Migración de KeePass a Passwork: Exportación e importación

Logotipo del candado negro de KeePass en un círculo azul, con una flecha hacia la derecha que conduce al logotipo de la llave azul de Passwork en un cuadrado blanco redondeado, que ilustra la migración de KeePass a Passwork sobre un fondo azul.

Una migración de KeePass a Passwork decide dónde debe estar cada contraseña, quién puede acceder a ella y cómo demostrar que el resultado funciona, antes de retirar el flujo de trabajo anterior. Si todavía está valorando si conviene migrar, Gestión de contraseñas y accesos para pymes: ¿Es KeePass suficiente? aborda esa pregunta. Esta guía asume que la decisión ya está tomada y explica la mecánica del proceso.

Puntos clave

Exporte KeePass a un archivo XML o CSV controlado, nunca a una ubicación sin gestionar
Elija el formato de forma deliberada: XML para la jerarquía, CSV para datos planos y mapeados
Conserve el origen de KeePass hasta que la migración supere una prueba de aceptación documentada

Planificar la migración de KeePass a Passwork antes de exportar

Confirme la bóveda de destino, el responsable, el modelo de acceso y el punto de reversión antes de exportar KeePass. El punto de reversión es la base de datos de origen, sin modificar, que se conserva hasta que se firme la aceptación. Sin este paso, una migración de credenciales se convierte en una transferencia de archivos sin control, sin responsable y sin posibilidad de retroceder.

Antes de utilizar la función de exportación, complete estos pasos:

Elabore un inventario del origen con los grupos, el número de entradas y los posibles archivos adjuntos o campos personalizados
Asigne un responsable para cada credencial compartida, especialmente las cuentas de TI y de servicio
Marque las entradas obsoletas o duplicadas para excluirlas, en lugar de importar datos innecesarios
Confirme quién está autorizado a ejecutar la exportación y la importación
Diseñe el plan de bóvedas y carpetas de destino en Passwork antes de mover ningún dato
Establezca una ventana de mantenimiento si las credenciales del alcance afectan a sistemas de producción

La autorización merece atención adicional cuando interviene un contratista o un proveedor de servicios gestionados. La participación de terceros representó el 48 % de las brechas, frente al 30 % del año anterior, según el informe Data Breach Investigations Report de 2026 de Verizon. Si una parte externa gestiona la exportación o la importación, aplique la misma aprobación, el mismo acceso de mínimo privilegio y el mismo límite de tiempo que aplicaría a un administrador interno.

Planifique el acceso en Passwork antes de importar. Un archivo de exportación de KeePass por sí solo no define los usuarios, los grupos ni los permisos que deben regir el destino. Asigne los responsables y el acceso necesario de forma deliberada, y configure los permisos de bóveda y carpeta requeridos antes de que los registros queden disponibles para los usuarios.

Una migración debe conservar el acceso existente o mejorarlo de forma deliberada, ya que Passwork concede los permisos de bóveda y carpeta de forma explícita, en lugar de derivarlos de una exportación de KeePass.

Elegir XML o CSV de KeePass antes de exportar

Utilice XML de KeePass cuando conservar la jerarquía sea importante. Utilice CSV solo cuando una tabla plana y el mapeo manual de campos sean aceptables. Cada gestor de contraseñas utiliza su propio formato de base de datos: la propia documentación de KeePass es explícita en que no existe ningún estándar compartido en el que apoyarse. CSV y XML no garantizan que otro producto interprete el significado de los campos o la jerarquía de la misma manera. Valide la exportación antes de importarla.

Opción	Cuándo aplica	Qué verificar antes de importar	Precaución principal
KeePass XML	Las carpetas y los grupos son importantes y el destino admite XML de KeePass.	Las rutas de carpetas, el número de entradas, el título, el nombre de usuario, la contraseña, la URL, las notas y los posibles campos especiales.	La portabilidad de XML sigue dependiendo de cuántos campos lee realmente el destino.
CSV	Una importación plana es aceptable, o los datos necesitan un mapeo explícito de columnas.	El delimitador, la fila de encabezado, la codificación, el mapeo de columnas a campos y una muestra de datos no ASCII.	La especificación de CSV documentada por KeePass solo cubre el título, el nombre de usuario, la contraseña, la URL y las notas; los archivos adjuntos y otros metadatos quedan excluidos.

Ningún formato garantiza que se transfieran todos los archivos adjuntos, campos personalizados, entradas de historial o permisos. Cree un registro de excepciones desde el principio para revisar estos elementos antes de la puesta en marcha.

Exportar KeePass sin crear un secreto sin gestionar

Trate la exportación como un conjunto temporal de credenciales, no como un documento ordinario. Créela únicamente en una estación de trabajo de administrador aprobada. Consérvela en una ubicación local restringida y manténgala solo el tiempo necesario para importar y verificar los datos.

Mantenga la exportación totalmente fuera del correo electrónico, el chat y el almacenamiento personal en la nube. La política de gestión de datos de su organización, y no una recomendación de una herramienta concreta, debe determinar cómo y cuándo se destruye el archivo.

Una secuencia viable sería la siguiente:

Haga una copia de seguridad y abra la base de datos de origen de KeePass
Exporte el formato elegido (XML o CSV) a la ruta local restringida
Asigne al archivo un nombre con la fecha y el alcance, pero sin secretos en el propio nombre
Registre la ubicación del archivo y el operador que lo creó
Confirme que el archivo no se ha compartido ni sincronizado accidentalmente en ningún sitio
Impórtelo de inmediato, en lugar de dejarlo sin usar

Combine contraseñas seguras y únicas con una MFA resistente al phishing, e incorpore un gestor de contraseñas como parte de sus controles de credenciales habituales. Una exportación temporal puede quedar fuera de los controles de acceso normales de la bóveda de origen. Manténgala en una estación de trabajo de administrador aprobada y elimínela después de las comprobaciones de importación y aceptación.

Preparar el destino en Passwork e importar los datos

Cree la bóveda de destino y su modelo de acceso previsto antes de subir ningún archivo. La herramienta de importación de Passwork admite JSON, XML de KeePass y CSV en una bóveda, una carpeta o el directorio raíz elegidos.

Ejemplo de la función de importación de Passwork

Las importaciones en XML pueden conservar la estructura de origen o aplanarla, y las importaciones en CSV incluyen un paso de vista previa con controles de delimitador y mapeo de campos.

Siga este orden para la importación:

Cree o seleccione la bóveda de destino.
Decida si va a conservar o a ignorar la estructura de carpetas de origen.
Configure los permisos de bóveda y carpeta antes de invitar a nadie a utilizarla.
Seleccione Importar datos y cargue el archivo exportado.
Para CSV, establezca el delimitador y revise la vista previa con atención.
Asigne cada columna o campo de origen al campo correspondiente de la tarjeta de contraseña de Passwork.
Antes de una importación en producción, utilice la vista previa para confirmar el destino, el delimitador y el mapeo de campos.
En un alcance grande o crítico para el negocio, ejecute una prueba piloto en una instancia de prueba independiente o en una bóveda de prueba aislada sin acceso de usuarios normales. Confirme allí el mapeo y el proceso de excepciones antes de importar en la bóveda de producción.
Complete la importación en producción una vez que la prueba piloto se haya validado.

Passwork documenta cinco niveles de acceso: Prohibido, Solo lectura, Leer y editar, Acceso completo y Administrador. También dispone de una opción independiente de «Conectar sin acceso» para los usuarios vinculados a una bóveda sin permisos directos. Aplique el principio de mínimo privilegio de forma predeterminada y amplíe el acceso solo cuando un rol concreto lo requiera.

Ejecutar la prueba de aceptación de la migración de KeePass a Passwork

Una importación correcta demuestra que se crearon los registros. Una migración correcta demuestra que los registros, la estructura, el acceso y las evidencias cumplen un estándar de aceptación acordado. La prueba de aceptación de la migración de KeePass a Passwork es una lista de verificación de seis controles que convierte «la importación ha finalizado» en un resultado documentado y listo para su aprobación.

Control	Qué probar	Criterio de aprobación
1. Recuento de registros	Compare el número de entradas previsto en KeePass con los registros importados, teniendo en cuenta las exclusiones documentadas.	Cualquier diferencia tiene un responsable y un motivo por escrito.
2. Jerarquía	Compare un conjunto representativo de rutas de grupos de origen con las rutas de bóvedas y carpetas de Passwork.	Las carpetas necesarias existen en la estructura de destino elegida.
3. Muestreo de credenciales	Abra una muestra basada en el riesgo: cuentas con privilegios, cuentas de TI compartidas, entradas en Unicode, URL y notas largas.	El título, el nombre de usuario, la contraseña, la URL y las notas son correctos, sin truncamientos inesperados.
4. Registro de excepciones	Revise los archivos adjuntos, los campos personalizados, el historial y los tipos de registro no admitidos.	Cada excepción se migra manualmente, se transforma, se acepta como excluida o se programa para su rotación.
5. Prueba de acceso	Pruebe con un usuario autorizado y con un usuario al que se le debe denegar el acceso; pruebe las cuentas de servicio en una ventana controlada.	Los usuarios autorizados tienen únicamente el acceso previsto; a los usuarios no autorizados se les deniega.
6. Evidencias de auditoría y puesta en marcha	Registre el operador, la hora, el alcance, el resultado y cualquier decisión sobre excepciones.	La migración es revisable y está lista para su aprobación.

El historial de la bóveda de Passwork registra las altas, ediciones y eliminaciones de contraseñas, así como los cambios de acceso, con marca de tiempo y el usuario que los realizó. Cuando el ajuste de rol necesario está habilitado, el registro de actividad global del sistema añade un rastro de auditoría más amplio.

Utilice estas evidencias para respaldar el control 6, no para sustituir los controles 1 a 5. Los registros confirman lo que ocurrió después de la importación, pero no confirman que los datos o el acceso fueran correctos desde el principio.

Completar el cambio de forma segura y retirar la exportación temporal

Realice el cambio únicamente después de que el responsable técnico y el responsable de accesos lo aprueben. A continuación, comunique la nueva ubicación, elimine la exportación temporal y conserve la base de datos de origen durante el período de reversión acordado.

La secuencia final:

Comunique la nueva ubicación de trabajo a los equipos afectados
Actualice cualquier procedimiento operativo documentado que haga referencia a la bóveda anterior
Rote las credenciales de alto riesgo, compartidas o expuestas previamente, según la política
Elimine el acceso al archivo de exportación temporal
Conserve el origen original de KeePass en la ubicación de reversión aprobada durante el período acordado
Retire el antiguo flujo de trabajo compartido una vez que ambos responsables lo aprueben

Una persona que ha dejado el equipo o ha perdido la autorización puede seguir recordando una contraseña antigua, incluso después de que la propia bóveda quede bloqueada. Rote las credenciales siempre que una baja o un evento de riesgo lo justifique, no solo cuando finalice la migración. La guía de bajas de Passwork traza la misma línea entre retirar el acceso y rotar la propia credencial.

Conclusión

Elija XML o CSV, defina el plan de acceso de destino e importe los datos. Mantenga el resultado como provisional hasta que se superen los seis controles. Omitir la validación puede dejar sin detectar archivos adjuntos ausentes, mapeos de campos incompletos o accesos no previstos hasta después de la puesta en marcha.

Si su equipo está sustituyendo un flujo de trabajo compartido de KeePass, empiece por la guía de importación de Passwork para cargar los datos y, a continuación, configure los permisos de bóveda y carpeta antes de la puesta en marcha. Para una perspectiva más amplia sobre cómo planificar una migración de credenciales a escala empresarial más allá de este formato, consulte por qué la migración de gestores de contraseñas con un solo clic no existe en 2026.

¿Listo para dejar atrás definitivamente un archivo de KeePass compartido? Descubra cómo Passwork estructura las bóvedas, las carpetas y los permisos de acceso.

Preguntas frecuentes

¿Puede Passwork importar directamente un archivo KDBX de KeePass?

Los formatos de importación documentados de Passwork son JSON, XML de KeePass y CSV, no KDBX directamente. Exporte primero la base de datos de KeePass a un formato compatible y, a continuación, consulte la guía de importación vigente antes de programar una migración, ya que los formatos admitidos pueden cambiar entre versiones.

¿Debo usar XML o CSV de KeePass para Passwork?

Utilice XML de KeePass cuando la jerarquía sea importante y el destino lo admita. Utilice CSV en su lugar para una importación plana y mapeada de forma deliberada. En cualquier caso, verifique la cobertura de los campos y registre las excepciones, ya que la compatibilidad de formato no garantiza la paridad de todos los tipos de metadatos entre productos.

¿Cómo sé si la migración ha funcionado?

El éxito de la importación por sí solo no es suficiente. Ejecute los seis controles de la prueba de aceptación de la migración: recuento de registros, jerarquía, muestreo de credenciales, registro de excepciones, prueba de acceso y evidencias de auditoría. Superar los seis le da una decisión documentada de continuar o no, en lugar de una suposición.

¿Cuándo puedo eliminar el archivo de exportación de KeePass?

Elimínelo una vez completadas las comprobaciones de importación y aceptación, siguiendo la política de retención y manejo seguro de su organización. Mantenga esto separado de la base de datos de origen de KeePass conservada en su ubicación de reversión aprobada. No elimine la única base de datos de origen conocida como válida antes de que el responsable técnico dé su aprobación.