---
title: "Gestor de secretos en la nube: qué es y cómo elegirlo"
url: https://uselinkpilot.com/es/blog/cloud-secret-manager
description: "Qué guarda y protege un gestor de secretos en la nube, cómo elegir entre AWS, Google, Azure y Vault, cómo implantarlo y qué hueco deja al entregar a personas."
lang: es
---

Seguridad (https://uselinkpilot.com/es/blog/category/security)

# Gestor de secretos en la nube: qué es, cómo elegirlo y qué no cubre

Qué guarda y protege un gestor de secretos en la nube, cómo elegir entre AWS, Google, Azure y Vault, cómo implantarlo y qué hueco deja al entregar a personas.

LinkPilot Team (https://uselinkpilot.com/es/author/linkpilot-team) · Las personas que desarrollan y gestionan LinkPilot en TetraCore, LLC 26 de octubre de 2026 · Sobre LinkPilot (https://uselinkpilot.com/es/about)

Todo equipo llega tarde o temprano al punto en que las credenciales están en demasiados sitios: un `.env` en cada dispositivo, un mensaje fijado en Slack, una hoja de cálculo llamada «accesos», una variable de CI que alguien configuró hace dos años. Un gestor de secretos en la nube sirve para reunir todo eso en un único lugar cifrado, con control de acceso y auditado.

Esta guía explica qué hace un gestor de secretos en la nube, cómo elegir entre las opciones principales, cómo implantarlo sin una migración larga y la única tarea que no cubre: hacer llegar un secreto a una persona que no está dentro de tu cuenta en la nube.

## Qué hace un gestor de secretos en la nube

Un gestor de secretos guarda valores confidenciales y se los entrega a las identidades autorizadas cuando los piden. Las funciones básicas son las mismas en todos los proveedores:

- **Almacenamiento cifrado** en reposo, con claves guardadas en el servicio de gestión de claves del proveedor, y TLS en tránsito.
- **Acceso basado en identidades**: cada secreto tiene una política que indica qué usuarios, roles o cargas de trabajo pueden leerlo, escribirlo o rotarlo. Una aplicación se autentica con su propia identidad, no con una contraseña maestra.
- **Registro de auditoría** de cada lectura, escritura y rotación, con quién, qué y cuándo.
- **Versiones y rotación**: se puede preparar un valor nuevo, pasar las aplicaciones a él y retirar la versión antigua. Muchos gestores rotan las credenciales de bases de datos de forma automática.
- **Obtención en tiempo de ejecución**: la aplicación pide el secreto al arrancar o cuando lo necesita, así que el valor nunca se escribe en el código, en las imágenes ni en los archivos de configuración.

Un secreto es cualquier cosa que da acceso. La configuración que solo describe un comportamiento, como un número de puerto o un feature flag, va en la configuración normal. Mezclar ambas cosas llena de ruido el almacén de secretos y vuelve peligrosa la configuración.

## Cómo elegir uno

La decisión suele depender de dónde se ejecutan tus cargas de trabajo y de en cuántas nubes estás.

| Opción | Encaja mejor con | Ojo con |
| --- | --- | --- |
| AWS Secrets Manager / Parameter Store | Cargas de trabajo que ya están en AWS, identidades IAM en todas partes | Precio por secreto en Secrets Manager; Parameter Store es más barato para valores simples |
| Google Secret Manager | Proyectos de GCP, cargas de trabajo en Cloud Run y GKE | Las opciones de replicación regional |
| Azure Key Vault | Cargas de trabajo en Azure, gestión del ciclo de vida de certificados | Usar bóvedas separadas por entorno para que las políticas sigan siendo simples |
| HashiCorp Vault | Multinube o en local, credenciales dinámicas de corta duración | Tener que operarlo tú, salvo que uses la versión alojada |
| Doppler, Infisical, 1Password Secrets Automation | Equipos pequeños que quieren sincronizar con muchas plataformas de forma cómoda para desarrolladores | Un proveedor más en la cadena de confianza |

Cuatro preguntas resuelven la mayoría de las elecciones. ¿Se integra con tus herramientas de despliegue y tu entorno de ejecución sin escribir código de integración a medida? ¿Pueden las cargas de trabajo autenticarse con la identidad que ya tienen? ¿Rota los tipos de credenciales que de verdad usas? ¿Y llegan sus registros de auditoría adonde tu equipo de seguridad ya mira? El precio, las regiones y las certificaciones de cumplimiento vienen después de esas cuatro.

## Cómo implantarlo sin un proyecto de seis meses

1. **Haz inventario y asigna responsables.** Anota cada secreto, dónde está, qué lo usa y quién responde de él. El responsable decide la política de rotación y la lista de acceso.
2. **Configura primero las identidades.** Crea los roles o las cuentas de servicio de cada carga de trabajo y entorno antes de mover un solo valor. Las políticas de acceso del tipo «este servicio, este entorno, solo lectura» son el objetivo de todo esto.
3. **Migra por orden de riesgo.** Primero las contraseñas de bases de datos de producción y las claves de pago, después las claves de API de terceros y luego todo lo demás. Quita cada valor del código, de las variables de CI y de los archivos de configuración a medida que lo migras, y rótalo al migrarlo, porque el valor antiguo ya se ha copiado por ahí.
4. **Cambia cómo leen los secretos las aplicaciones.** Sustituye los valores escritos en el código y los archivos de entorno por una llamada al SDK del gestor al arrancar, o inyéctalos con la integración nativa de la plataforma.
5. **Activa la rotación** de todo lo que el gestor pueda rotar por sí mismo, y escribe una función de rotación o un procedimiento para el resto.
6. **Configura alertas para lo inusual.** Una lectura de un secreto desde una identidad nueva, un pico de lecturas o una lectura desde una región en la que no despliegas merecen un aviso a quien esté de guardia.

Los errores habituales son previsibles: dejar las copias antiguas en su sitio tras la migración, dar a una carga de trabajo acceso de lectura a todo el almacén en lugar de solo a sus secretos y escribir el valor obtenido en los registros de la aplicación.

## El hueco que no cubre un gestor de secretos

Un gestor de secretos está hecho para máquinas y para las personas que están dentro de tu sistema de identidades. No está hecho para el momento en que una credencial tiene que llegar a alguien de fuera: un colaborador externo que necesita una contraseña temporal de base de datos, un cliente que recibe su primer acceso de administrador, un ingeniero de un proveedor que necesita un token durante una tarde, una persona recién contratada en su primer día, antes de que exista su cuenta de SSO.

Esas entregas ocurren igualmente y, sin una vía autorizada, ocurren por correo y por chat, justo de donde los gestores de secretos debían sacar las credenciales. La vía autorizada es un enlace secreto de un solo uso (https://uselinkpilot.com/es/tools/free-secret-link-generator). El valor se cifra en tu navegador antes de guardarse, el mensaje solo lleva un enlace, la copia almacenada se destruye la primera vez que se abre el enlace y el enlace expira pasado un tiempo si nadie lo abre.

El patrón que funciona: el gestor de secretos es el sistema de referencia, y el enlace de un solo uso es el medio de entrega cuando una persona de fuera del sistema necesita un valor una vez. Genera la credencial, guárdala en el gestor, envíasela a la persona con un enlace de un solo uso y rótala cuando termine su acceso. Enlaces secretos frente a gestores de contraseñas (https://uselinkpilot.com/es/blog/secret-links-vs-password-managers) aplica el mismo razonamiento al gestor de contraseñas del equipo, y la guía sobre credenciales entre equipos (https://uselinkpilot.com/es/blog/how-to-create-a-secure-way-to-hand-off-credentials-between-teams) explica la rutina.

## Una lista de comprobación breve

- Cada secreto tiene un responsable, una política de acceso y una regla de rotación.
- Las cargas de trabajo se autentican con su propia identidad, nunca con una clave compartida.
- Tras la migración, no queda ningún secreto en el código, las imágenes, las variables de CI ni el chat.
- Las lecturas se registran en un sitio que alguien mira de verdad.
- Las personas de fuera del sistema de identidades reciben los secretos con un enlace de un solo uso, no en un mensaje.

Haz esas cinco cosas y el gestor de secretos dejará de ser un producto que compraste para convertirse en la razón por la que las credenciales dejaron de filtrarse.

## Lecturas relacionadas

- Cómo compartir claves de API de forma segura: https://uselinkpilot.com/es/blog/how-to-share-api-keys-securely
- Compartir enlaces de forma segura para desarrolladores: https://uselinkpilot.com/es/blog/secure-link-sharing-for-developers
- Cómo crear una forma segura de entregar credenciales entre equipos: https://uselinkpilot.com/es/blog/how-to-create-a-secure-way-to-hand-off-credentials-between-teams
- Enlaces secretos frente a gestores de contraseñas: https://uselinkpilot.com/es/blog/secret-links-vs-password-managers

## Herramientas para este artículo

Generador de enlaces secretos de un solo uso

Comparte una contraseña o una nota con un enlace que solo se abre una vez.
https://uselinkpilot.com/es/tools/free-secret-link-generator

Mensaje que se autodestruye

Envía una nota que desaparece después de leerse una vez.
https://uselinkpilot.com/es/tools/burn-after-read-secret

Generador de enlaces que expiran

Crea enlaces que dejan de funcionar en el momento que fijes.
https://uselinkpilot.com/es/tools/temporary-link

## Preguntas frecuentes

### ¿Qué es un gestor de secretos en la nube?

### ¿Qué conviene guardar en un gestor de secretos?

### ¿Cómo leen los secretos las aplicaciones?

### ¿Cada cuánto hay que rotar los secretos?

### ¿Cifran los gestores de secretos los valores guardados?

### ¿Qué diferencia hay entre almacenar secretos y compartirlos?

## LinkPilot envía un enlace secreto que desaparece en cuanto se abre.

Cifrado en tu navegador, se muestra una vez y después se destruye. Sin cuenta.

Crear un enlace secreto (https://uselinkpilot.com/es/tools/free-secret-link-generator)

## Sigue leyendo

Seguridad

### Clave de acceso y clave secreta de AWS: crear, usar, rotar y compartir

Qué son el ID de clave de acceso y la clave secreta de AWS, por qué la secreta se ve una vez, cómo rotarlas, qué hacer si se filtra y cómo compartirla.
https://uselinkpilot.com/es/blog/aws-access-key-and-secret-key

Seguridad

### Compartir credenciales SSH con un enlace que expira

Mejor la clave pública del destinatario. Si hay que enviar una clave privada o una contraseña, usa un enlace de un solo uso, y el host y el usuario aparte.
https://uselinkpilot.com/es/blog/how-to-share-ssh-credentials-with-a-link-that-expires-securely

Seguridad

### Compartir credenciales de forma segura sin correo

Cuatro formas de compartir una contraseña sin correo, cuándo usar cada una y cómo crear un enlace temporal que se destruye al abrirse una vez.
https://uselinkpilot.com/es/blog/how-to-share-credentials-securely-without-email

## Structured data

```json
[
  {
    "@context": "https://schema.org",
    "@type": "BreadcrumbList",
    "itemListElement": [
      {
        "@type": "ListItem",
        "position": 1,
        "name": "Inicio",
        "item": "https://uselinkpilot.com/es"
      },
      {
        "@type": "ListItem",
        "position": 2,
        "name": "Blog",
        "item": "https://uselinkpilot.com/es/blog"
      },
      {
        "@type": "ListItem",
        "position": 3,
        "name": "Gestor de secretos en la nube: qué es, cómo elegirlo y qué no cubre",
        "item": "https://uselinkpilot.com/es/blog/cloud-secret-manager"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "BlogPosting",
    "@id": "https://uselinkpilot.com/es/blog/cloud-secret-manager#article",
    "headline": "Gestor de secretos en la nube: qué es, cómo elegirlo y qué no cubre",
    "description": "Qué guarda y protege un gestor de secretos en la nube, cómo elegir entre AWS, Google, Azure y Vault, cómo implantarlo y qué hueco deja al entregar a personas.",
    "inLanguage": "es",
    "datePublished": "2026-10-26",
    "dateModified": "2026-10-26",
    "image": "https://uselinkpilot.com/logo-512.png",
    "author": {
      "@type": "Organization",
      "@id": "https://uselinkpilot.com/author/linkpilot-team#organization",
      "name": "LinkPilot Team",
      "url": "https://uselinkpilot.com/es/author/linkpilot-team"
    },
    "publisher": {
      "@type": "Organization",
      "name": "LinkPilot",
      "url": "https://uselinkpilot.com",
      "logo": {
        "@type": "ImageObject",
        "url": "https://uselinkpilot.com/logo-512.png",
        "width": 512,
        "height": 512
      }
    },
    "mainEntityOfPage": {
      "@type": "WebPage",
      "@id": "https://uselinkpilot.com/es/blog/cloud-secret-manager"
    }
  },
  {
    "@context": "https://schema.org",
    "@type": "FAQPage",
    "mainEntity": [
      {
        "@type": "Question",
        "name": "¿Qué es un gestor de secretos en la nube?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Un servicio gestionado que guarda cifradas credenciales como claves de API, contraseñas de bases de datos y certificados, controla qué identidades pueden leer cada una, registra cada acceso y puede rotar los valores de forma programada. Las aplicaciones obtienen los secretos de él en tiempo de ejecución en lugar de tenerlos en el código o en la configuración."
        }
      },
      {
        "@type": "Question",
        "name": "¿Qué conviene guardar en un gestor de secretos?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Todo lo que da acceso: contraseñas, claves de API, tokens, claves privadas, certificados, cadenas de conexión con credenciales incluidas. La configuración normal, como los niveles de registro y los feature flags, va en la configuración, no en el almacén de secretos."
        }
      },
      {
        "@type": "Question",
        "name": "¿Cómo leen los secretos las aplicaciones?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Mediante el SDK o la CLI del proveedor, autenticadas con la identidad propia de la carga de trabajo, por ejemplo un rol de IAM o una cuenta de servicio de Kubernetes. La aplicación nunca tiene una credencial de larga duración para llegar al almacén de secretos."
        }
      },
      {
        "@type": "Question",
        "name": "¿Cada cuánto hay que rotar los secretos?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "De forma programada en el caso de los valores de larga duración que lo admitan, y de inmediato ante ciertos cambios: la salida de una persona, un cambio de proveedor, cualquier sospecha de exposición. La mayoría de los gestores pueden rotar automáticamente las contraseñas de bases de datos; las claves de API de terceros suelen necesitar una función de rotación o un paso manual."
        }
      },
      {
        "@type": "Question",
        "name": "¿Cifran los gestores de secretos los valores guardados?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Sí, en reposo con una clave guardada en el servicio de gestión de claves del proveedor, y en tránsito con TLS. El acceso sigue dependiendo de los permisos que configures, así que el cifrado no protege de una política demasiado amplia."
        }
      },
      {
        "@type": "Question",
        "name": "¿Qué diferencia hay entre almacenar secretos y compartirlos?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Almacenar es dónde vive un secreto y cómo lo obtienen con el tiempo las máquinas y las personas autorizadas. Compartir es el momento en que un valor tiene que llegar a una persona que no está en ese sistema: un colaborador externo, un cliente, alguien recién contratado. Un gestor de secretos hace lo primero. Un enlace secreto de un solo uso hace lo segundo sin dejar una copia en un mensaje."
        }
      }
    ],
    "inLanguage": "es"
  },
  {
    "@context": "https://schema.org",
    "@type": "SoftwareApplication",
    "@id": "https://uselinkpilot.com/#software",
    "name": "LinkPilot",
    "applicationCategory": "BusinessApplication",
    "operatingSystem": "Web",
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "url": "https://uselinkpilot.com",
    "offers": [
      {
        "@type": "Offer",
        "name": "Free",
        "price": "0",
        "priceCurrency": "USD",
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro",
        "price": "29",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "29",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency",
        "price": "299",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "299",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus",
        "price": "799",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "799",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro (yearly)",
        "price": "288",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "288",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency (yearly)",
        "price": "2988",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "2988",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus (yearly)",
        "price": "7980",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "7980",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Enterprise",
        "priceSpecification": {
          "@type": "PriceSpecification",
          "priceCurrency": "USD"
        },
        "url": "https://uselinkpilot.com/pricing"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "Organization",
    "@id": "https://uselinkpilot.com/#organization",
    "name": "LinkPilot",
    "alternateName": "LinkPilot by TetraCore",
    "url": "https://uselinkpilot.com",
    "contactPoint": {
      "@type": "ContactPoint",
      "contactType": "customer support",
      "email": "support@uselinkpilot.com",
      "url": "https://uselinkpilot.com/support"
    },
    "parentOrganization": {
      "@type": "Organization",
      "@id": "https://tetracorehq.com/#organization",
      "name": "TetraCore",
      "url": "https://tetracorehq.com/"
    },
    "logo": {
      "@type": "ImageObject",
      "url": "https://uselinkpilot.com/logo-512.png",
      "width": 512,
      "height": 512
    },
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "sameAs": [
      "https://x.com/uselinkpilot",
      "https://www.linkedin.com/company/uselinkpilot",
      "https://facebook.com/uselinkpilot",
      "https://github.com/TetraCoreHQ/linkpilot-cli",
      "https://github.com/TetraCoreHQ/linkpilot-mcp",
      "https://www.npmjs.com/package/linkpilot",
      "https://www.npmjs.com/package/@uselinkpilot/sdk",
      "https://www.npmjs.com/package/@uselinkpilot/mcp",
      "https://chromewebstore.google.com/detail/linkpilot-short-links-and/mnmppadihpcncicldpkmgknhnjkondad",
      "https://addons.mozilla.org/en-US/firefox/addon/uselinkpilot/"
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "WebSite",
    "name": "LinkPilot",
    "url": "https://uselinkpilot.com",
    "potentialAction": {
      "@type": "SearchAction",
      "target": "https://uselinkpilot.com/blog?q={search_term_string}",
      "query-input": "required name=search_term_string"
    }
  }
]
```