Android permite trasladar contraseñas y passkeys entre gestores compatibles en el mismo dispositivo sin crear un archivo CSV en texto plano. El flujo, anunciado por Google el 10 de septiembre de 2026, lo coordina el propio sistema y empieza en la aplicación que recibirá las credenciales. La experiencia inicial anunciada por Google incluía Google Password Manager, 1Password, Bitwarden Password Manager y Dashlane.
La mejora importa porque cambiar de gestor deja de depender, cuando ambas aplicaciones participan, de exportar un archivo legible, moverlo y acordarse de borrarlo después. La transferencia no convierte cualquier migración en automática: la compatibilidad se decide entre el gestor de origen y el de destino, y el contenido que llega puede variar según esa pareja.
Qué cambia al migrar contraseñas en Android
La Credential Transfer API es el marco técnico que permite el traslado entre proveedores de credenciales. En lugar de entregar un archivo al usuario, Android descubre los proveedores compatibles instalados en el teléfono y coordina la selección, la revisión y el consentimiento.
El alcance está pensado para el mismo dispositivo: un gestor actúa como origen y otro como destino. La documentación de Android indica además que el marco está diseñado para no exponer las credenciales sin procesar a Android ni a aplicaciones no autenticadas. Eso describe el límite de exposición del flujo; no equivale a una garantía de que todos los datos guardados vayan a migrar.
Cómo funciona el flujo de transferencia
El recorrido general es este:
- Abre el gestor de contraseñas que quieres utilizar como destino.
- Entra en su opción de importar o copiar datos.
- Android muestra los proveedores compatibles disponibles en el dispositivo.
- Elige el gestor que contiene las credenciales.
- Revisa los datos que la aplicación propone transferir.
- Autentica y autoriza la operación. El proveedor exportador puede solicitar un PIN o una comprobación biométrica.
La pantalla de destino es el punto de partida: no se trata de lanzar una exportación general desde Android y buscar después un archivo. La interfaz documentada muestra una secuencia de importación, selección del origen, revisión de los datos y finalización.
Por qué es preferible a exportar un CSV
El método antiguo colocaba las contraseñas en un archivo CSV sin cifrar. Ese archivo podía quedar almacenado en el teléfono y cualquier persona o aplicación con acceso al fichero podía leer su contenido. La transferencia directa evita precisamente ese paso gestionado manualmente.
| Aspecto | Transferencia directa de Android | Migración mediante CSV |
| Ruta | El gestor de destino solicita el traslado y Android coordina el origen | Se exportan las credenciales a un archivo y después se importa manualmente |
| Exposición | Diseñada para no exponer las credenciales sin procesar a Android ni a aplicaciones no autenticadas | Las contraseñas quedan en un archivo de texto legible |
| Requisito | El proveedor de origen y el de destino deben implementar la Credential Transfer API | El destino debe aceptar el formato CSV o una importación manual |
| Passkeys | El flujo de Android admite contraseñas y passkeys cuando los proveedores las incluyen | Un CSV convencional está pensado para contraseñas y no representa de forma fiable las passkeys |
| Esfuerzo | Seleccionar origen, revisar y autorizar | Exportar, localizar, mover, importar y borrar el archivo |
El flujo antiguo sigue siendo el recurso para los gestores que no participan en la transferencia directa. Si tienes que utilizarlo, el archivo debe tratarse como lo que es: una copia legible de credenciales sensibles, que hay que eliminar después de completar la importación.
Qué gestores aparecen en la experiencia inicial
El anuncio de Google del 10 de septiembre de 2026 identificó inicialmente estos cuatro proveedores:
- Google Password Manager
- 1Password
- Bitwarden Password Manager
- Dashlane
La condición importante es que ambos extremos participen. Que una aplicación figure como proveedor compatible no significa que cualquier combinación de origen y destino admita todos los tipos de datos ni que todas las cuentas tengan el mismo recorrido.
Qué puede quedar fuera
La documentación de Android define, mediante el FIDO Credential Exchange Format, categorías que van más allá de las contraseñas y las passkeys: direcciones, tarjetas de pago, notas seguras, archivos, secretos TOTP, claves SSH, claves de API y campos personalizados, entre otras.
Pero una categoría descrita por la API no es una promesa de transferencia universal. La aplicación de origen debe poder exportarla, la de destino debe saber importarla y ambas deben haber implementado ese tipo de credencial. En una migración concreta pueden quedar fuera passkeys, adjuntos, bóvedas de organización, campos personalizados o datos de autenticación en dos pasos.
Por eso una importación que termina correctamente no siempre equivale a una copia completa. El número de contraseñas puede cuadrar mientras faltan elementos menos visibles.
Compatibilidad de Android y comprobaciones antes de empezar
La documentación oficial sitúa la compatibilidad de la Credential Transfer API en Android 8, API 26, y versiones posteriores. La función se integra mediante Google Play Services, según la información publicada sobre su distribución, sin exigir una actualización completa del sistema operativo; aun así, la aplicación de contraseñas debe ofrecer el flujo.
Antes de pulsar el botón de importar, conviene revisar estas cuestiones:
- Comprueba que el gestor de origen y el de destino admiten la transferencia directa.
- Revisa por separado el tratamiento de passkeys, adjuntos, notas, tarjetas, secretos TOTP y campos personalizados.
- Si utilizas una bóveda personal y otra de organización, confirma que ambas forman parte del traslado.
- Tras la importación, comprueba varias cuentas importantes y el funcionamiento del autorrelleno.
- Si la aplicación solo ofrece CSV, recuerda que ese archivo contiene credenciales legibles y elimínalo al terminar.
La nueva ruta de Android resuelve el problema más delicado del cambio de gestor: ya no obliga a crear un archivo de contraseñas sin cifrar cuando los dos proveedores implementan el marco. Su límite es igual de práctico: la migración segura depende de la compatibilidad real entre las dos aplicaciones y de qué datos admite cada una.
