Alternativas a HashiCorp Vault: adónde ir y cómo migrar sin romper producción

Por qué pasarte a OpenBao. OpenBao nació como bifurcación de Vault a partir de la última versión con licencia MPL 2.0 (la 1.14), justo antes del cambio a la licencia BSL. Está bajo el paraguas de la Linux Foundation, con gobernanza abierta, y forma parte del programa Sandbox de la OpenSSF. Conservas lo que hace valioso a Vault: secretos dinámicos (credenciales de bases de datos o de Kubernetes que se crean al momento y se revocan después), cifrado como servicio, arrendamientos y revocación. La API sigue siendo compatible, así que tus scripts, tu proveedor de Terraform y tus agentes siguen funcionando. El repositorio supera las 8.800 estrellas en GitHub: hay comunidad detrás.

Para quién. El equipo de plataforma que ya ejecuta Vault Community en sus servidores y al que la licencia o la compra por IBM le quitan el sueño. Es lo que eligió el proveedor suizo VSHN en una decisión de arquitectura publicada: la única opción libre de verdad, API compatible y respaldo de una fundación.

Para quién no. Quien deja Vault porque le resulta pesado de operar. OpenBao mantiene la misma carga: desellado, almacenamiento Raft, actualizaciones, políticas. Si nadie en el equipo quiere hacer guardias, mira Infisical o un almacén en la nube.

Su límite. No hay servicio gestionado oficial: lo alojas tú, sin más. Algunas empresas venden soporte comercial, pero no existe un botón de «crear clúster».

Cómo migrar a OpenBao. La guía oficial documenta y verifica una migración en el sitio desde Vault 1.14.1 Community a OpenBao 2.2.0, con almacenamiento Raft y desellado Shamir. Los mantenedores solo garantizan la compatibilidad del sellado hasta Vault Community 1.14.8. Con una versión más reciente, o con Vault Enterprise, en la práctica es volver atrás: montas un clúster nuevo de OpenBao y copias los secretos (por la API, con Terraform o con sys/raw). Los tokens antiguos siguen siendo válidos hasta que caducan; los nuevos llevan los prefijos s., b. o r..

Su precio. Gratis, con licencia MPL 2.0. Tu coste real son los servidores y las horas del equipo que lo mantiene.

Por qué pasarte a Infisical. Infisical ataca el problema desde el lado del desarrollador. En lugar de un almacén que hay que vigilar, tienes un panel claro donde cada proyecto tiene sus entornos (desarrollo, preproducción, producción) y sincronizaciones que envían los secretos a tus plataformas. El núcleo es de código abierto con licencia MIT y se puede autoalojar gratis; solo una carpeta de funciones empresariales queda bajo licencia comercial. En los foros de autoalojamiento se repite lo mismo: instalación sencilla con Docker e integración con Kubernetes sin sorpresas.

Para quién. El equipo de desarrollo que usaba Vault sobre todo como un gran almacén de variables de entorno, y los antiguos clientes de HCP Vault Secrets que buscan un servicio gestionado parecido.

Para quién no. Quien depende del motor de cifrado «transit» de Vault: Infisical no lo tiene, y el propio fabricante lo reconoce. Tampoco ofrece una API compatible con Vault ni una PKI interna comparable.

Su límite. Las funciones avanzadas son de pago: rotación, secretos dinámicos, control de acceso fino, inicio de sesión único por SAML. Hay usuarios molestos porque algunas funciones pasaron a pago en una simple versión de corrección. Y la factura crece por identidad, humana o de máquina.

Cómo migrar a Infisical. No hay importación automática garantizada desde Vault. Exporta tus secretos estáticos con la CLI o la API de Vault, recrea el mismo árbol en proyectos y entornos, y sustituye las llamadas a Vault en tu código y tus despliegues por la CLI, el agente o el operador de Kubernetes de Infisical. Deja para el final los secretos dinámicos y el cifrado: necesitan otra solución.

Su precio. Free a 0 $ (5 identidades, proyectos ilimitados, 3 entornos, 10 sincronizaciones). Pro a 20 $ por identidad y mes con pago anual (23 $ mensual), Advanced a 40 $ (46 $ mensual), Enterprise bajo presupuesto. Prueba de 30 días sin tarjeta. Infisical solo publica precios en dólares.

Por qué pasarte a AWS Secrets Manager. Sin clúster, sin desellado, sin actualizaciones: de eso se encarga AWS. Los permisos van por IAM, que tu equipo ya conoce, y la rotación de credenciales de bases de datos de AWS viene incluida. Para una empresa que está entera en AWS, suele ser la salida más corta.

Para quién. El equipo que solo usa de Vault los secretos estáticos y alguna rotación, sin planes multinube. Un usuario contaba justo ese movimiento: con un precio por usuario en otro servicio, la factura acabó superando a la de sus servidores, y volvió a AWS Secrets Manager.

Para quién no. La empresa repartida entre varias nubes o con servidores propios. Cambias una herramienta neutral por un servicio que te ata a un proveedor.

Su límite. Cada secreto es un objeto que se factura. Con muchos valores pequeños, la cuenta sube rápido. Y Secrets Manager no ofrece por sí mismo cifrado como servicio al estilo transit (hay que añadir KMS).

Cómo migrar a AWS Secrets Manager. Exporta tus rutas de Vault y crea un secreto por aplicación y por entorno, no uno por valor: un mismo secreto puede guardar un objeto JSON con varias claves. Sustituye las llamadas a Vault por el SDK de AWS o la integración de tu orquestador. Si conectas secretos con automatizaciones, nuestra página AWS KMS y Secrets con Make muestra los módulos disponibles.

Su precio. 0,40 $ por secreto y mes, más 0,05 $ por cada 10.000 llamadas a la API. Ejemplo: 100 secretos cuestan 40 $ al mes antes de las llamadas. Los clientes nuevos de AWS tienen hasta 200 $ en créditos de la capa gratuita. AWS factura en dólares.

Por qué pasarte a Azure Key Vault. Si tu empresa trabaja en Azure, Key Vault reúne en un mismo sitio secretos, claves de cifrado y certificados, con los permisos de Entra ID. El precio va sobre todo por uso: pagas las operaciones, no un clúster encendido toda la noche. Es además el único de esta lista con precio publicado en euros para la región de España.

Para quién. El equipo Microsoft que usaba Vault tanto para certificados y claves como para secretos. El nivel Premium añade claves protegidas por un módulo de hardware (HSM), útil cuando un auditor lo exige.

Para quién no. Quien quiere secretos dinámicos al estilo de Vault para todas sus bases de datos: Key Vault guarda y rota, no genera una credencial desechable en cada conexión.

Su límite. La misma dependencia que con AWS, y una página de precios que muestra mal sus propias cifras: acabas en la calculadora o en la API de precios.

Cómo migrar a Azure Key Vault. Crea un almacén por entorno, copia los secretos estáticos con un script (CLI de Azure o Terraform) y da a las aplicaciones una identidad administrada en lugar de un token. Trata los certificados aparte: su renovación automática se cobra.

Su precio. En la región España Central: 0,0269 € por cada 10.000 operaciones, 0,8977 € por renovación de certificado, 0,8977 € por clave HSM RSA 2048 y mes en Premium.

Por qué pasarte a Doppler. Doppler es solo un servicio en la nube: creas un proyecto, defines tus entornos y la CLI inyecta los secretos cuando arranca tu aplicación. Las identidades no humanas (cuentas de servicio, canalizaciones de integración continua) son gratis, lo que evita la trampa del precio por cliente de Vault. Doppler publica también una guía para los antiguos clientes de HCP Vault Secrets, el servicio que HashiCorp cerró.

Para quién. El equipo de producto pequeño que quiere sus secretos ordenados por entorno en una tarde, sin servidores que vigilar.

Para quién no. La empresa que debe guardar los secretos en su propia infraestructura: la página de precios no ofrece ninguna opción autoalojada. Tampoco si necesitas cifrado como servicio o una PKI.

Su límite. El precio por usuario. Una opinión de usuario cuenta que, a ese precio, el servicio acabó costando más que los servidores. El plan gratuito guarda el registro de actividad solo 3 días.

Cómo migrar a Doppler. Exporta los secretos estáticos de Vault, impórtalos proyecto a proyecto y sustituye el agente de Vault por la CLI o las sincronizaciones de Doppler (hacia tu nube, tu integración continua, Kubernetes). Hazlo entorno a entorno, empezando por desarrollo.

Su precio. Developer gratis hasta 3 usuarios, luego 8 $ por usuario y mes (25 como máximo). Team a 21 $ por usuario y mes, con registro de 90 días y prueba de 14 días. Enterprise bajo presupuesto. Precios solo en dólares.

Por qué pasarte a Bitwarden Secrets Manager. Es el producto de secretos de máquina de Bitwarden, distinto de su gestor de contraseñas. Es de código abierto, el almacenamiento de secretos es ilimitado y el precio por usuario es el más bajo de esta página. Las máquinas se autentican con cuentas de máquina, organizadas por proyecto.

Para quién. La pyme con unas pocas decenas de secretos para sus canalizaciones y servidores que ya usa Bitwarden para las contraseñas del equipo. ¿Dejas también un gestor de contraseñas? Mira nuestras guías dejar Bitwarden y dejar 1Password. Para leer secretos desde automatizaciones, mira Bitwarden con n8n y Bitwarden con Make.

Para quién no. El equipo de plataforma que necesita secretos dinámicos, cifrado como servicio o políticas finas por ruta. No sustituye a Vault función por función.

Su límite. El autoalojamiento solo viene en Enterprise, y las cuentas de máquina están contadas: 20 en Teams, y luego 1 $ cada una.

Cómo migrar a Bitwarden Secrets Manager. Crea un proyecto por aplicación, copia los secretos estáticos con la CLI bws o la API, y crea una cuenta de máquina por servicio con acceso limitado a su proyecto.

Su precio. Free a 0 $ (2 usuarios, 3 proyectos, 3 cuentas de máquina). Teams a 6 $ por usuario y mes, Enterprise a 12 $ (50 cuentas de máquina, SSO, SCIM, autoalojamiento), con pago anual y sin impuestos.