Gestión de contraseñas en operación propia (Self-Hosted)

¿Qué es un gestor de contraseñas Self-Hosted?

Self-Hosted significa: el componente de servidor de la gestión de contraseñas se ejecuta en infraestructura que la propia empresa controla, en el propio centro de datos, en una nube privada o en el propio tenant de Azure. La operación, las vías de acceso y el almacenamiento de los datos quedan así en manos de la propia TI y no de un servicio externo.

Para los entornos Enterprise esto es más que una cuestión de preferencias: quien controla la operación puede integrarla en los procesos de TI existentes, desde la gestión de usuarios y la monitorización hasta la estrategia de copias de seguridad. La comparación de arquitecturas frente a las soluciones Cloud la analizamos en detalle en el artículo Gestor de contraseñas On-Premises; aquí nos concentramos en el lado Enterprise: administración, escalado y operación.

¿Qué significa «Enterprise» en un gestor de contraseñas?

«Enterprise» no es una etiqueta de tamaño, sino un perfil de funciones. Describe lo que una gestión de contraseñas debe poder hacer para funcionar en una organización con equipos, departamentos y procesos definidos:

• Administración centralizada: los usuarios, las bases de datos, las políticas y los permisos se controlan en un solo punto, no por instalación.
• Gestión de usuarios y grupos: los equipos y departamentos reciben los accesos como grupo; la estructura organizativa determina la asignación de permisos.
• Roles y permisos: los permisos escalonados regulan ver, usar y modificar, según el principio de mínimo privilegio.
• Uso compartido seguro: los accesos comunes se gestionan a través de bases de datos cifradas y autorizadas, no de palabra.
• Auditabilidad: los registros de auditoría documentan inicios de sesión, accesos y cambios, analizables para controles internos e inspecciones.
• Integración de identidades: conexión con Active Directory, Microsoft Entra ID, SSO y MFA para que no surja un segundo mundo de usuarios.
• Escalabilidad: la solución crece con equipos, departamentos y sedes.
• Operación y soporte: un proceso de actualizaciones claro, un modelo de mantenimiento y un soporte del fabricante accesible para el uso a largo plazo.
• Onboarding y offboarding como proceso: la incorporación y la salida de empleados siguen un procedimiento central y trazable.

Por qué las empresas utilizan un gestor de contraseñas Enterprise Self-Hosted

En la práctica, las empresas llegan a esta solución desde dos direcciones. Una es el control: las credenciales son los datos más sensibles de la organización, y la infraestructura, el almacenamiento de los datos y los procesos de operación deben permanecer en el ámbito de responsabilidad propio, también para reducir dependencias de servicios Cloud externos. La otra es la profesionalización: las listas de Excel y el uso compartido improvisado no escalan, y las directrices de cumplimiento exigen control central y trazabilidad.

Las soluciones Enterprise Self-Hosted atienden ambos requisitos a la vez: se integran en los procesos de TI y de seguridad existentes (servicio de directorio, SIEM, monitorización), documentan los accesos para auditorías y dan a los sectores regulados la posibilidad de responsabilizarse por completo de la ubicación de almacenamiento y de la operación. Lo que distingue esto en general de la gestión de contraseñas personal lo muestra nuestro resumen Gestor de contraseñas para empresas.

Self-Hosted frente a Cloud y a gestores de contraseñas personales

Los tres modelos se dirigen a situaciones distintas; una comparación objetiva:

En resumen: las herramientas personales están hechas para particulares, las soluciones Cloud pueden encajar en empresas sin requisitos especiales de control – Self-Hosted Enterprise es el modelo para organizaciones que necesitan combinar administración centralizada, cumplimiento y procesos de TI propios.

Funciones importantes de un Enterprise Password Manager

• Bases de datos de contraseñas centralizadas: bases de datos de equipo y de departamento cifradas en lugar de bóvedas individuales dispersas.
• Grupos de usuarios, roles y permisos: acceso según el principio de mínimo privilegio, escalonado hasta el nivel de base de datos y de entrada.
• Uso compartido seguro: accesos compartidos con permisos claros en lugar de correo electrónico y mensajería.
• Registros de auditoría: inicios de sesión, accesos y cambios registrados con posibilidad de exportación.
• Integración de identidades: Active Directory y Microsoft Entra ID para la adopción de usuarios y grupos, junto con Active Directory, SSO y MFA en interacción.
• Automatización: una API para flujos de trabajo de DevOps y automatización allí donde los secretos se necesitan de forma automatizada.
• Conceptos de operación: copias de seguridad programadas de las bases de datos, integradas en la propia estrategia de copias de seguridad, y mecanismos de alta disponibilidad.

Password Depot Enterprise Server como Self-Hosted Password Manager

El Password Depot Enterprise Server cubre este perfil de forma completa – desarrollado en Darmstadt desde 1998 y utilizado por más de 100.000 clientes:

• Self-Hosted sin obligación de nube: operación on-premises, en una nube privada o en el propio tenant de Azure; la soberanía de los datos permanece íntegramente en sus manos.
• Administración centralizada: usted controla usuarios, grupos, roles y políticas en el Enterprise Server, con tres niveles de permisos para un uso compartido seguro.
• Integración de identidades: importación y sincronización del AD (también a través de varios dominios de un bosque, manual o según un plan), Microsoft Entra ID y proveedores OpenID Connect; SSO con Kerberos y MFA con FIDO2/WebAuthn (p. ej., YubiKey) y TOTP.
• Auditabilidad: Registro de auditoría a prueba de manipulaciones y encadenado criptográficamente para inicios de sesión, cambios y acciones administrativas; exportación a su SIEM mediante Syslog (RFC 5424) por UDP, TCP o TLS. Los roles dedicados (Audit Reader, Security Officer, Backup Operator) permiten la separación de funciones sin acceso al contenido de las bases de datos.
• Escalado: de 5 a 50.000 usuarios; hasta 3 usuarios, gratuito de forma permanente. Licencia de compra en lugar de suscripción, mantenimiento opcional; las actualizaciones de seguridad gratuitas no se ven afectadas por ello.
• Alta disponibilidad: replicación en espejo en tiempo real en una instancia de servidor secundaria; si el servidor principal falla, el servidor espejo asume el servicio automáticamente.
• Robusto en operación y migrable: Las claves de configuración y auditoría se guardan en Key Vaults recuperables en lugar de quedar vinculadas de forma fija a la máquina. Con Recovery Keys, la configuración cifrada supera una migración de servidor o un cambio de hardware: una ventaja clave en la operación propia. Los escalados advierten además de espacio de almacenamiento crítico, errores de backup o vencimiento próximo de la licencia.
• API REST v2.0: utilice los secretos en pipelines de DevOps, automatización y flujos de trabajo internos de IA.
• Todas las plataformas: Windows, macOS, iOS, Android, Linux y cliente web, siempre contra su servidor y con la misma lógica de permisos.

La arquitectura de seguridad es verificable: AES-256 (FIPS 197), TLS 1.3, una prueba de penetración de SySS (12/2025) con el resultado «no se detectaron vulnerabilidades graves» y un SGSI del fabricante AceBIT certificado conforme a ISO/IEC 27001:2022 (TÜV NORD) – todas las evidencias en Protección de datos y seguridad en el Trust Center.

Escenarios de uso típicos

• Los departamentos de TI gestionan accesos de administración y de servicio de forma centralizada, con roles en lugar de cuentas colectivas compartidas.
• Las empresas sustituyen las listas de Excel y el uso compartido inseguro por bases de datos cifradas y autorizadas.
• Los equipos y sedes distribuidos acceden de forma controlada a credenciales comunes mediante los clientes y el cliente web, siempre contra su propio servidor.
• Las agencias organizan los accesos de clientes por equipos y proyectos con autorizaciones documentadas.
• Las empresas industriales mantienen los accesos a sistemas de producción y de proveedores en su propia infraestructura.
• Las instituciones públicas apuestan por un control de acceso trazable en infraestructura propia.
• Las empresas orientadas al cumplimiento documentan los accesos a contraseñas para controles internos, auditorías ISO y la preparación para NIS2.

En qué deberían fijarse las empresas al elegir

• Modelo de despliegue y almacenamiento de los datos: ¿admite la solución una verdadera operación propia (centro de datos, nube privada, tenant propio)? ¿Y quién controla los datos?
• Concepto de roles y permisos: permisos escalonados, grupos de usuarios, políticas.
• Integraciones: Active Directory/Entra ID, SSO, MFA e integración con SIEM como estándar para entornos corporativos.
• Registros de auditoría: registro con exportación; las preguntas de las auditorías deben poder responderse desde el propio sistema.
• Administración y facilidad de uso: gestión centralizada para la TI y barreras bajas para el equipo, en todas las plataformas.
• Escalabilidad: ¿crece la solución con el número de usuarios, los departamentos y las sedes?
• Mantenimiento, soporte y documentación: un proceso de actualizaciones claro, soporte accesible y documentación sólida.
• Modelo de licencias: compra o suscripción, mantenimiento opcional u obligatorio: relevante para la seguridad de operación a largo plazo y la planificación presupuestaria.

Gestor de contraseñas Enterprise Self-Hosted y RGPD

La operación propia ayuda a las empresas con el control de los datos y los requisitos internos de protección de datos: los datos permanecen en infraestructura propia, no se produce ninguna transferencia a terceros países a través del gestor de contraseñas y los accesos quedan registrados. Sigue siendo importante situarlo correctamente: la conformidad con el RGPD no surge de una herramienta por sí sola, sino que depende de la operación, la configuración, los procesos y las responsabilidades; la gestión de contraseñas puede ser en ello parte de las medidas técnicas y organizativas. Un análisis detallado desde la perspectiva de la protección de datos lo ofrece nuestro artículo Gestor de contraseñas RGPD.

Conclusión: funciones Enterprise más operación propia

Un Self-Hosted Password Manager es la opción correcta para empresas que quieren operar la gestión de contraseñas de forma centralizada, controlada e integrada en la TI existente: roles y permisos, conexión de identidades y auditabilidad de nivel corporativo, combinados con una operación de la que responde la propia TI. El Password Depot Enterprise Server ofrece exactamente esta combinación, escala de 5 a 50.000 usuarios y permanece completamente bajo su control.

Compruébelo usted mismo: pruebe el Enterprise Server 30 días gratis en su entorno, conozca la solución en una demo en vivo o solicite un presupuesto sin compromiso para su número de usuarios.

Preguntas frecuentes sobre el gestor de contraseñas Enterprise Self-Hosted

¿Qué es un gestor de contraseñas Self-Hosted?

Una gestión de contraseñas cuyo componente de servidor opera la propia empresa, en el propio centro de datos, en una nube privada o en el propio tenant de Azure. La operación, las vías de acceso y el almacenamiento de los datos permanecen bajo el control de la propia TI.

¿Qué significa Enterprise Password Manager?

Un perfil de funciones para el uso corporativo: administración centralizada, gestión de usuarios y grupos, roles y permisos, uso compartido seguro en equipo, registros de auditoría e integración con sistemas de identidad como Active Directory, escalable a través de equipos, departamentos y sedes.

¿Cuál es la diferencia entre Self-Hosted y On-Premises?

On-Premises significa la operación en el propio centro de datos con hardware propio; Self-Hosted es el término genérico para cualquier instalación operada por uno mismo, también en una nube privada o en el propio tenant de Azure. La comparación de arquitecturas se trata en nuestro artículo Gestor de contraseñas On-Premises.

¿Para qué empresas es adecuado un gestor de contraseñas Self-Hosted?

Para organizaciones con infraestructura de TI propia, altos requisitos de control o de cumplimiento y necesidad de administración centralizada: desde pymes y empresas industriales hasta instituciones públicas y sectores regulados.

¿Es un gestor de contraseñas Self-Hosted más seguro que una solución Cloud?

Traslada el control a sus manos: la ubicación de almacenamiento, las vías de acceso, las actualizaciones y las copias de seguridad son responsabilidad de la propia TI, y las evidencias se generan internamente. Que el sistema en su conjunto sea más seguro depende además del cifrado, del modelo de roles y de la calidad de la operación, en cualquier arquitectura.

¿Es compatible un gestor de contraseñas Enterprise con Active Directory, SSO y MFA?

En el caso de Password Depot, sí: importación y sincronización del AD (también a través de varios dominios), Microsoft Entra ID y proveedores OIDC, SSO con Kerberos y MFA con FIDO2/WebAuthn y TOTP. Más detalles en el artículo Gestor de contraseñas con Active Directory, SSO y MFA.

¿Puede utilizarse Password Depot Enterprise Server como gestor de contraseñas Self-Hosted?

Sí, ese es su modelo central: operación on-premises, en una nube privada o en el propio tenant de Azure, sin obligación de nube externa. La administración centralizada, los roles, los registros de auditoría y la integración de identidades están incluidos; la licencia escala de 5 a 50.000 usuarios.