Hay gestores de contraseñas que brillan en las demos. AuthPass no es uno de ellos. Tiene una interfaz de 2018, arranca con la sutileza de un editor de texto y no te va a recordar lo bonito que es el diseño material. Pero cuando necesitas que tu bóveda no duerma en un cajón con llave ajena, entiendes por qué llevo tres años con ella.
## Por qué la versión de F-Droid es la única que instalo (aunque esté en Google Play)
AuthPass sí está en Google Play. Con más de 50.000 descargas y una puntuación de 4,2, cualquiera la instalaría sin pensarlo. El problema no es la app, es el empaquetado. La variante de Play Store incluye un rastreador Firebase Analytics según Exodus Privacy, aunque el desarrollador lo tenga desactivado en tiempo de ejecución. La librería sigue ahí, con todo lo que eso implica para quien quiera cero conexiones no solicitadas.
La compilación de F‑Droid es otra cosa. 0 trackers declarados, sin binarios propietarios y compilada directamente desde el repositorio oficial. La instalé en un Pixel 8 con GrapheneOS y los permisos que pide son los justos: acceso al almacenamiento para leer el archivo KDBX, accesibilidad para el autocompletado (opcional) y biometría para desbloqueo rápido. Nada de sockets a servidores que no hayas autorizado tú.
El APK, versión 1.9.7 a mayo de 2026, ocupa 17,8 MB. Esa ligereza se nota al abrir bases de datos grandes. He probado con 450 entradas y el tiempo de carga desde Syncthing ronda los 2,3 segundos; con 150 entradas, menos de uno. No es instantáneo, pero no he visto ningún gestor offline que lo haga más rápido en Android sin sacrificar el cifrado Argon2id.
El código fuente está en GitHub (`authpass/authpass`) bajo licencia GPLv3. Tiene 1.400 estrellas, 34 issues abiertas y el último commit lo vi en diciembre de 2025. Eso no es abandono: es un proyecto maduro que no necesita parches semanales. Cualquiera puede forkearlo si el mantenedor desaparece mañana.
Tus secretos en sus servidores
Auditorías cerradas al público
Dependencia de una empresa externa
Solo tú controlas el archivo KDBX
Compilación reproducible
## Lo que ningún benchmark te cuenta: convivir con AuthPass 3 años en GrapheneOS
Durante estos años he pasado la base de datos por tres móviles distintos. El patrón es siempre el mismo: el consumo de batería en segundo plano es imperceptible. Medido con AccuBattery en un Pixel 8 durante 24 h con 312 entradas, 4 desbloqueos manuales y 15 autocompletados, el gasto medio fue del 0,2 % —menos que el launcher que venía de serie. El motivo es simple: no hay sincronización en segundo plano con servidores externos. AuthPass solo trabaja cuando abres la bóveda.
Pero hay asperezas que solo salen a la luz tras semanas de uso. En Android 14 GrapheneOS, el sistema mataba el servicio de accesibilidad tras 8 horas de inactividad. Tuve que desactivar la optimización de batería para AuthPass. En Android 15 la situación mejoró a medias: el servicio aguanta más, pero el desbloqueo biométrico falla dos de cada diez veces. Reiniciar manualmente el servicio desde Ajustes → Accesibilidad → AuthPass lo arregla al instante, sin reiniciar el terminal. No es un bug de la app, es la guerra declarada de Android contra cualquier proceso que no sea de Google.
El dato que más me preocupa y que apenas he visto mencionado: AuthPass mantiene la base de datos descifrada en memoria mientras no la bloquees explícitamente. Si un malware con permisos de superusuario accede a la RAM en ese lapso, podría leer las contraseñas. No es un escenario cotidiano, pero para quien maneje datos comprometedores, recomiendo dos gestos: cerrar la bóveda con el candado de la barra superior tras cada consulta y activar el bloqueo automático al salir (en Ajustes → Seguridad → Bloquear al salir). Pierdes algo de inmediatez, ganas una capa de defensa que ningún gestor en la nube te va a dar.
## Tres funciones que no esperaba encontrar (y que sigo usando)
Guarda el archivo llave en una carpeta local que no se sincronice con la nube. Yo uso una foto de mi gato —los metadatos originales la hacen indistinguible de un JPEG normal. En AuthPass, mantén pulsada la entrada de la bóveda, selecciona «Establecer archivo de clave por defecto» y cada vez que abras, no tendrás que navegar hasta él. Ahorras 4 toques. Si alguien accede a tu Syncthing sin el archivo físico, la base de datos es ruido digital.
Está escondido: menú lateral → Herramientas → Auditoría de contraseñas. Te marca duplicadas, antiguas (más de 12 meses) y débiles. Pero la auditoría solo se ejecuta en local, sobre los datos que ya tienes. Antes de pasar la bóveda al móvil, yo suelo lanzar también el informe de KeePassXC en el escritorio y cruzar ambos. Cubres ángulos que cualquier gestor comercial te cobra aparte.
Si en Android 15 deja de funcionar, ve a Ajustes → Accesibilidad → Servicios instalados → AuthPass. Desactívalo, espera 3 segundos y actívalo de nuevo. En 9 de cada 10 casos recuperas el relleno automático al instante. Este apaño me ha salvado cuando usaba LineageOS con microG y el sistema mataba el servicio cada pocas horas.
## Lo que AuthPass no hace (y probablemente nunca hará)
No tiene extensión para navegadores en Android. Si necesitas rellenar contraseñas en Firefox desde el móvil, tienes que hacerlo copiando manualmente o usando el autocompletado del sistema, que no siempre detecta campos de login.
No soporta passkeys. Si tu banco o tu instancia de Mastodon ya migró, AuthPass no te va a servir para eso. Tendrás que compaginarlo con otro gestor.
La gestión de iteraciones de Argon2id no se toca desde la app. Si quieres subir de 1 millón a 5 millones de iteraciones, tienes que hacerlo desde KeePassXC en escritorio y luego abrir el archivo en el móvil. Tardé una tarde en darme cuenta porque los ajustes simplemente no aparecen.
No está pensado para compartir bóvedas con otras personas en tiempo real. Puedes fusionar archivos KDBX manualmente, pero si una pareja modifica una entrada mientras tú editas otra, el conflicto lo resolvéis a mano. Yo uso Bitwarden para los registros compartidos con mi familia; AuthPass es mi caja fuerte personal.
Sincronizar entre dispositivos depende de ti. Syncthing es mi opción, pero requiere que los dos extremos estén encendidos a la vez para la transferencia inicial. Si apagas el ordenador antes de que el móvil reciba los cambios, toca esperar. Eso no es un fallo, es la contrapartida de no tener un servidor central que recoja tus datos cada minuto.
## Instalar AuthPass desde F‑Droid (la vía limpia sin Play Store)
-
1Instala F‑Droid desde f-droid.org si aún no lo tienes. Asegúrate de que el repositorio oficial está activo en Ajustes → Repositorios.
-
2Busca «AuthPass» y descarga la versión firmada como design.codeux.authpass.fdroid. Evita la variante que pueda aparecer con firma de Play Store.
-
3Al abrir, concede permiso al almacenamiento. Toca «Abrir archivo KDBX» y navega hasta tu base de datos. Si sincronizas con Nextcloud, la app de Nextcloud expone la carpeta remota como local, así que AuthPass la leerá sin intermediarios.
AuthPass no va a ganar premios de diseño ni te va a sorprender con inteligencia artificial. Pero si entiendes que tu base de datos es un archivo que solo tú deberías custodiar, esta app se convierte en la navaja suiza que llevas en el bolsillo. La curva de aprendizaje son diez minutos. La libertad, permanente. Si alguna vez el proyecto se estanca, el código GPLv3 seguirá ahí. Eso vale más que cualquier suscripción.