Passbolt 5.5 en cooperativas: claves con dueño
Guía para ordenar claves compartidas en guardias rurales con Passbolt 5.5: grupos, vencimientos, auditoría, recuperación y prueba de backup.
Una contraseña compartida sobrevivió a tres cambios de guardia y dos proveedores. En una cooperativa eléctrica con internet rural, ese dato importa más que la marca del router: define quién puede entrar a un enlace, quién puede cambiar una clave y quién queda expuesto cuando alguien se va. Passbolt 5.5 sirve para ordenar ese mapa. Esta nota explica cómo fluye un secreto desde la guardia hasta la auditoría, qué se instala primero y cómo se prueba la recuperación.
Una clave compartida muestra permisos vencidos
El síntoma aparece cuando una guardia necesita entrar a DNS, correo, antenas, cámaras o facturación y nadie sabe si la contraseña vigente está en una planilla, en un chat o en la memoria de un proveedor. En una recorrida típica pueden aparecer 20 o 30 credenciales activas, algunas repetidas entre servicios y otras en manos de personas que ya no cumplen esa función.
La documentación de Passbolt lo describe como un gestor abierto de credenciales para equipos. La diferencia práctica está en la trazabilidad: cada secreto tiene dueño, cada grupo tiene alcance y cada uso deja una señal revisable. El marco de NIST SP 800-63B también empuja esa disciplina: los autenticadores tienen ciclo de vida, recuperación y baja.
La clave que todos saben termina siendo de nadie.
Para una cooperativa de distrito, la pregunta operativa es simple: quién puede leer la clave del enlace troncal, quién puede cambiarla, qué pasa si el técnico renuncia y cómo entra la guardia durante una tormenta sin pedir favores por teléfono.
Cómo viaja un secreto desde el técnico hasta la auditoría
El flujo básico tiene siete pasos. Primero, sistemas lista los servicios críticos: DNS, correo, routers centrales, facturación, cámaras, proveedores y enlaces rurales. Segundo, cada servicio recibe un responsable interno. Tercero, Passbolt guarda el secreto cifrado y lo asigna a un grupo, por ejemplo guardia, administración o proveedor externo.
Cuarto, cada persona entra con cuenta propia y segundo factor. Quinto, el sistema registra quién accedió, qué carpeta consultó y cuándo se cambió una clave. Sexto, los respaldos guardan base de datos, configuración y material de recuperación. Séptimo, una prueba de restauración confirma que la cooperativa puede recuperar secretos sin depender de una sola cuenta administradora.
Passbolt recibe nombres de servicios, usuarios, grupos y secretos. Entrega carpetas compartidas, permisos y registro de actividad. SMTP manda invitaciones y alertas; NTP evita marcas horarias inconsistentes; el backup guarda la base y los archivos necesarios para reconstruir la instancia. Si falla el correo, los usuarios nuevos no reciben invitación. Si falla la recuperación, el gestor queda cerrado justo cuando más se lo necesita.
El sistema ordena la guardia con reglas visibles. Un técnico puede ver la clave de un enlace durante su turno. Un proveedor puede tener acceso por contrato y vencimiento. Administración puede revisar propietarios sin leer cada secreto. La auditoría mira fechas, grupos y cambios.
Qué se configura durante las primeras dos semanas
Una implementación razonable empieza con Docker o una instalación soportada por la guía oficial de hosting de Passbolt. Antes de invitar usuarios conviene resolver dominio, TLS, SMTP, NTP, respaldo y una cuenta administradora resguardada por dos responsables.
El primer entregable es una carpeta crítica con cinco a diez secretos reales: DNS, correo, router principal, proveedor de fibra y facturación. Cada secreto debe tener dueño, grupo lector, motivo de acceso y fecha de revisión. Esa muestra permite corregir nombres y permisos antes de cargar todo el inventario.
El costo inicial suele quedar entre USD 800 y USD 2.400, según cantidad de secretos, usuarios, capacitación y prueba de recuperación. La operación mensual puede ir de USD 15 a USD 70 para servidor, monitoreo y copia externa. Ese monto incluye la plataforma y el cuidado operativo; quedan aparte la limpieza de cuentas viejas, renegociación con proveedores y rotación masiva de claves si el desorden viene de años.
UMSA suele pedir una tabla seca antes de tocar el servidor: servicio, dueño, grupo que puede leer, proveedor relacionado, vencimiento y plan de salida. Esa tabla evita que Passbolt copie el desorden de la libreta anterior.
Dónde se rompe y cómo probarlo
Primer riesgo: perder la cuenta administradora o las claves de recuperación. La señal es una sola persona con control total. La prueba consiste en recuperar una cuenta de ensayo con dos responsables presentes y dejar el procedimiento escrito.
Segundo riesgo: crear un gestor que la guardia no usa. La señal aparece cuando las claves siguen circulando por chat. La prueba mínima pide que un técnico entre desde el celular corporativo, busque un secreto autorizado y registre un cambio sin ayuda externa.
Tercer riesgo: proveedores sin vencimiento. La señal es una carpeta externa con permisos permanentes. La prueba revoca un usuario de prueba, rota una clave compartida y verifica que el proveedor ya no pueda leer el secreto viejo.
La revisión final cambia cinco secretos críticos, revoca un usuario, restaura una copia y confirma que cada acceso tiene fecha. Si la próxima baja laboral no exige llamar a una persona que ya no trabaja ahí, la cooperativa ganó control. La guardia encuentra una clave vigente, la gerencia ve dueño y vencimiento, y sistemas deja de perseguir contraseñas sueltas.