Si dirige la seguridad de una empresa de 10 a 5 000 empleados, la elección del gestor de contraseñas B2B es una de las 3 inversiones de seguridad más estructurantes (con MFA y MDM). Este análisis cubre 6 soluciones enterprise para despliegues de ~25 a ~350 usuarios: aquí una comparativa honesta, basada en criterios enterprise verificables (SSO, SCIM, audit logs, RBAC, compliance, precio real a 3 años).
La mayoría de los planes empresariales se integran con el inicio de sesión único (SSO).
Para nuestra selección clasificada, ve a los mejores gestores para empresa.
Bitwarden Business gana la relación simplicidad / precio para la mayoría de pymes y mid-market 2026. NordPass Business es la opción más barata (3,69 USD/usuario/mes). 1Password Business sigue siendo la elección UX premium si el presupuesto acompaña.
01 - El ranking enterprise 2026
| Rango | Solución | Precio /usuario/mes | SCIM | SSO SAML | EU Cloud | Veredicto |
|---|---|---|---|---|---|---|
| 🥇 1 | Bitwarden Business | 5 USD | Hosted | Enterprise (7 USD) | Sí | Mejor pyme / mid-market |
| 🥈 2 | NordPass Business | 3,69 USD | Sí | Sí | Sí | Más barato, ecosistema Nord |
| 🥉 3 | 1Password Business | 7,99 USD | Bridge | Incluido | Sí | UX premium, grandes presupuestos |
| 4 | Proton Pass Business | 7,99 USD | Sí | Sí | Suiza | RGPD-by-design |
| 5 | Keeper Enterprise | 6,67 USD | Sí | Sí | Sí | Compliance sólido, UX media |
| 6 | Dashlane Business | 8 USD | Sí | Sí | Sí | VPN incluido pero caro, UX anticuada |
Metodología: comparativa editorial de 6 soluciones puntuada sobre 14 criterios enterprise con TCO a 3 años - según la documentación de los fabricantes, las certificaciones publicadas y el consenso de opiniones públicas.
02 - Criterios de evaluación B2B
Para una empresa, los criterios B2C (UX, precio individual) son secundarios. Aquí los 14 criterios enterprise que importan:
Criterios técnicos (peso 50 %)
- SSO SAML 2.0 (Okta, Azure AD, Google Workspace, OneLogin, JumpCloud)
- Aprovisionamiento SCIM 2.0 (joiner-leaver-mover automatizado)
- RBAC (roles owner, admin, manager, user, custom)
- Gestión de grupos (sync IdP groups, nested groups, colecciones compartidas)
- Audit logs / Event Logs (retención, export SIEM, alerting)
- API REST pública documentada (Bitwarden CLI, 1Password CLI, NordPass API)
- Self-host posible (soberanía UE, compliance sectorial)
Criterios compliance (peso 30 %)
- SOC 2 Type 2 publicado y reciente
- ISO 27001 certificado
- Residencia de datos UE garantizada
- DPA RGPD firmable, HIPAA BAA si salud US
- Pen test report + bug bounty activo
Criterios operacionales (peso 20 %)
- Soporte SLA (24/7 para Enterprise, 8/5 para Business)
- Playbook de onboarding + change management (formación, comunicaciones internas)
03 - Bitwarden Business - El mejor pyme / mid-market
Precio: 5 USD/usuario/mes (Teams) o 7 USD/usuario/mes (Enterprise).
Puntos fuertes:
- El más barato de los big-4 B2B (5 USD vs 7,99 USD 1Password vs 8 USD Dashlane)
- Endpoint SCIM 2.0 hosted (sin bridge a desplegar como 1Password) - Okta, Azure AD, OneLogin, JumpCloud, Google Workspace soportados nativos
- Open source GPL v3 - código auditable públicamente en github.com/bitwarden
- SOC 2 Type 2 + ISO 27001 publicados
- EU Cloud Frankfurt desde 2024 (residencia datos UE)
- Self-host Vaultwarden posible para soberanía total
- Auditorías Cure53 2022 + Insight Risk 2023 públicas
- Ninguna compromisión de servidor en 8 años
Limitaciones:
- UX desktop visualmente anticuada vs 1Password / NordPass
- SSO SAML reservado al plan Enterprise (7 USD)
- Onboarding admin requiere ~3-5h de doc Bitwarden la primera vez
Recomendado para: pyme 10-50 empleados (plan Teams Starter o Teams), mid-market 50-500 empleados (Teams o Enterprise según necesidades SSO), equipos tech que quieren self-host.
Ver nuestra comparativa Bitwarden vs 1Password 2026 y la guía Bitwarden Business SCIM provisioning.
Empezar un trial de Bitwarden Business →5 USD/usuario/mes · SCIM hosted · SOC 2 Type 2 · EU Cloud→04 - NordPass Business - El precio más agresivo
Precio: 3,69 USD/usuario/mes (Teams plan anual) o 5,39 USD/usuario/mes (Business).
Puntos fuertes:
- El más barato de las soluciones B2B serias (3,69 USD/usuario/mes)
- Cifrado XChaCha20 + Argon2id (algoritmos recientes, más modernos que AES-256/PBKDF2)
- Aprovisionamiento SCIM Okta, Azure AD, Google Workspace, JumpCloud
- SSO SAML 2.0 incluido en el plan Business (no sólo Enterprise)
- SOC 2 Type 2 + ISO 27001 + Cure53 publicados
- Ecosistema Nord Security: bundle posible con NordVPN (NordLayer para B2B), NordLocker
- Residencia de datos UE opcional (Lituania, Alemania)
- UX moderna (4,7/5 App Store)
Limitaciones:
- Código propietario (no open source)
- No hay self-host posible
- Comunidad técnica B2B menor que Bitwarden / 1Password
Recomendado para: pymes 10-200 empleados sensibles al presupuesto, empresas que quieren un ecosistema Nord coherente (VPN B2B + Password Manager B2B).
Ver nuestra reseña NordPass 2026.
05 - 1Password Business - UX premium, grandes presupuestos
Precio: 7,99 USD/usuario/mes (Business) o quote required para Enterprise.
Puntos fuertes:
- UX desktop y móvil entre las más pulidas del mercado
- Watchtower B2B: alertas proactivas breach integradas en el dashboard admin
- SCIM Bridge auto-alojado (contenedor Docker del lado cliente) para Okta, Azure AD, Rippling - más complejo pero control de red total
- SSO SAML 2.0 incluido en Business (no reservado Enterprise como Bitwarden)
- Auditorías Cure53 regulares y públicas
- Secret Key 128-bit además del master password (cojín anti-brute-force)
- SOC 2 Type 2 publicado
- Soporte B2B premium (respuesta SLA 4h para Enterprise)
Limitaciones:
- Código propietario cerrado (vs Bitwarden open source)
- Precio elevado (60 % más caro que Bitwarden, 116 % más caro que NordPass)
- No hay self-host posible
- SCIM Bridge añade complejidad operacional vs hosted endpoint
Recomendado para: mid-market 100-500 empleados con presupuestos más altos, empresas creativas / periodismo (Travel Mode), familias de empleados (Families plan incluido).
Ver nuestra comparativa Bitwarden vs 1Password 2026.
06 - Proton Pass Business - RGPD-by-design
Precio: 7,99 USD/usuario/mes (Business).
Puntos fuertes:
- Jurisdicción suiza: protección legal fuerte fuera UE y fuera US
- Open source (clientes aplicación públicos)
- Integrado en el ecosistema Proton Business (Mail, VPN, Drive, Calendar) - bundle atractivo para pyme
- 2FA TOTP integrado en el vault
- End-to-end encryption by design, arquitectura zero-knowledge
- SCIM + SSO SAML desde finales 2024
Limitaciones:
- Producto B2B aún joven (lanzado finales 2023, maduro desde 2025)
- Comunidad admin B2B menor que Bitwarden / 1Password
- Búsqueda en el vault más lenta que Bitwarden / NordPass
- Sin self-host para el password manager (vs Proton Mail Bridge)
Recomendado para: empresas sensibles a RGPD, organizaciones gubernamentales UE, medios / ONG / periodismo, equipos hostiles a la jurisdicción US.
Ver nuestra comparativa Proton Pass vs Bitwarden 2026.
07 - Keeper Enterprise - Compliance fuerte, UX media
Precio: 6,67 USD/usuario/mes (Business) o quote required para Enterprise.
Puntos fuertes:
- FedRAMP authorized y FIPS 140-2 validated - elección por defecto para gobierno US y sector defensa
- SCIM + SSO SAML + bridge Active Directory dedicado
- SOC 2 Type 2 + ISO 27001 + ISO 27017 + ISO 27018 (uno de los más completos del mercado)
- BreachWatch integrado (alerta sobre credenciales comprometidas)
- Módulo KeeperPAM (Privileged Access Management) en opción
Limitaciones:
- UX desktop y móvil menos pulida que NordPass / 1Password
- Tarificación opaca por encima de 50 usuarios (quote required)
- Código propietario cerrado
- Sin self-host
Recomendado para: gobierno US, sector defensa, salud US (HIPAA), empresas que quieren un PAM integrado.
08 - Dashlane Business - VPN incluido pero caro
Precio: 8 USD/usuario/mes (Business).
Puntos fuertes:
- VPN integrado (Hotspot Shield vía partnership) - argumento para empresas sin VPN B2B existente
- Password Health Score B2B agregado para el CISO
- SCIM + SSO SAML + sync Active Directory
- SOC 2 Type 2 publicado
- Onboarding admin guiado más simple que Bitwarden
Limitaciones:
- Precio más elevado del benchmark (8 USD = 60 % más caro que Bitwarden, 117 % más caro que NordPass)
- VPN partner (Hotspot Shield) menos performante que NordVPN / Proton VPN dedicados
- UX desktop menos pulida que en 2020 (el producto ha perdido ventaja)
- Código propietario cerrado
Recomendado para: empresas que quieren un bundle Password Manager + VPN en una sola factura, equipos US legacy ya en Dashlane.
09 - Tabla comparativa completa
| Criterio | Bitwarden Business | NordPass Business | 1Password Business | Proton Pass Business | Keeper Enterprise | Dashlane Business |
|---|---|---|---|---|---|---|
| Precio /usuario/mes | 5 USD | 3,69 USD | 7,99 USD | 7,99 USD | 6,67 USD | 8 USD |
| TCO 3 años 100 usuarios | 18 000 USD | 13 284 USD | 28 764 USD | 28 764 USD | 24 012 USD | 28 800 USD |
| SSO SAML | Enterprise (7 USD) | Incluido | Incluido | Incluido | Incluido | Incluido |
| SCIM 2.0 | Hosted | Hosted | Bridge | Hosted | Hosted | Hosted |
| Open source | Sí (GPL v3) | No | No | Parcial | No | No |
| Self-host | Sí (Vaultwarden) | No | No | No | No | No |
| Residencia datos UE | Sí (Frankfurt) | Sí (LT / DE) | Sí | Suiza | Sí | Sí |
| SOC 2 Type 2 | Sí | Sí | Sí | Sí | Sí | Sí |
| ISO 27001 | Sí | Sí | En curso | Sí | Sí | Sí |
| HIPAA BAA | Sí | Sí | Sí | A demanda | Sí | Sí |
| FedRAMP | No | No | No | No | Sí | No |
| Auditoría Cure53 reciente | 2022 | 2024 | 2024 | 2024 | Interna | Interna |
| API REST | Documentada | Documentada | Documentada | Documentada | Documentada | Documentada |
| Bug bounty activo | Sí (HackerOne) | Sí (HackerOne) | Sí (Bugcrowd) | Sí (interno) | Sí (Bugcrowd) | Sí (HackerOne) |
10 - Casos de uso por tamaño de empresa
Pyme 10-50 empleados
Recomendación: Bitwarden Business plan Teams (5 USD/usuario/mes) o NordPass Business (3,69 USD/usuario/mes).
A este tamaño, buscas: precio bajo, setup rápido (menos de 1 día IT), MFA WebAuthn obligatorio, SCIM si ya tienes un IdP (Google Workspace, Microsoft 365), formación empleados en menos de 2h.
Stack típico:
- Plan Teams Bitwarden Business a 5 USD/usuario/mes
- SCIM vía Google Workspace o Microsoft 365 (gratuito lado IdP)
- MFA WebAuthn obligatorio para todos los admins
- Colecciones por departamento (IT, Marketing, Finanzas, Ventas)
- Audit logs 90 días (retención por defecto)
Presupuesto anual: 25 empleados × 5 USD × 12 = 1 500 USD/año (~1 350 EUR).
Mid-market 50-500 empleados
Recomendación: Bitwarden Enterprise (7 USD/usuario/mes) o 1Password Business (7,99 USD/usuario/mes).
A este tamaño, SSO SAML 2.0 se vuelve crítico para onboarding-as-code. SCIM es obligatorio para evitar cuentas fantasma. Export audit logs SIEM (Splunk, Datadog, Sumo Logic) necesario para SOC 2 / ISO 27001 internos.
Stack típico:
- Plan Bitwarden Enterprise a 7 USD/usuario/mes
- SSO SAML 2.0 vía Okta / Azure AD / Google Workspace
- Aprovisionamiento SCIM automático (joiner-leaver-mover)
- MFA WebAuthn obligatorio para TODOS los empleados (no sólo admins)
- Master password policies (longitud mín 14, rotación 12 meses)
- Colecciones nested por BU + departamento
- Export Event Logs hacia SIEM cada 24h
- Onboarding empleado incluido en IT onboarding (formación 30 min)
Presupuesto anual: 200 empleados × 7 USD × 12 = 16 800 USD/año (~15 100 EUR).
Enterprise 500+ empleados
Recomendación: Bitwarden Enterprise self-host híbrido o 1Password Business con SCIM Bridge o Keeper Enterprise (si gobierno / defensa).
A este tamaño, quieres: audit logs con retención 18-24 meses, SSO con MFA hardware obligatorio (WebAuthn / YubiKey), PAM integrado (Keeper) o acoplado (CyberArk + Bitwarden), bug bounty activo, pen test anual, equipo dedicado vendor management.
Stack típico:
- Plan Enterprise quote-based (~10-15 USD/usuario/mes custom)
- SSO vía IdP central (Okta Workforce Identity Cloud, Azure AD Premium P2)
- Aprovisionamiento SCIM + bridge Active Directory
- MFA hardware WebAuthn obligatorio (YubiKey o Titan)
- RBAC con roles custom (PCI scope, GDPR scope, HIPAA scope)
- Export Event Logs hacia SIEM en tiempo real
- Backup cifrado independiente del vendor (Bitwarden export diario cifrado GPG)
- Auditoría externa anual (Cure53 o equivalente) sobre el stack
Presupuesto anual: 1 000 empleados × 10 USD × 12 = 120 000 USD/año (~108 000 EUR).
11 - Self-host (Vaultwarden) vs SaaS
Vaultwarden es la implementación tercera open source compatible con los clientes Bitwarden oficiales. Es la opción self-host más popular en 2026 (más de 50 000 instancias desplegadas según GitHub).
Cuándo elegir Vaultwarden self-host
- Tienes un equipo SOC interno capaz de parchear día-0 y monitorizar 24/7
- Tienes una obligación regulatoria estricta que prohíbe cloud multi-tenant (salud, defensa, banca sensible)
- Quieres un control soberanía UE (Vaultwarden sobre OVH, Scaleway, Hetzner Alemania)
- Tienes menos de 500 empleados Y un IT sólido que puede absorber 2-4h/mes de mantenimiento
- Quieres ahorrar 60-80 % vs SaaS sobre 3 años
Coste Vaultwarden self-host típico:
- Servidor Hetzner CX22 (2 vCPU, 4 GB RAM, 40 GB SSD): 4,90 EUR/mes
- Backup S3 cifrado (Hetzner Storage Box): 3,50 EUR/mes
- Dominio + TLS (Let's Encrypt): 0 EUR/mes
- Monitoring (Uptime Kuma self-host): 0 EUR/mes
- Total infra: ~100 EUR/año
- Costes ocultos IT: 4h setup + 2h mantenimiento × 12 meses × 50 EUR/h = 1 300 EUR/año
- TCO total Vaultwarden 50 usuarios / 3 años = ~4 200 EUR vs Bitwarden Business SaaS = ~7 500 EUR
Cuándo quedarse en SaaS
- No tienes equipo SOC interno capaz de parchear día-0
- Quieres SLAs contractuales (Bitwarden Cloud SLA 99,9 %, 1Password SLA 99,95 %)
- Necesitas soporte 24/7 Premium
- Quieres transferir el riesgo operacional al vendor (tener un C-level alcanzable en caso de breach)
- No tienes más de 4h/mes IT que dedicar al mantenimiento de un servicio crítico
Ver nuestro tutorial self-host Vaultwarden completo con setup Docker, backup cifrado, monitoring y patching.
12 - Playbook de rollout enterprise
Aquí un playbook recomendado para rollouts mid-market (100-500 usuarios) sobre un planning de 6 semanas:
Semana 1 - Discovery + piloto 10 usuarios
- Auditoría existente: ¿cuántos empleados reutilizan sus contraseñas? (Have I Been Pwned API + entrevistas)
- Selección vendor finalizada (ver criterios sección 02)
- Trial gratuito 14-30 días activado (Bitwarden, NordPass, 1Password ofrecen todos trials)
- Piloto 10 usuarios tech: IT, seguridad, DPO
- Documentación interna: runbook admin + guía usuario en menos de 10 páginas
Semana 2 - SSO + aprovisionamiento SCIM
- Activación SSO SAML 2.0 lado IdP (Okta, Azure AD, Google Workspace)
- Configuración SCIM (token, endpoint, attribute mapping)
- Test SCIM sobre 5 usuarios piloto (joiner-leaver-mover)
- Validación audit logs export hacia SIEM
Semana 3 - Enforcement MFA hardware
- Distribución YubiKey 5 Series a todos los admins (~50 EUR/llave)
- Policy MFA WebAuthn obligatoria para admins
- Policy MFA TOTP mínimo para usuarios (escalada WebAuthn en semana 6)
- Master password policy: mínimo 14 caracteres, rotación 12 meses
Semana 4 - Rollout piloto departamento
- Selección 1 departamento (típicamente Marketing o Ventas - no IT, no Finanzas)
- Formación 30 min por empleado en vivo (no sólo video on-demand)
- Import vault personal desde Chrome / LastPass / etc.
- Soporte dedicado canal Slack #password-manager-rollout
Semana 5 - Rollout empresa completa
- Comunicación oficial CISO + RRHH (email + town hall)
- Onboarding obligatorio en IT onboarding para los nuevos empleados
- Deadline 30 días para migración completa
- Reporting semanal: % de empleados activos, % vaults migrados
Semana 6 - Hardening
- Audit Watchtower / BreachWatch: ¿cuántos empleados tienen contraseñas comprometidas?
- Rotación forzada de las contraseñas compartidas sensibles (admin sistemas, API keys prod)
- Escalada WebAuthn obligatoria para el 100 % de los empleados
- Policy export disable (impedir que los empleados exporten su vault en claro)
13 - Change management: evitar los 5 errores clásicos
Existen 5 errores recurrentes en los rollouts password manager B2B que con frecuencia descarrilan los proyectos:
- Sin piloto: desplegar en big-bang sin piloto 10-20 usuarios → resistencia masiva
- Sin SSO: MFA sola sin SSO crea un onboarding pesado (empleado debe crear cuenta + activar MFA + importar vault)
- Sin SCIM: cuentas fantasma de empleados que se fueron permanecen activas durante meses (riesgo #1 breach)
- Sin formación en vivo: sólo un video on-demand → una parte importante de los empleados nunca se conectan
- Sin policy export disable: un empleado que dimite puede exportar todas las contraseñas compartidas en CSV no cifrado
Ver también nuestra guía migración LastPass a Bitwarden para organizaciones que migran post-breach 2022.
14 - Veredicto 2026
Para la mayoría de empresas 10-500 empleados, Bitwarden Business a 5 USD/usuario/mes es la mejor relación simplicidad / precio / soberanía. Es nuestro #1 B2B 2026.
Para empresas sensibles al presupuesto o que ya tienen NordVPN B2B, NordPass Business a 3,69 USD/usuario/mes es la opción más barata sin compromiso seguridad mayor.
Para empresas con presupuesto premium que quieren la mejor UX y un SCIM Bridge auto-alojado, 1Password Business a 7,99 USD/usuario/mes sigue siendo pertinente.
Para organizaciones RGPD-sensibles u hostiles a la jurisdicción US, Proton Pass Business a 7,99 USD/usuario/mes con jurisdicción suiza es único.
Para gobierno US, defensa, salud US, Keeper Enterprise sigue siendo la elección por defecto gracias a FedRAMP + FIPS 140-2.
Empezar un trial gratuito Bitwarden Business →14 días de trial · 5 USD/usuario/mes · SCIM hosted · SOC 2 Type 2 · EU Cloud Frankfurt→Fuentes y enlaces útiles
- Bitwarden Business precio oficial
- NordPass Business precio oficial
- 1Password Business precio oficial
- Proton Pass Business oficial
- Keeper Enterprise oficial
- Dashlane Business oficial
- Nuestra comparativa Bitwarden vs 1Password 2026
- Nuestra guía Bitwarden Business SCIM provisioning
- Nuestro tutorial self-host Vaultwarden
- Nuestra comparativa Proton Pass vs Bitwarden
- Nuestra reseña NordPass 2026
- Nuestra guía migración LastPass a Bitwarden
- Nuestro pillar TOFU consumer-grade gestor contraseñas
Preguntas frecuentes
¿Cuál es el mejor gestor de contraseñas empresa en 2026?
**Bitwarden Business** es nuestro #1 B2B 2026 para la mayoría de empresas con 10 a 500 empleados: 5 USD/usuario/mes (el más barato del mercado B2B), endpoint SCIM 2.0 hosted para Okta/Azure AD/Google Workspace, SOC 2 Type 2 + ISO 27001 publicados, código abierto auditable, opción Vaultwarden self-host para soberanía total. **1Password Business** (7,99 USD/usuario/mes) sigue siendo preferible para organizaciones que quieren UX premium y un SCIM Bridge auto-alojado. **NordPass Business** (3,69 USD/usuario/mes) es la mejor opción si quieres el precio B2B más agresivo con un ecosistema Nord Security coherente (NordVPN, NordLayer). Ver nuestra [comparativa Bitwarden vs 1Password 2026](/es/blog/bitwarden-vs-1password-2026) para el detalle.
¿SSO o MFA basta para una empresa de menos de 100 empleados?
**MFA obligatorio (TOTP mínimo, idealmente WebAuthn / passkeys) basta para estructuras de menos de 100 empleados sin restricción compliance fuerte**. SSO SAML 2.0 se vuelve relevante a partir de 100-150 empleados, o antes si ya tienes un IdP (Okta, Azure AD, Google Workspace) que impulsa SCIM/SAML por defecto. Bitwarden SSO SAML viene incluido en el plan Enterprise (7 USD/usuario/mes) y 1Password SSO viene incluido en Business. **Regla de decisión**: el aprovisionamiento SCIM automático tiene prioridad sobre SSO, porque SCIM elimina el riesgo #1 (cuenta fantasma de empleado que ya se fue). Ver nuestra [guía Bitwarden Business SCIM provisioning 2026](/es/blog/bitwarden-business-scim-provisioning-2026).
¿Qué gestor empresa es compatible con RGPD con residencia de datos UE?
**Proton Pass Business** es nuestro #1 RGPD-by-design: jurisdicción suiza, residencia de datos UE garantizada, auditorías open source publicadas, infraestructura 100 % Proton. **NordPass Business** ofrece residencia de datos UE opcional (Lituania / Alemania) y es SOC 2 Type 2. **Bitwarden Business** ofrece un despliegue EU Cloud (Frankfurt) desde 2024 con residencia de datos UE completa. **1Password** ofrece residencia de datos US/EU/CA a elección durante el provisioning de la organización. **La única manera de tener control total es el self-host Vaultwarden** sobre tu propia infraestructura o un cloud UE soberano (OVH, Scaleway, Hetzner) - ver nuestro [tutorial self-host Vaultwarden](/es/blog/self-host-vaultwarden-tutoriel).
¿Cuánto cuesta un gestor empresa para 100 empleados a 3 años?
**Cálculo real a 3 años para 100 empleados**: Bitwarden Business = 100 × 5 × 36 = **18 000 USD** (~16 200 EUR), NordPass Business = 100 × 3,69 × 36 = **13 284 USD** (~11 950 EUR - el más barato), 1Password Business = 100 × 7,99 × 36 = **28 764 USD** (~25 900 EUR), Dashlane Business = 100 × 8 × 36 = **28 800 USD**, Keeper Enterprise = 100 × 6,67 × 36 = **24 012 USD**, Proton Pass Business = 100 × 7,99 × 36 = **28 764 USD**. **El TCO real también incluye**: configuración SSO/SCIM (8-40h IT), formación empleados (2-5h × 100 = 200-500h), audit logs y compliance (~2 días auditor ahorrados al año gracias a los audit trails = ~2 400 EUR/año evitados).
¿Self-host (Vaultwarden) o SaaS para una empresa?
**SaaS (Bitwarden Cloud, 1Password Cloud, NordPass, etc.) cubre la gran mayoría de los casos pyme y mid-market**: cero mantenimiento, SLA contractual, auditorías SOC 2 Type 2 publicadas, soporte 24/7. **Self-host (Vaultwarden, Bitwarden Self-host Enterprise, Passbolt) sólo se justifica si**: (1) tienes un equipo SOC interno capaz de parchear día-0, (2) tienes una obligación regulatoria estricta (salud, defensa, banca sensible) que prohíbe el cloud multi-tenant, (3) quieres un control de soberanía UE fuerte (Vaultwarden sobre OVH/Scaleway/Hetzner). **De lo contrario, SaaS gana**: no estás más protegido en self-host si no sabes parchear Postgres o monitorizar un contenedor Docker. Ver nuestro [tutorial self-host Vaultwarden](/es/blog/self-host-vaultwarden-tutoriel).
¿Cómo gestionar el off-boarding de un empleado con un gestor empresa?
**Procedimiento off-boarding estándar 2026**: (1) el IdP desactiva la cuenta empleado → SCIM propaga la revocación al gestor de contraseñas en menos de 30 segundos; (2) el admin del gestor fuerza la rotación de las contraseñas compartidas a las que el empleado tenía acceso (Bitwarden Business vía export → rotación manual, 1Password Business vía Travel Mode + rotación, NordPass vía Activity Log + force rotation); (3) el audit log archiva el historial de acceso del empleado para trazabilidad 12-24 meses; (4) si el empleado tenía su vault personal en el plan Families gratuito proporcionado, el admin puede preservarlo o eliminarlo según política. **SCIM elimina la mayor parte de este riesgo**: sin SCIM, una cuenta fantasma de empleado que se fue permanece activa durante semanas o meses. Es el riesgo #1 en gestor empresa.
¿Qué certificaciones exigir como mínimo en 2026?
**Stack mínimo a exigir a un gestor empresa en 2026**: (1) **SOC 2 Type 2** publicado y renovado anualmente (Bitwarden, 1Password, NordPass, Dashlane, Keeper, Proton Pass lo tienen todos); (2) **ISO 27001** (Bitwarden, NordPass, Keeper, Dashlane lo tienen, 1Password en curso); (3) **auditoría independiente Cure53 / Insight Risk** publicada en los últimos 24 meses; (4) **DPA compatible RGPD** firmable directamente; (5) **reporte de penetration test** disponible bajo NDA. A verificar adicionalmente según tu sector: **HIPAA BAA** (salud US), **FedRAMP / FIPS 140-2** (gobierno US), **PCI DSS** (pagos), **C5** (cloud seguridad Alemania).
¿Cómo gestionar una brecha (breach response) con un gestor empresa?
**Plan de respuesta a incidente estándar si se detecta una brecha en un gestor**: (1) activar inmediatamente el 2FA hardware obligatorio para todos los admins (WebAuthn / YubiKey) si no está ya activo; (2) forzar la rotación del master password para todos los empleados vía policy admin (Bitwarden Enterprise master password policies, 1Password recovery, NordPass force rotation); (3) auditar los Event Logs sobre 90 días para identificar accesos anormales; (4) rotar todas las contraseñas compartidas sensibles (admin sistemas, API keys producción, credenciales DB prod); (5) activar el procedimiento breach response interno (DPO informado, autoridad de protección de datos informada en 72h si datos personales afectados - RGPD artículo 33). **Aprender de la brecha LastPass 2022**: nunca almacenar elementos sin cifrar fuera del vault (URLs, notas texto) si el proveedor lo permite.
¿Qué tamaño de empresa justifica un gestor dedicado vs compartir informalmente?
**Desde 5 empleados y 10 servicios SaaS compartidos**, un gestor de contraseñas empresa se justifica económicamente. En torno a **20 empleados**, el riesgo de una brecha interna (empleado que se fue con acceso, compartir credenciales por Slack/Email, contraseñas en post-its) se vuelve difícil de ignorar. Una brecha sale cara - el IBM Cost of a Data Breach 2024 cifra el **coste medio mundial en 4,88 M USD**. En comparación, el coste de un gestor B2B a 3 años para 20 empleados = 3 600 USD (Bitwarden) a 5 760 USD (1Password). **ROI sin debate desde 10 empleados** si manejas datos de clientes, IP crítica o cuentas financieras.
¿Bitwarden Business o Vaultwarden self-host para una pyme de 50 empleados?
**Bitwarden Business a 5 USD/usuario/mes = 250 USD/mes (3 000 USD/año)**. **Vaultwarden self-host sobre Hetzner CX22 = 4,90 EUR/mes (60 EUR/año) + ~4h setup inicial + 2h mantenimiento/mes × 50 EUR/h IT interno = 1 260 EUR/año coste oculto**. **Conclusión**: Vaultwarden self-host ahorra ~1 700 EUR/año, PERO tú asumes la responsabilidad de parchear, monitorizar y restaurar. **Veredicto pragmático**: si tu IT ya es sólida (Linux, Docker, monitoring), Vaultwarden vale la pena. Si tu IT es externalizada o reducida, paga Bitwarden Business - transfieres el riesgo operacional a Bitwarden y mantienes los audit logs Enterprise. Detalles en nuestro [tutorial self-host Vaultwarden](/es/blog/self-host-vaultwarden-tutoriel).
