¿Pueden los gestores del portapapeles ver tus contraseñas?

Sí, técnicamente. Cualquier app que lea el portapapeles de macOS puede leer una contraseña que copies, y un gestor del portapapeles es justo ese tipo de app. En la práctica, los gestores bien diseñados ignoran todo lo que un gestor de contraseñas marca como «concealed» (oculto), y uno local-first y de código abierto como Maccy nunca envía lo que captura fuera de tu Mac.

El mito: «el portapapeles es privado»

No lo es. El pasteboard de macOS es un bloc de notas compartido a nivel de todo el sistema. Cuando pulsas Cmd+C, los datos van a un pasteboard general que otras apps pueden leer. No existe un control de acceso por elemento que diga «solo la app donde voy a pegar puede ver esto».

Ese diseño es precisamente lo que hace posibles los gestores del portapapeles. Y también significa que la pregunta no es si un gestor del portapapeles puede ver tus contraseñas, sino qué hace con ellas una vez que las ve. Eso depende de tres factores: si la copia está marcada como sensible, si la app respeta esa marca y dónde guarda su historial.

¿Cómo «ve» un gestor del portapapeles lo que copias?

Los gestores del portapapeles suelen vigilar los cambios del pasteboard. Cuando el contador de cambios aumenta, la app lee el contenido nuevo y, según sus reglas, guarda una copia en su historial para que puedas pegarla más tarde.

Nada en ese proceso distingue una contraseña de una lista de la compra. El texto es solo una cadena. Lo que separa ambos casos son los metadatos que añade la app de origen.

Tipos de pasteboard «concealed» y «transient»

Una convención informal de la comunidad (documentada en nspasteboard.org) permite a las apps etiquetar el contenido del portapapeles con tipos de pasteboard adicionales:

Se sabe en general que gestores de contraseñas importantes como 1Password y Bitwarden activan la etiqueta concealed cuando copias una credencial . Un gestor del portapapeles que respete la convención detecta la etiqueta y omite el elemento. La convención es voluntaria, así que ambas partes tienen que cooperar.

¿Registra Maccy las contraseñas?

Por defecto, Maccy App ignora los elementos del portapapeles marcados como concealed, transient o autogenerados. Así que una contraseña copiada desde un gestor de contraseñas que coopere no debería aparecer en tu historial.

Hay algunos detalles que importan si quieres estar seguro y no solo confiar:

• Es local-first. Maccy guarda tu historial en tu Mac. No tiene sincronización en la nube, ni cuentas, ni ningún servidor que reciba tu portapapeles. Las comprobaciones de actualizaciones son un asunto aparte de los datos del portapapeles .
• Es de código abierto. El código es público en GitHub, así que lo anterior se puede auditar en lugar de aceptarlo por fe.
• Es configurable. Puedes indicarle qué debe omitir, como veremos en la siguiente sección.

La laguna: contraseñas sin etiqueta

La protección cubre únicamente lo que marca la app de origen. Si copias una contraseña desde una nota de texto plano, una hoja de cálculo, una terminal, un correo o un mensaje de chat, nada le indica al gestor del portapapeles que es sensible. Parece una cadena cualquiera y se guarda.

Ese es el límite honesto del enfoque basado en etiquetas. Tus hábitos importan tanto como la app.

Cómo blindar Maccy para las contraseñas

Abre los ajustes de Maccy Mac y ve a la pestaña Ignore. Los nombres exactos pueden variar entre versiones, así que compruébalos en tu compilación instalada .

1. Ignora aplicaciones concretas. Añade tu gestor de contraseñas (y cualquier otra herramienta que maneje secretos, como una de claves SSH o API). Las copias hechas mientras esas apps estén en primer plano se omiten, aunque olviden activar la etiqueta concealed.
2. Revisa los tipos de pasteboard ignorados. Confirma que los tipos concealed y transient siguen en la lista. No los quites salvo que tengas un motivo.
3. Usa un filtro con expresión regular. Maccy permite ignorar el texto copiado que coincida con una regex, lo que ayuda con secretos de formato predecible. Por ejemplo, ^sk-[A-Za-z0-9]{20,}$ omitiría cadenas con la forma de muchas claves de API. Prueba cualquier patrón con tus propios formatos antes de fiarte de él: una regex demasiado laxa también puede ocultar cosas que querías conservar.
4. Borra el historial tras sesiones sensibles. Maccy tiene una opción Clear en su menú. Úsala después de una sesión en la que hayas manejado credenciales procedentes de orígenes que no las marcan .
5. Desactiva el historial para ciertas tareas. Si vas a pegar un lote de secretos, pausar la captura o ignorar la app correspondiente es más limpio que limpiar después.

¿Qué gestores del portapapeles son más arriesgados?

El riesgo viene de la arquitectura, no de la categoría en sí. Estas son las preguntas que importan:

Un historial del portapapeles sincronizado significa que tus contraseñas, si se capturan, acaban en servidores ajenos. Incluso con cifrado en tránsito, eso añade una superficie de ataque que una herramienta puramente local simplemente no tiene. No se trata de afirmar que ningún competidor concreto maneje mal los datos, sino de por qué lo primero que hay que comprobar en cualquier gestor del portapapeles es si el historial sale de tu dispositivo.

¿Y el malware y las demás apps?

Este es el modelo de amenaza más importante, y no tiene nada que ver con los gestores del portapapeles. Como el pasteboard es legible por cualquier proceso que se ejecute con tu usuario, un software malicioso puede consultarlo con la misma facilidad. El malware que secuestra el portapapeles existe, sobre todo el que apunta a direcciones de criptomonedas.

Apple ha ido endureciendo esto. Las versiones recientes de macOS han introducido avisos o controles cuando una app lee el pasteboard de forma programática sin una acción del usuario, con un comportamiento que varía según la versión . Esos avisos pueden mencionar a tu gestor del portapapeles, ya que lee el pasteboard de forma continua. Es lo esperable en este tipo de app, no una señal de que algo vaya mal.

Dos puntos más:

• Portapapeles universal. Si Handoff está activado, el contenido copiado puede viajar entre tus dispositivos Apple por el transporte cifrado de iCloud. Es una función de Apple, independiente de cualquier gestor del portapapeles.
• Borrado automático en los gestores de contraseñas. Muchos gestores de contraseñas vacían el portapapeles tras un breve tiempo. Eso protege frente a alguien que lo lea más tarde, pero no afecta a un gestor del portapapeles que ya hubiera capturado el elemento antes, y por eso la etiqueta concealed es tan importante.

Una rutina sensata para manejar contraseñas

No necesitas renunciar al historial del portapapeles para estar seguro. Unos pocos hábitos cubren la mayor parte del riesgo:

1. Prefiere el autocompletado de tu gestor de contraseñas al copiar y pegar siempre que puedas. El autocompletado suele saltarse el portapapeles por completo.
2. Añade tu gestor de contraseñas a la lista de exclusión del gestor del portapapeles.
3. Evita copiar secretos desde archivos de texto plano, chats o notas. Cuando no haya más remedio, borra el historial después.
4. Elige un gestor del portapapeles que almacene los datos en local y cuyo código puedas leer.
5. Mantén macOS actualizado, porque las protecciones de privacidad del pasteboard siguen evolucionando.

Preguntas frecuentes

¿Puede un gestor del portapapeles robarme las contraseñas?

Uno de confianza no lo hará, pero cualquier app que lea el portapapeles tiene la capacidad técnica de ver lo que copias. Una herramienta local-first y de código abierto cuyo código puedas inspeccionar es la opción más segura, porque los datos no tienen adónde ir.

¿Guarda Maccy las contraseñas de 1Password o Bitwarden?

Por defecto omite los elementos marcados como concealed, algo que estos gestores de contraseñas suelen hacer . Para mayor tranquilidad, añádelos a la lista de aplicaciones ignoradas de Maccy Clipboard.

¿Está cifrado mi historial del portapapeles?

Depende de la app y de tu sistema. En un Mac con FileVault activado, los datos en reposo quedan protegidos junto con el resto del disco. Si un gestor del portapapeles concreto añade su propio cifrado es algo que hay que comprobar app por app .

¿Pueden otras apps leer lo que copio en un Mac?

Sí. El pasteboard es compartido en todo el sistema, y las versiones recientes de macOS han empezado a añadir avisos o controles sobre las lecturas programáticas, aunque el comportamiento depende de tu versión.

¿Cómo borro un historial del portapapeles que contiene una contraseña?

Usa la función de borrado de tu gestor del portapapeles y elimina las entradas individuales donde sea posible. En Maccy, es la opción Clear del menú. Después, copia algo inofensivo para que el portapapeles activo deje de contener el secreto.

Conclusión

Los gestores del portapapeles pueden ver tus contraseñas por la misma razón que cualquier otra app: el portapapeles de macOS es compartido. Lo que te protege es una configuración por capas: la etiqueta concealed de tu gestor de contraseñas, una lista de exclusión, almacenamiento solo local y el hábito de borrar el historial tras sesiones de riesgo. Una herramienta que puedes auditar y que nunca se conecta a internet para enviar tus datos elimina la mayor incógnita.

Si quieres una forma rápida de comprobar tu propia configuración, copia una contraseña desde tu gestor de contraseñas y abre después tu historial del portapapeles. Si no aparece, la etiqueta está funcionando. ¿Desde qué orígenes copias texto sensible que no pongan esa etiqueta?