicos

• Los departamentos de TI gestionan accesos de administración y de servicio de forma centralizada con roles, en lugar de contraseñas de administrador compartidas.
• Las empresas sustituyen las listas de Excel y las contraseñas compartidas del navegador por un uso compartido cifrado y registrado.
• Las agencias y los proveedores de servicios separan los accesos de clientes por proyectos y los comparten de forma trazable.
• Las empresas industriales mantienen las credenciales de los sistemas de producción y de proveedores en su propia infraestructura.
• Las instituciones públicas documentan el uso compartido de contraseñas de forma auditable mediante registros de auditoría.

En qué deberían fijarse las empresas al elegir

• Modelo de despliegue: ¿la solución admite On-Premises, nube privada y tenant propio de Azure, o le ata a la nube del fabricante?
• Concepto de roles y permisos: ¿pueden asignarse permisos escalonados hasta el nivel de base de datos y de entrada?
• Integraciones: Active Directory/Entra ID, SSO, MFA e integración con SIEM forman parte del estándar en entornos corporativos – lo que importa en este punto lo muestra nuestro artículo Gestor de contraseñas con Active Directory, SSO y MFA.
• Registro: los registros de auditoría deben poder responder a las preguntas de las auditorías, idealmente con exportación a su SIEM.
• Facilidad de uso: una solución que el equipo no adopta crea nueva TI en la sombra. Los clientes para todas las plataformas habituales son imprescindibles.
• Escalabilidad: la solución debe crecer con el número de usuarios y con la organización.
• Soporte y mantenimiento: aclarar el proceso de actualizaciones, el modelo de mantenimiento y la disponibilidad del soporte.
• RGPD y almacenamiento de los datos: ¿dónde residen los datos, quién puede acceder y pueden demostrarse medidas técnicas y organizativas? Más detalles en el artículo Gestor de contraseñas RGPD para empresas.

Conclusión: el control como decisión de arquitectura

Un gestor de contraseñas On-Premises es la opción correcta cuando su empresa no quiere ceder el control sobre las credenciales: la soberanía de los datos, los accesos trazables y la integración en la TI propia son aquí un principio de arquitectura, no una promesa del proveedor. Con el Password Depot Enterprise Server implementa este modelo por completo, desde la operación en su infraestructura y la integración con AD/Entra ID hasta los registros de auditoría para sus obligaciones de evidencia.

Convénzase en su propio entorno: pruebe el Enterprise Server 30 días gratis, vea la solución en una demo en vivo o solicite un presupuesto sin compromiso para su número de usuarios.

Preguntas frecuentes sobre el gestor de contraseñas On-Premises

¿Qué es un gestor de contraseñas On-Premises?

Una gestión centralizada de contraseñas cuyo servidor se ejecuta en la propia infraestructura de la empresa. Las bases de datos cifradas, la gestión de usuarios y los registros permanecen así íntegramente bajo el control de la propia TI.

¿Cuál es la diferencia entre On-Premises y Self-Hosted?

On-Premises significa, en sentido estricto, la operación en el propio centro de datos con hardware propio. Self-Hosted es el término genérico para cualquier instalación operada por uno mismo, también en una nube privada o en el propio tenant de Azure. Password Depot Enterprise Server admite los tres modelos de operación; la perspectiva Enterprise se profundiza en nuestro artículo Gestión de contraseñas en operación propia (Self-Hosted).

¿Es un gestor de contraseñas On-Premises más seguro que uno en la nube?

On-Premises traslada sobre todo el control a sus manos: la ubicación de almacenamiento, las vías de acceso y las actualizaciones son responsabilidad de la propia TI, y no se produce ninguna transferencia a terceros países a través del gestor de contraseñas. Que el sistema en su conjunto sea más seguro depende además del cifrado, del modelo de roles y de la calidad de la operación; estos criterios deberían comprobarse en cualquier arquitectura.

¿Para qué empresas merece la pena un gestor de contraseñas On-Premises?

Para organizaciones con requisitos estrictos de protección de datos o de cumplimiento, sectores regulados, instituciones públicas, empresas industriales y todas las que operan infraestructura de TI propia y no quieren externalizar credenciales a un servicio Cloud externo.

¿Puede operarse Password Depot Enterprise Server localmente?

Sí. El Enterprise Server se ejecuta on-premises en el propio centro de datos, en una nube privada o en el propio tenant de Azure y no impone ningún servicio Cloud externo. Encontrará más detalles en la página de producto del Enterprise Server.

¿Es compatible un gestor de contraseñas On-Premises con Active Directory?

En el caso de Password Depot, sí: los usuarios y grupos de seguridad se importan desde Active Directory – también a través de varios dominios de un bosque – y se sincronizan manualmente o de forma automática según un plan. Microsoft Entra ID y los proveedores OpenID Connect también son compatibles.

¿Puede utilizarse un gestor de contraseñas On-Premises conforme al RGPD?

Sí. Dado que los datos permanecen en infraestructura propia, no se produce ninguna transferencia a terceros países a través del gestor de contraseñas y la evaluación de protección de datos se simplifica. En Password Depot, los roles, el registro y el cifrado respaldan las medidas técnicas y organizativas conforme al art. 32 del RGPD.