BURSU Connection Manager

Qué es BURSUcm

BURSU Connection Manager (BURSUcm) es un gestor de conexiones remotas rápido. Reúne en una sola ventana todo aquello con lo que trabaja un ingeniero: servidores, equipos de red, escritorios remotos, paneles de archivos, credenciales guardadas y permisos de acceso del equipo. Funciona de forma nativa en Windows, Linux y macOS, tiene apps complementarias para Android y para iPhone/iPad y puede —aunque no es obligatorio— sincronizar todo a través del servicio BURSUcloud.

Tus servidores, un catálogo cifrado — en todos tus dispositivos

Windows · Linux · macOS · Android · iOS/iPadOS · portal web

SSHWinRMSFTPFTPRDPVNCCompartir pantallaTelnet

Home, etiquetas y la paleta de comandos

Esto funciona igual en las dos aplicaciones de escritorio: Windows y Linux & macOS.

• Home. Arriba hay una franja de estado de cinco celdas. La columna principal es Recientes — las conexiones que usaste en los últimos 7 días —; junto a ella están Favoritos y la última sesión (debajo, en una ventana estrecha). Los chips de etiquetas muestran tus etiquetas: un clic en un chip filtra la barra lateral por esa etiqueta.
• Colores de etiquetas. Un clic derecho en el chip de una etiqueta le da un color (“Sin color” se lo quita); el color se guarda en este dispositivo. La franja de color de una conexión sigue a su primera etiqueta con color: en las filas del árbol, en las pestañas, en Home y en la paleta de comandos.
• Paleta de comandos — Ctrl+K. Una sola búsqueda en conexiones, pestañas abiertas y acciones (véase Atajos de teclado). Con la búsqueda vacía se listan las conexiones recientes. Shift+Enter sobre una conexión SSH abre su panel de archivos SFTP. Si lo que escribes es exactamente el nombre de una conexión guardada, esa conexión va primero, antes de Quick Connect.
• Puntos de sesión. El punto de color significa lo mismo en todas partes — pestañas, árbol, carpetas y Home: verde — conectado; violeta — conectado a través de un jump host; azul vivo — a través de BURSUlink; ámbar — conectando; rojo — conexión perdida.
• Pestañas a la izquierda. Las pestañas de sesión pueden ir en una columna en el lado izquierdo de la ventana, en lugar de la fila superior: Settings → Appearance → “Pestañas de sesión a la izquierda”; se aplica la próxima vez que se inicie la aplicación.

Protocolos compatibles

Inicio rápido en 10 minutos

De una máquina en blanco a tu primera sesión SSH, contraseña guardada y transferencia de archivos. Cada paso enlaza al capítulo que lo cubre en profundidad — pero no necesitarás esos enlaces para terminar.

1. Instala la app. Windows: descarga y ejecuta BURSUcm-Setup.exe. Linux: instala el paquete de tu distribución. macOS: arrastra la app desde el .dmg a Aplicaciones.
2. Elige dónde viven los datos. En el primer inicio la app lo pregunta; elige Local database (base de datos local) — la opción predeterminada más segura, totalmente sin conexión. Más adelante puedes llevar sus conexiones, credenciales y snippets a la nube con una copia portátil.
3. Inicia sesión y cambia la contraseña. Una base de datos local recién creada tiene una sola cuenta, admin / admin; la app te pide reemplazar la contraseña de inmediato.
4. Guarda una credencial. Abre Credentials en la barra lateral → New credential → una etiqueta (por ejemplo, “root — servidores de laboratorio”), el nombre de usuario y la contraseña. Una misma credencial guardada puede servir para cualquier número de servidores — de eso se trata.
5. Añade una conexión. Pulsa Ctrl+T (o + Add Connection): un nombre, tipo SSH, la dirección del host — el puerto 22 ya viene precargado. En el campo de credencial elige la que acabas de guardar. En Folder (carpeta) elige una carpeta de la lista — muestra las mismas carpetas en el mismo orden que el árbol; las carpetas nuevas se crean en el árbol con New folder.
6. Conéctate. Haz doble clic en la nueva entrada. En la primerísima conexión la app muestra la huella digital de la clave del servidor — es la verificación de clave de host funcionando como debe; confirma con Trust & remember. Un punto verde en la pestaña significa que la sesión está activa.
7. Mueve un archivo. En la barra de herramientas de la sesión pulsa Files (SFTP): tu equipo a la izquierda, el servidor a la derecha. Arrastra un archivo de un lado a otro — pasa por la cola de transferencias con una barra de progreso.
8. Protégelo. Cuando empiecen a acumularse contraseñas reales, establece una contraseña maestra en Settings → Security — a partir de entonces tus secretos se cifran con una clave que solo tú conoces, y la base de datos se vuelve portátil a cualquier otra máquina. Detalles en Contraseña maestra y la bóveda.

Instalación en Windows

Requisitos del sistema

• Windows 10 u 11 (x64, x86 o ARM64), incluido Windows Server 2012–2025.
• ~150 MB de espacio en disco. El runtime de .NET viene incluido en el instalador — no hay nada más que instalar.

Instalación

1. Descarga BURSUcm-Setup.exe desde bursucm.com/download. La suma de verificación SHA-256 se publica junto al botón — verifícala con certutil -hashfile BURSUcm-Setup.exe SHA256 si lo deseas.
2. Ejecuta el instalador y sigue el asistente. Elige automáticamente la compilación correcta (x64/x86/ARM64) para tu CPU.
3. Inicia BURSUcm y continúa con Almacenamiento de datos y primer inicio.

Instalación desde el terminal — winget

BURSUcm está en el Administrador de paquetes de Windows, así que los dos pasos anteriores se reducen a un solo comando. winget viene con Windows 10 (1809 y posterior) y Windows 11, y el comando funciona igual en PowerShell, Terminal y el Símbolo del sistema. Windows pide confirmación una vez, porque la app se instala para todas las cuentas del equipo.

winget install bursucm

Más adelante, winget upgrade bursucm instala la versión más reciente sobre la anterior y conserva todos tus datos; winget uninstall bursucm la desinstala.

Actualizaciones

La app consulta el canal de versiones una vez al día — al iniciarse y cada día que siga abierta — (puedes desactivarlo en Settings → Appearance) y muestra un diálogo cuando hay una versión más reciente disponible, con el registro de cambios y un enlace de descarga. Un aviso encontrado mientras trabajas espera a que estés en la pestaña Home. Instalar una versión nueva sobre la anterior conserva todos tus datos. Si instalaste con winget, winget upgrade bursucm hace lo mismo desde el terminal.

Instalación en Linux

Se compilan paquetes x86_64 nativos para las tres grandes familias. Descarga el archivo desde bursucm.com/download (la página selecciona automáticamente la pestaña de tu distribución) — o mejor aún, añade el repositorio una vez y deja que tu gestor de paquetes se encargue de las actualizaciones para siempre.

La app se instala en /opt/bursucm, aparece en el menú de aplicaciones como “BURSU Connection Manager” y puede iniciarse desde una shell como bursucm. La suma de verificación SHA-256 de cada paquete se publica en la página de descargas.

Repositorios de paquetes — actualizaciones automáticas

Los tres repositorios se sirven desde bursucm.com y están firmados con la clave GPG BURSUsofts Package Signing. Añade el de tu familia y las nuevas versiones llegarán con las actualizaciones normales de tu sistema.

APT (Debian / Ubuntu / Mint / Pop!_OS)

sudo wget -qO /usr/share/keyrings/bursucm.gpg https://bursucm.com/repo/bursucm.gpg
sudo tee /etc/apt/sources.list.d/bursucm.sources >/dev/null <<'EOF'
Types: deb
URIs: https://bursucm.com/repo/apt
Suites: stable
Components: main
Signed-By: /usr/share/keyrings/bursucm.gpg
EOF
sudo apt update && sudo apt install bursucm

El formato moderno deb822 .sources se usa a propósito: la ventana “Software & Updates” de Ubuntu muestra estas entradas correctamente bajo Other Software.

DNF / YUM (Fedora / RHEL / AlmaLinux / Rocky)

sudo rpm --import https://bursucm.com/repo/bursucm.asc
sudo tee /etc/yum.repos.d/bursucm.repo >/dev/null <<'EOF'
[bursucm]
name=BURSUcm
baseurl=https://bursucm.com/repo/rpm
enabled=1
gpgcheck=1
repo_gpgcheck=1
gpgkey=https://bursucm.com/repo/bursucm.asc
metadata_expire=6h
EOF
sudo dnf install bursucm

Pacman (Arch / CachyOS / Manjaro / EndeavourOS)

curl -fsSL https://bursucm.com/repo/bursucm.asc | sudo pacman-key --add -
sudo pacman-key --lsign-key BA53B57D047CE8F14610C02A037A882DB839E2E0
echo -e '\n[bursucm]\nServer = https://bursucm.com/repo/arch' | sudo tee -a /etc/pacman.conf
sudo pacman -Syu bursucm

Dependencias de ejecución

Los paquetes declaran todo lo que necesitan (GTK 3, NSS, ALSA); tu gestor de paquetes los instala automáticamente. No hay que instalar .NET ni Electron por separado — la app es autónoma.

Instalación en macOS

1. Descarga la imagen de disco para tu Mac desde bursucm.com/download: Intel (BURSUcm-3.3.7-x64.dmg) o Apple Silicon (BURSUcm-3.3.7-arm64.dmg). ¿No sabes qué chip tienes? Menú Apple → Acerca de este Mac.
2. Abre el .dmg y arrastra BURSU Connection Manager a la carpeta Aplicaciones.
3. Iníciala desde Aplicaciones o Spotlight.

Todo lo descrito en esta guía se aplica en el Mac; los detalles específicos de la edición para Linux/macOS están reunidos en su capítulo.

Instalación en Android

1. Instala BURSU Connection Manager desde Google Play (Android 8.0 o más reciente) — el camino más sencillo, con actualizaciones automáticas. ¿Prefieres no tener cuenta de Google en el dispositivo? La misma app está disponible como BURSUcm.apk directo desde bursucm.com/download; al abrirlo, el sistema pide una sola vez el permiso para instalar desde tu navegador o gestor de archivos.
2. Abre BURSUcm e inicia sesión con tu cuenta de bursucm.com (correo/contraseña, Google, Microsoft, Apple o GitHub), o con un inicio de sesión de usuario de base de datos como name@handle. Si tu cuenta tiene activado el inicio de sesión en dos pasos, la app pide el código justo después de la contraseña — consulta Inicio de sesión en dos pasos.

La app de Android es un complemento de la nube: necesita una cuenta de BURSUcloud y muestra el mismo catálogo que tu escritorio. Sus funciones y su modelo de seguridad se describen en el capítulo de Android.

Instalar en iPhone y iPad

1. Instala BURSU Connection Manager desde la App Store — una sola app universal para iPhone y iPad, gratuita; necesita iOS o iPadOS 17 o posterior.
2. Ábrela e inicia sesión con tu cuenta de bursucm.com (correo y contraseña, Google, Microsoft, Apple o GitHub) — o con un usuario de base de datos como name@handle. Si tu cuenta tiene activado el inicio de sesión en dos pasos, la app pide el código justo después de la contraseña — consulta Inicio de sesión en dos pasos.

La app de iOS e iPadOS es una compañera de la nube: necesita una cuenta de BURSUcloud y muestra el mismo catálogo que el escritorio. Sus funciones y su modelo de seguridad están en el capítulo de iOS e iPadOS.

Almacenamiento de datos y primer inicio

BURSUcm guarda el catálogo completo (conexiones, credenciales, usuarios, snippets) en una sola base de datos. En el primer inicio la app pregunta dónde debe vivir esa base de datos — y puedes cambiar de opinión más adelante en Settings → Database, entre una base de datos local y PostgreSQL; BURSUcloud se abre en cambio desde la pantalla de inicio de sesión (ver Conectar la app a la nube):

• Base de datos local — inicia sesión como admin / admin; la app pide de inmediato cambiar la contraseña.
• BURSUcloud — inicia sesión con tu correo y contraseña de bursucm.com, o con Google, Microsoft, Apple o GitHub (se abre una ventana del navegador; la app detecta el inicio de sesión automáticamente), y luego elige una base de datos de la lista.

Cómo funciona BURSUcloud por dentro

• Cada base de datos recibe su propia base de datos PostgreSQL en el servidor — los datos de los clientes nunca se mezclan.
• Las apps la alcanzan solo a través de la API HTTPS; el propio SGBD no está expuesto a internet.
• Las contraseñas de conexión se guardan cifradas con tu contraseña maestra. La contraseña maestra nunca viaja al servidor: la clave se deriva en tu dispositivo y el servidor solo ve texto cifrado. Por eso una contraseña maestra olvidada no puede recuperarse — guárdala bien.
• Los usuarios de la base de datos viajan dentro de la base de datos: una copia de seguridad completa o un volcado SQL lleva las cuentas de usuario junto con los datos.

Migrar entre modos

1. En Settings → Database selecciona y prueba la base de datos de destino (el botón “Test”).
2. Haz clic en “Migrate to another database…” — conexiones, credenciales, usuarios y snippets se trasladan en bloque al destino: en la app de Windows, otro archivo de base de datos local o una base de datos PostgreSQL; en la app de Linux y macOS, otro archivo de base de datos local o, desde 3.1.3, una base de datos PostgreSQL. Este botón no puede llevar un catálogo a BURSUcloud; para eso, consulta Mudarse desde una base de datos local.
3. Si varios equipos van a usar la base de datos, habilita una contraseña maestra ANTES de migrar — de lo contrario, las contraseñas cifradas con DPAPI no se abrirán en otras máquinas.

Cambiar de base de datos — en Settings → Database, con Import Database… o respondiendo que sí a “Switch to the migrated database now?” tras una migración — cierra todas las sesiones abiertas. Si hay alguna sesión abierta, la app pregunta antes: “Open sessions (N) will be closed. Continue?”

PostgreSQL: tu propio servidor

Elige PostgreSQL en «More options» en la pantalla del primer arranque — o más tarde en Settings → Database → Database mode — y rellena el formulario. La aplicación compone la conexión por sí sola; nadie escribe una cadena de conexión:

Test connection muestra la versión del servidor junto al botón, o el motivo del fallo; un certificado rechazado se explica con las mismas palabras, indicando qué opción de cifrado elegir. Después Continue: se crea el esquema, inicias sesión como admin / admin y estableces una contraseña nueva. Cada cliente (Windows, Linux, macOS) se apunta al mismo servidor de la misma manera; usuarios, grupos y permisos por carpeta funcionan exactamente igual que en los otros modos.

Para compartir estos datos de conexión sin volver a escribirlos, elige Export config en el formulario de PostgreSQL y envía a tu compañero el archivo .bursucm-db resultante; Import config lo abre en otro equipo con Windows, Linux o macOS. El archivo contiene el host, el puerto, la base de datos, el usuario, la contraseña de la base de datos y la opción de cifrado, pero no el catálogo, la cuenta de la aplicación, la contraseña maestra de la bóveda ni los secretos guardados. Protege el archivo con una contraseña propia antes de enviarlo: un archivo sin protección contiene la contraseña de la base de datos en texto plano.

En el servidor: lo que configura un administrador

Versiones. Cualquier versión que el propio proyecto PostgreSQL siga manteniendo — al escribir esto, la 13 y posteriores. BURSUcm no pide nada exótico: lo más nuevo de su esquema es ON CONFLICT (PostgreSQL 9.5), y la autenticación scram-sha-256 necesita PostgreSQL 10. Se desarrolla y se prueba contra 14 y 16.

Dale un rol y una base de datos propios — y nada más:

CREATE ROLE bursucm LOGIN PASSWORD 'a long random password';
CREATE DATABASE bursucm OWNER bursucm;
REVOKE ALL ON DATABASE bursucm FROM PUBLIC;

• Nada de SUPERUSER, CREATEROLE ni CREATEDB. El rol es dueño de una base de datos y no necesita nada más. Un superusuario aquí significa que quien llegue al catálogo podrá leer todas las demás bases de ese servidor, y pg_hba.conf ya no lo puede deshacer.
• Deja entrar solo a la subred de los clientes — en pg_hba.conf, por encima de cualquier línea más amplia, porque gana la primera que coincide:

  # TYPE   DATABASE  USER      ADDRESS           METHOD
  hostssl  bursucm   bursucm   192.168.10.0/24   scram-sha-256

  Pon tu propia subred, borra toda línea trust y activa ssl = on y listen_addresses en postgresql.conf. Luego sudo systemctl reload postgresql.
• El certificado debe nombrar el host que escribes. Con Required, verify server certificate la app compara el certificado del servidor con el nombre del campo «Host»: un certificado emitido para db.example.lan no sirve para una conexión a 10.0.0.5. Conéctate por ese nombre y asegúrate de que la CA emisora sea de confianza en el equipo cliente. La opción intermedia, un certificado autofirmado, cifra pero no prueba nada sobre quién respondió.
• Cierra el puerto con el cortafuegos. 5432 accesible desde la subred de los clientes y desde ningún otro sitio — por ejemplo sudo ufw allow from 192.168.10.0/24 to any port 5432 proto tcp.
• Hazle copias como a cualquier base de datos. pg_dump -Fc bursucm > bursucm-$(date +%F).dump con un horario, guardadas fuera de esa máquina, y restaura una de vez en cuando en un sitio inofensivo: una copia sin probar es una esperanza, no una copia. El volcado lleva el catálogo y las contraseñas guardadas como texto cifrado — hace falta la contraseña maestra para leerlas, pero trata el archivo como un secreto igualmente.

Conexiones

Crear una conexión

1. Haz clic en “+ Add Connection” (o Ctrl+T, o clic derecho en una carpeta → “Add connection here…”).
2. Completa el nombre, el tipo (protocolo), el host y el puerto. El puerto viene precargado según el protocolo (22, 5985, 3389, 5900, 23…).
3. En modo BURSUcloud, el campo BURSUlink connection encima del host y el puerto elige entre Direct y Through BURSUlink: un agente en un equipo detrás de un NAT (consulta BURSUlink).
4. Escribe el usuario y la contraseña a mano — o elige una credencial guardada de la bóveda (ver Credenciales).
5. El campo “Folder” es un árbol desplegable de carpetas: las mismas carpetas, en el mismo orden y plegadas igual que en el árbol principal (plegarlas aquí no cambia el árbol principal). La carpeta se elige, no se escribe una ruta; General (no folder), arriba de la lista, deja la conexión fuera de cualquier carpeta. Una carpeta nueva se crea primero en el árbol, desde su menú contextual.
6. Opcionalmente añade etiquetas (separadas por comas) y notas.

Carpetas, favoritos, búsqueda

• Carpetas — anidamiento ilimitado; el estado expandido/contraído se recuerda y, en modo nube, se sincroniza entre dispositivos junto con el orden de las carpetas.
• Filtros sobre el árbol: All (todas), Favorites (favoritas), Recent (recientes). La estrella en la tarjeta de una conexión la añade a favoritas.
• La búsqueda (Ctrl+F) coincide al instante con nombres y hosts.
• Quick Connect — una línea user@host:port para una sesión puntual sin guardarla en el catálogo. Después, Guardar como conexión en el menú de la pestaña abre el editor de una conexión nueva con lo que escribiste ya rellenado.

El menú contextual — la vía rápida

La mayor parte de la cirugía diaria del catálogo nunca abre un diálogo; vive en el menú contextual.

• En una carpeta: “Add connection here…”, “New subfolder…”, “Rename folder…” y “Default credential for this folder” — un solo inicio de sesión para todo su contenido (ver herencia por carpeta).
• Eliminar una carpeta: “Delete folder...” elimina solo una carpeta vacía. Si dentro quedan conexiones, credenciales o subcarpetas, no se elimina nada: la ventana indica cuántas conexiones (en una carpeta de credenciales, cuántas credenciales) y subcarpetas contiene, para que primero las muevas o elimines. Antes de Windows 5.1.4 y Linux y macOS 3.1.3, todo su contenido subía un nivel. La misma regla se aplica en bursucm.com.
• En una conexión: Connect, Open in split view, Copy Username / Copy Password (la contraseña va al portapapeles sin mostrarse nunca en pantalla), Copy As — duplica la entrada para crear una parecida en dos clics, Wake on LAN — envía un paquete mágico a la dirección MAC de la conexión para encender una máquina dormida antes de conectarte, Move to folder, Edit, Delete.
• También en el mismo menú: un “Open SFTP” directo — el panel de archivos sin abrir antes un terminal; y para RDP en Windows, “Open with Remote Desktop” — la sesión en una ventana externa de mstsc en lugar de una pestaña.
• En una credencial: Edit, Copy As, Move to folder, Delete — la misma idea, la misma velocidad.

Wake on LAN y la dirección MAC

Todos los tipos de conexión salvo Serial tienen el campo MAC address (for Wake on LAN, optional). Con una dirección guardada, Wake on LAN en el menú contextual envía el paquete mágico: por difusión y además directamente a la dirección de la propia máquina, porque un equipo dormido en Wi-Fi nunca recibe la difusión.

Desde Windows 3.8.1 y Linux y macOS 2.8.1, el botón Get MAC junto al campo lee la dirección por ti. Primero pregunta a la red de este equipo (ARP): al instante y sin credenciales, pero solo para una máquina encendida y en la misma red local. En una conexión SSH a una máquina situada detrás de un router, la app inicia sesión después — con las credenciales, la clave, la comprobación de la clave de host y el jump host de la propia conexión — y se lo pregunta a la máquina. Para cualquier otro tipo de conexión fuera de la red local, lee la dirección en una conexión SSH a esa máquina o escríbela a mano.

Tu propio orden — organizar carpetas y entradas a mano

El orden alfabético es el predeterminado, pero rara vez coincide con cómo piensas realmente en tus servidores. Ambos árboles — conexiones y credenciales — pueden organizarse manualmente:

• Pasa el cursor por cualquier fila — una carpeta, una conexión o una credencial — y a la derecha aparecen pequeñas flechas ▲ ▼. Cada clic intercambia la fila con su vecina.
• Las flechas dejan el árbol como está: las carpetas se mueven entre carpetas, las entradas entre entradas dentro de su carpeta — solo cambia el orden de visualización.
• O arrastra con el ratón en las apps de Windows, Linux y macOS: toma una carpeta o una entrada y suéltala donde corresponda — una línea muestra el lugar y un recuadro, la carpeta a la que irá. Entre sus vecinas se mueve al instante. Hacia una carpeta, fuera de ella o al nivel superior, primero una ventana muestra qué se mueve, desde dónde, hacia dónde y en qué lugar — y un administrador ve quién obtiene o pierde acceso; nada cambia hasta que pulses Mover. Una carpeta se lleva sus subcarpetas, entradas, permisos de acceso y orden. Si dejas el puntero sobre una carpeta contraída, se expande; Esc cancela. En Favoritos, Recientes y durante una búsqueda el arrastre está desactivado.
• El orden se guarda en la base de datos, no en el dispositivo: en modo nube la app de Windows, la app de Linux/macOS, el portal web, la app de Android y la de iOS/iPadOS muestran exactamente el orden que estableciste. En el portal, las mismas flechas están en cada fila de las pestañas Conexiones y Credenciales.
• En los teléfonos una fila se mueve con su tirador de arrastre en Android, y con Move up / Move down en su menú en iPhone y iPad — en la lista completa, fuera de una búsqueda y solo con permiso de edición.
• Todo lo que nunca reordenaste — y todo lo recién creado — simplemente sigue en orden alfabético después de los elementos organizados, así que las entradas nuevas nunca desaparecen.

La tarjeta de conexión

Haz clic en una conexión para abrir su tarjeta: host/puerto/protocolo, la credencial vinculada con botones Copy y Show/Hide, etiquetas, notas, hora del último uso. Arriba — Connect, favorito, Edit, Delete.

Desde Windows 5.1.1 y Linux y macOS 3.1.1, la fila Last used de la tarjeta indica cuándo se usó la conexión por última vez y, en una base de datos compartida (BURSUcloud o PostgreSQL), quién la usó — por ejemplo, “by user2554, at 15.02.2025 21:22 GMT+4”. La hora se muestra en tu propia zona horaria, con el desfase GMT vigente en esa fecha. Una base de datos SQLite local muestra solo la hora. Una conexión cuenta en cuanto la sesión queda establecida; un inicio de sesión fallido no se registra.

Terminal y sesiones

Pestañas

• Cada sesión es una pestaña. Arrastra para reordenar; clic derecho para Duplicate, Pin, Close. Con muchas sesiones abiertas, las pestañas se estrechan y comparten una fila, como en un navegador; el + del final abre una nueva conexión y la rueda del ratón desplaza la barra.
• Punto de estado en cada pestaña: amarillo — conectando, verde — activa, rojo — caída, morado — conectada a través de un host de salto (jump host). Puedes detectar una sesión muerta sin abrir la pestaña.
• En una caída inesperada (red, un servidor que dejó de responder, un reinicio) la pestaña se pone roja y se reconecta sola — consulta Cuando se cae la conexión. La superposición dentro de la sesión conserva su botón Reconnect: Enter reconecta al instante. Una salida intencional (exit, Ctrl+D) cierra la pestaña como siempre.
• Duplicar con cwd: duplicar una pestaña SSH abre la nueva sesión en el mismo directorio en el que estabas trabajando — sin ceremonias de cd.

Cuando se cae la conexión — reconexión automática

Desde Windows 5.1.2 y Linux y macOS 3.1.2 una sesión que se corta se reconecta sola — SSH, SFTP y FTP, Telnet, WinRM, puertos serie, RDP, VNC y Apple Remote Desktop por igual. Solo se reconecta una sesión que se cortó: tu propio exit, o cerrar la sesión en un escritorio remoto, sigue cerrando la pestaña.

• La cuenta atrás: la pestaña se pone roja, espera 30 segundos y se reconecta — hasta tres intentos. Para la pestaña que estás mirando, la ventana “Connection lost” muestra el motivo y la cuenta atrás, con Reconnect now y Cancel; una pestaña en segundo plano cuenta en silencio. Tras tres intentos fallidos la ventana lo indica y ofrece Reconnect (tres intentos más) o Close.
• Un servidor que deja de responder: una sesión SSH o SFTP pregunta al servidor si sigue ahí una vez por intervalo de keep-alive (15 segundos por defecto, Settings → SSH) y da la sesión por perdida tras 10 segundos sin respuesta. Un servidor bloqueado, o uno que se reinicia bajo una sesión abierta, se detecta en segundos en lugar de dejar el terminal esperando. Los datos que siguen llegando cuentan como respuesta, así que una transferencia grande por un enlace lento no se confunde con un servidor caído. Una sesión FTP inactiva se mantiene abierta con un comando keep-alive una vez por minuto.
• El teclado sigue siendo tuyo: un intento en segundo plano nunca se lleva el teclado ni cambia de pestaña — lo que escribes en otra pestaña, un diálogo o el segundo panel se queda ahí. Una pregunta con la que se topa un intento (una clave de host, un host de salto, un certificado de RD Gateway) espera hasta que abras su pestaña, y una clave de host cambiada nunca se acepta en silencio.
• Contraseñas que escribiste: si escribiste la contraseña al conectar y no la guardaste, un intento automático no la vuelve a enviar: la pestaña te espera, y su Reconnect usa lo que escribiste.
• Vista dividida: un segundo panel que pierde su sesión se reconecta solo en su sitio. Si se cae el panel principal mientras el segundo sigue funcionando, el panel que funciona no se toca; Reconnect y Close preguntan antes y nombran la sesión del segundo panel que se cerraría con la pestaña.
• Reenvío de puertos: los túneles -L, -D y -R de una sesión perdida se liberan al instante, así que la sesión reconectada puede volver a abrir los mismos puertos.

Trabajar en el terminal

• Colores ANSI completos: Midnight Commander, htop y otras apps TUI se muestran correctamente.
• Botón derecho del ratón — configurable en las opciones SSH y WinRM de la conexión (Right-click in terminal): “Copy if selected, otherwise paste (default)”, “Copy selection, paste on right-click” o “Show a Copy/Paste context menu”. Seleccionar texto lo copia solo en el modo “Copiar la selección, pegar con clic derecho”; en los otros dos modos copia el botón derecho, así que una línea que seleccionas para leerla no reemplaza lo que acabas de copiar.
• Pegado seguro: si el portapapeles contiene varias líneas (los comandos se ejecutarían de inmediato), aparece una confirmación con vista previa — protección contra comandos ocultos copiados de páginas web. Esto protege todas las rutas de pegado: Ctrl+V, Shift+Insert, clic derecho y el menú contextual.
• Pegado limpio: los finales de línea se normalizan y se admite el bracketed paste, de modo que las shells modernas (bash 5.1+, zsh) y los REPL reciben un pegado multilínea como un solo bloque editable en lugar de ejecutarlo línea por línea — y pegar en editores nunca deja caracteres ^M sueltos.
• Ventana completa extiende la sesión a toda la ventana de la aplicación; Pantalla completa (salir con F11) ocupa todo el monitor. Su barra — las pestañas de sesión, los botones de la sesión, Salir de pantalla completa, Minimizar y un alfiler que la fija — ocupa todo el ancho de la pantalla y baja cuando el ratón se detiene un momento en el centro del borde superior, así que las pestañas y los botones de ventana de la pantalla remota en las esquinas siguen recibiendo clics. En un Mac sus pestañas y botones están en la propia barra que muestra el sistema. Ninguno de los dos modos deja otros programas detrás: el programa al que cambias — un mensajero, un navegador — pasa al frente, como con Conexión a Escritorio remoto (Windows 5.3.7).
• Ancho de la barra lateral: arrastra el borde derecho de la barra lateral para ensancharla o estrecharla — el ancho se recuerda, y un doble clic en el borde devuelve el ancho estándar. En una barra lateral estrecha, los botones muestran iconos y contadores en lugar de palabras cortadas, y cada uno dice su nombre en un mensaje emergente.
• El + al final de la barra de pestañas — y en la barra de pantalla completa — abre Abrir conexión: el árbol de conexiones con una búsqueda arriba. Las flechas recorren el árbol, Enter o un doble clic conecta, Expandir todo / Contraer todo pliegan las carpetas y + Añadir conexión abajo crea una nueva. La conexión se abre sin salir de la ventana completa ni de la pantalla completa.
• Una barra de desplazamiento delgada a la derecha permite retroceder por el búfer sin tapar el texto.

Apariencia — esquema de color y fuente

Haz el terminal a tu medida en Settings → Appearance (se aplica a todas las sesiones de terminal — SSH, Telnet y Serial):

• Esquema de color: elige entre los temas integrados — Classic, Dracula, Solarized y más — equilibrados tanto en legibilidad como en estética.
• Fuente: elige la familia y el tamaño; todo el historial se vuelve a renderizar al instante para que compares de un vistazo.

Registrar una sesión en un archivo

¿Necesitas una transcripción de lo que pasó en un servidor? Activa el registro de sesión por conexión y BURSUcm escribe la salida de la sesión en un archivo de texto mientras trabajas.

• Hacen falta dos interruptores: Log terminal session output to files (per connection) en Settings → Logs y Log this session's output to a file en la propia conexión. El campo Logs folder está en la misma pestaña Settings → Logs; las transcripciones van a su subcarpeta sessions.
• Cada sesión recibe su propio archivo con marca de tiempo, así conservas un registro limpio para auditorías, tickets de cambio o simplemente para recordar qué escribiste la semana pasada.

Vista dividida — dos sesiones lado a lado

Una pestaña puede contener dos sesiones de terminal:

• Otro servidor al lado: clic derecho en una conexión del árbol → “Open in split view” (se une a la pestaña activa).
• El mismo servidor otra vez: el botón “Duplicate in split” en la barra de herramientas de la sesión.
• El botón ⇅ invierte la disposición: lado a lado ⟷ apiladas.
• Si un panel termina, el otro ocupa toda la pestaña. Los hosts de salto y los túneles también funcionan en el segundo panel.
• Un panel que pierde su sesión se reconecta en su sitio — consulta Cuando se cae la conexión.

Broadcast — escribe una vez, envía a todas partes

El interruptor Broadcast de la barra de herramientas de la sesión replica tus pulsaciones de teclado en todas las sesiones de terminal abiertas (pestañas y paneles divididos). Mientras está activo, un llamativo banner naranja muestra “Broadcasting input to N sessions” con un botón Stop.

Snippets de comandos

Los snippets son una biblioteca compartida de comandos guardados que envías a un terminal con un clic.

• Enviar: el botón Snippets en la barra de herramientas de una sesión SSH/Telnet/Serial → elige un comando del menú agrupado. Se escribe en el terminal (sin Enter — tú decides cuándo ejecutarlo); el foco del teclado permanece en el terminal.
• Marcadores de posición: escribe {name} en un comando — p. ej. systemctl status {service}. Un diálogo pide cada valor al momento de enviar.
• Gestión: la ventana de snippets se abre desde el panel de inicio (“⚡ Command snippets”) o desde Settings → Other → “Manage snippets…”. Campos: nombre, grupo, comando, descripción.
• Sincronización: los snippets viven en la base de datos — en modo nube se comparten con todo el equipo y también pueden editarse en el portal web (la pestaña Fragmentos).
• Permisos: todos pueden usar snippets; añadirlos y cambiarlos requiere el rol de administrador o el permiso “Can manage command snippets”. Una base de datos nueva viene precargada con valores útiles (df, systemctl, journalctl, apt, docker, ss…).
• Con Broadcast activado, un snippet va a todas las sesiones a la vez.

Atajos de teclado

Se activan en Settings → Appearance → “Enable keyboard shortcuts”; la misma página muestra esta leyenda.

Dentro de un terminal, copiar y pegar siguen las convenciones de terminal: Ctrl+Shift+C copia la selección, Ctrl+V o Shift+Insert pega, y Ctrl+C a secas sigue siendo lo que debe ser — la tecla de interrupción para el programa remoto.

En una pestaña de AppleRD valen los atajos del Mac: copiar y pegar en el Mac son Win+C / Win+V desde un teclado de Windows, Alt+C / Alt+V en Linux y Command+C / Command+V en macOS; consulta el teclado de AppleRD.

Funciones avanzadas de SSH

Autenticación

En la tarjeta de conexión → SSH options hay tres formas de iniciar sesión:

La misma página define el keep-alive y el tiempo de espera de conexión (vacío = los valores globales de Settings → SSH) y el tipo de terminal (TERM).

Agente SSH

En Windows la app se comunica con el OpenSSH Authentication Agent (y Pageant); en Linux y macOS, con el ssh-agent estándar.

1. Windows: habilita el servicio “OpenSSH Authentication Agent” (Servicios → tipo de inicio “Automático” → Iniciar). Linux/macOS: el agente normalmente ya está en ejecución en tu sesión.
2. Añade una clave: ssh-add /path/to/key — la frase de contraseña se pide una sola vez.
3. En las opciones SSH de la conexión selecciona el método “SSH agent”. Listo: la frase de contraseña no se guarda ni se vuelve a pedir.

Host de salto (jump host) — conexión a través de un bastión

Si un servidor solo es alcanzable a través de un host intermedio (un bastión), BURSUcm construye el túnel automáticamente, como ssh -J:

1. Abre el bastión en tu catálogo → Edit → SSH options → marca “This connection can be used as a jump host”.
2. En la conexión de destino → SSH options → “Connect via (jump host)” → elige el bastión. Solo las conexiones marcadas aparecen como candidatas.
3. Conéctate como siempre. Funcionan tanto el terminal como el panel SFTP. Se admiten cadenas: el propio bastión puede pasar por otro host de salto.

• La pestaña de una sesión así recibe un punto morado, y la tarjeta muestra una fila “Jump host”.
• Seguridad: la clave de host se verifica contra el destino real, no contra el túnel — un cambio del servidor de destino se notará.

Reenvío de puertos (túneles -L / -R)

Cada conexión SSH puede llevar una lista de túneles (SSH options → Port forwards) que se abren automáticamente con la sesión:

El estado de cada túnel se imprime en el terminal cuando arranca la sesión. Los túneles también funcionan a través de un host de salto. Una pestaña cuya conexión lleva reenvíos muestra un sufijo “(F)” en su título.

Un reenvío dinámico (desde Windows 3.3 y Linux/macOS 2.3) abre un proxy SOCKS5 solo en 127.0.0.1 — nunca se ofrece a la red en la que está tu equipo. Los nombres también se resuelven en el lado del servidor (socks5h), así que los hosts internos funcionan. ¿Varios servicios detrás de un mismo host? Un reenvío dinámico sustituye a una lista de locales. Los teléfonos conservan este reenvío al guardar la conexión, pero no lo inician.

En Linux y macOS, el puerto en el que escucha un túnel local (-L) o dinámico (-D) debe ser 1024 o superior: los puertos inferiores pertenecen a root, así que un túnel en el 443 informa “Permission denied” y no arranca — la aplicación lo indica bajo la línea roja. 1080 es el puerto habitual de SOCKS5. Windows no tiene este límite, por eso la misma conexión puede funcionar en un equipo y no en otro.

tmux — una sesión que sobrevive a una conexión caída

Desde Windows 3.3, Linux/macOS 2.3 y Android 1.8.8 — y también en iPhone y iPad — una conexión SSH puede vivir dentro de tmux en el servidor: marca Keep the session in tmux en las opciones SSH y dale un nombre a la sesión (por defecto BURSUcm). Cuando se abre el shell, la app se adjunta a esa sesión — la crea la primera vez y se reincorpora en cada conexión posterior.

• Una conexión caída no pierde nada: vuelve a conectar y estarás en la misma pantalla con los mismos programas en marcha. La misma opción en el teléfono se une a la misma sesión, así que el trabajo empezado en el escritorio continúa en Android, iPhone o iPad y viceversa.
• Desacoplar con Ctrl+B y luego D: vuelves al shell normal y la pestaña sigue abierta; la sesión sigue ejecutándose en el servidor. El título de la pestaña muestra “(tmux)” mientras estás dentro.
• La rueda del ratón desplaza el historial del propio tmux, el panel de archivos sigue a cd como siempre, y el asistente de IA sigue viendo cuándo termina un comando.
• tmux debe estar instalado en el servidor (sudo apt install tmux, sudo dnf install tmux); un servidor sin él lo dice en el terminal y la sesión continúa sin tmux. No hay nada que configurar en el servidor — la app establece lo que necesita para su propia sesión.

Verificación de claves de host (protección contra MITM)

Como PuTTY, BURSUcm verifica la identidad del servidor por la huella digital de su clave:

• Primera conexión: un diálogo “Unknown SSH server” con la huella — verifícala y elige “Trust & remember” (o “Connect once”).
• La clave cambió: una advertencia destacada. Continúa solo si el servidor de verdad fue reinstalado o su clave rotó.
• Modos en Settings → SSH: “Ask once, then remember (recommended)”, “Strict - only allow already-trusted hosts” (en Linux y macOS: “Strict - only allow already-trusted servers”), “Off - do not verify (insecure)”. El botón “Forget all trusted SSH host keys” también está ahí.

El panel de archivos SFTP

• El botón “Files (SFTP)” en una sesión SSH abre un gestor de doble panel: este equipo a la izquierda, el servidor a la derecha.
• Cola de transferencias: cada subida y descarga pasa por una cola con barras de progreso y velocidad por archivo. Las copias largas ya no bloquean el panel — sigue navegando mientras corren.
• Arrastrar y soltar: suelta archivos directamente desde tu gestor de archivos (el Explorador en Windows) en el panel remoto.
• Carpetas completas: subir o descargar un directorio replica el árbol entero, subcarpetas incluidas.
• Mover (F6): transfiere un archivo — o una carpeta entera — al otro lado y elimina el origen, en una sola acción. La eliminación espera hasta que cada archivo haya llegado: un movimiento que omitió o falló algo deja el origen intacto.
• Abrir en el menú contextual del panel del servidor descarga el archivo y lo abre en el programa que tu sistema usa para ese tipo; cada guardado allí vuelve al servidor (Linux y macOS desde 3.3.1).
• Crea carpetas y archivos, renombra, elimina, chmod (permisos octales: 644, 755…), confirmación de reemplazo con las fechas de los archivos.
• La apertura automática para nuevas sesiones SSH y seguir la carpeta de la shell (el panel sigue a cd; solo bash) se activan en Settings → SSH.
• Orden y ancho de columnas: un clic en el encabezado de una columna ordena por ella; otro clic invierte el orden. “..” siempre queda primero, las carpetas van antes que los archivos, los empates se resuelven por nombre y “Modificado” ordena por la fecha real. Arrastra el borde de un encabezado para ensanchar o estrechar la columna.

RDP: escritorio remoto

En Windows: dos motores

El motor pertenece a la conexión: la primera vez que la abres, la app pregunta qué motor usar y recuerda la respuesta en esa conexión (cámbialo cuando quieras en sus opciones RDP; Settings → RDP fija el valor por defecto para las nuevas). La elección se guarda en el propio catálogo, así que en modo nube la app de Windows y la de Linux/macOS abren la misma conexión con el mismo motor. En la primera conexión a un servidor nuevo la app te pide verificar su certificado — y cuando la sesión pasa por una puerta de enlace RD Gateway, el certificado de la propia puerta se verifica y se recuerda por separado del certificado del servidor. Un host que no responde se informa como inaccesible en segundos, no como una pestaña negra y muda. Si eliges otro motor en las opciones RDP de una conexión, la próxima vez que conectes se vuelve a preguntar, con ese motor ya seleccionado; una conexión a través de un agente BURSUlink usa siempre BURSUrdp.

Si el servidor rechaza la negociación de seguridad —por ejemplo, porque su capa de seguridad está en “RDP” en la configuración de Escritorio remoto—, la aplicación informa ahora exactamente de ese rechazo, en lugar de “no se ofreció ningún certificado” junto con un código de error del motor.

En Linux y macOS: BURSUrdp e IronRDP

La app de Linux/macOS renderiza RDP directamente dentro de la pestaña con su propio motor BURSUrdp — el mismo que en Windows, con gráficos H.264 y soporte multimonitor — y un motor IronRDP ligero como alternativa. Sin cliente externo, sin trucos de X11, comportamiento idéntico en ambos sistemas. Copiar y pegar funcionan con el portapapeles del sistema, la sesión renegocia su resolución al redimensionar la ventana, y reconectarse tras una caída es un solo clic. Los certificados de los servidores que aceptas se recuerdan; la lista puede vaciarse en Settings → Trusted hosts. La acción “abrir en el cliente RDP del sistema” sigue disponible en el menú contextual de la conexión si prefieres una ventana externa.

Opciones por conexión

• Pantalla: profundidad de color (15/16/24/32 bits), calidad de conexión (LAN / banda ancha / baja / auto), todos los monitores (multimon, motor de Windows); imagen nítida en pantallas Retina / HiDPI — en un monitor escalado por encima del 100 %, la sesión recibe los píxeles reales de la pantalla con su escala y el texto se ve nítido en su tamaño habitual (activada por defecto, ambos motores; desactívala para un servidor que ignora la escala y lo dibuja todo diminuto).
• Puntero: el puntero toma las formas propias del servidor — flechas de cambio de tamaño, la mano sobre los enlaces, el cursor de texto — en ambos motores (Windows 5.2.5, Linux & macOS 3.3.0).
• Recursos locales: portapapeles, discos locales, impresoras, micrófono; dónde se reproduce el audio remoto.
• Otros: dominio, RD Gateway.

RD Gateway

Un servidor al que solo se llega a través de una puerta de enlace de Escritorio remoto (Remote Desktop Gateway) se configura en la propia conexión: RDP options → Security → “RD Gateway host (optional)”. Escribe el nombre de host de la puerta de enlace; un campo vacío significa conexión directa. El campo es el mismo en la app de Windows y en la de Linux y macOS, y viaja con la conexión en el catálogo.

• Credenciales: la puerta de enlace recibe el usuario, el dominio y la contraseña de la propia conexión; no hay credenciales aparte para ella. Una puerta de enlace a la que no confiarías esa contraseña es la puerta de enlace equivocada.
• Transporte: HTTPS en el puerto 443, con el transporte HTTP de la puerta de enlace (no se usa el antiguo RPC sobre HTTP). Escribe el nombre de host — o host:port cuando la puerta de enlace no escucha en el 443 (Windows 5.2.0; la app de Linux y macOS desde 3.2.1).
• Motores: BURSUrdp pasa por la puerta de enlace en Windows, Linux y macOS. El motor de Microsoft en Windows también, con las comprobaciones propias de Windows. El motor de reserva IronRDP en Linux y macOS no puede usar una puerta de enlace, así que el campo queda atenuado mientras está seleccionado.
• El certificado de la puerta de enlace se comprueba antes de empezar la sesión y se recuerda aparte del del servidor: en la primera conexión la app muestra su huella (Trust & remember o Connect once), y un certificado cambiado genera una advertencia en lugar de aceptarse en silencio. Si el certificado no puede leerse en absoluto, la conexión se cancela: la puerta de enlace vería la misma contraseña que el servidor. Settings → RDP → “Forget all trusted RDP certificates” olvida también los certificados de las puertas de enlace (desde Windows 5.1.5 y Linux y macOS 3.1.4).
• Una puerta de enlace distinta en una conexión compartida forma parte de la comprobación Routing changed.
• En Android, iPhone y iPad (desde la 2.0) una conexión RDP pasa por la puerta de enlace definida en el escritorio; las apps móviles no tienen ese campo y no pueden cambiarla. Envían el usuario y la contraseña de la propia sesión (no se admiten tarjetas inteligentes), usan el puerto 443 salvo que el campo del escritorio contenga host:port, recuerdan el certificado de la puerta de enlace por separado (Unknown RD Gateway, RD Gateway certificate changed) y preguntan antes de usar una puerta de enlace distinta de la registrada para la conexión (RD Gateway changed).

VNC: escritorio remoto

Junto a RDP, BURSUcm habla VNC (RFB) y renderiza la pantalla remota directamente dentro de una pestaña — la misma ventana, pestañas y comportamiento de pantalla completa que cualquier otra sesión. Funciona con los servidores habituales: RealVNC, TigerVNC, TightVNC, UltraVNC, x11vnc y el uso compartido de pantalla integrado de macOS y Linux.

Compartir pantalla en macOS: el modo estándar es VNC/RFB corriente, y un Mac se lo ofrece a cualquier cliente VNC — es la vía que BURSUcm usa con los Mac que no ofrecen el protocolo propio de Apple. El uso compartido de pantalla High Performance de Apple (macOS 14 o posterior, una pantalla virtual transportada por UDP en el puerto de la conexión y el siguiente) lo gestiona el tipo de conexión dedicado Apple Remote Desktop. Un Mac que puede hacerlo sigue respondiendo también en el modo VNC estándar.

Cifrado y autenticación

• TLS / VeNCrypt: cuando el servidor lo ofrece, la sesión se cifra (VeNCrypt o las variantes TLS de RealVNC/UltraVNC). El certificado del servidor se verifica en la primera conexión y se recuerda — si luego cambia, se te advierte (el mismo modelo de confianza en el primer uso que las claves de host SSH y RDP).
• Contraseña: la contraseña VNC estándar (y, donde el servidor lo usa, un nombre de usuario) puede guardarse en una credencial vinculada o pedirse al conectar. El VNC plano sin TLS envía el framebuffer sin cifrar — prefiere un servidor con TLS o pásalo por un túnel mediante el reenvío de puertos SSH.
• Inicio de sesión de Apple: un servidor VNC que ofrece el inicio de sesión propio de Apple (Apple Diffie-Hellman) con parámetros de cifrado inseguros se rechaza antes de que tu contraseña salga del equipo, con un mensaje que explica el motivo (desde Windows 5.1.1 y Linux y macOS 3.1.1).

Codificaciones y rendimiento

• Admite las codificaciones Tight, ZRLE y Hextile y negocia la mejor con el servidor; solo se redibuja la parte de la pantalla que cambió, así que incluso un enlace lento sigue siendo usable.
• Escalado: la pantalla remota puede mostrarse a tamaño completo o escalada para ajustarse a la pestaña.
• El modo de solo visualización desconecta tu teclado y ratón de la sesión — observa o presenta sin tocar el otro lado por accidente.
• El uso compartido del portapapeles copia texto en ambos sentidos entre tu máquina y el escritorio remoto.

Importar conexiones VNC existentes

¿Ya tienes archivos de conexión .vnc (de RealVNC Viewer, TigerVNC y otros)? Tráelos desde Import con un clic — el host, el puerto y las opciones se traen; las contraseñas se piden o se vinculan después. Consulta Importar desde otras herramientas.

Apple Remote Desktop: escritorios Mac

Junto a RDP y VNC, BURSUcm abre la pantalla de un Mac como una conexión de tipo Apple Remote Desktop (la pestaña de ajustes y los diálogos de la app lo llaman AppleRD). Con macOS 14 o posterior la conexión usa la vía High Performance de Apple — vídeo acelerado por hardware y el sonido del sistema del Mac (Apple la documenta para Apple silicon; un Mac Intel también la transmite); en un Mac que no la ofrece muestra la pantalla corriente, plenamente utilizable, sin sonido.

Crear una conexión

• Tipo: Apple Remote Desktop. Host, puerto (5900 ya rellenado) y el usuario y la contraseña de macOS — la cuenta con la que entras en el Mac. En el Mac debe estar activada Compartir pantalla o Gestión remota (Ajustes del sistema → General → Compartir).
• High Performance está siempre activo: ya no hay campos de modo ni de tipo de Mac; el propio Mac le dice a BURSUcm qué es. Un Mac da High Performance a una sola conexión a la vez y envía esa imagen solo a los puertos UDP 5900 y 5901 de este equipo, así que un equipo admite una sola sesión así. Si ya está en uso, BURSUcm avisa con High Performance ya está en uso y no se conecta: cierra la otra conexión AppleRD y vuelve a conectarte. Si un Mac no arranca High Performance (por ejemplo, antes de macOS 14), la sesión se abre con la imagen estándar. En cualquier Mac el puntero adopta las formas propias del Mac.
• Modo de pantalla: Sesión privada — una pantalla virtual del tamaño de tu ventana (nítida, y el panel del Mac se apaga) — o Espejo, que transmite la pantalla física a su tamaño nativo y la deja encendida. Nítido y encendida son el mismo interruptor de Apple y no se pueden combinar. El oscurecimiento de la pantalla solo funciona en un Mac con Apple silicon: un Mac Intel deja su pantalla encendida en cualquier modo, y BURSUcm lo avisa una vez.
• Interfaz del Mac a la escala de esta pantalla (Retina / HiDPI) — el Mac dibuja su interfaz a la escala de esta pantalla: nítida en vez de ampliada.
• Códec de vídeo: H.264 4:2:0 (decodificado en la GPU — el valor por defecto, más ágil) o HEVC 4:4:4 (texto en color más fino, decodificado en la CPU).
• Audio: reproducir el sonido del sistema del Mac en la sesión. La línea de estado bajo la imagen dice audio off cuando lo has apagado tú, audio unavailable cuando este equipo no tiene dispositivo de salida, y no audio en la imagen estándar, que nunca lleva sonido.

Otra persona tiene la sesión iniciada en el Mac

Cuando otro usuario tiene la sesión iniciada en el Mac, las apps de escritorio (Windows, Linux, macOS) preguntan qué hacer — Alguien está usando este Mac:

• Pedir a nombre que comparta la pantalla — esa persona verá una solicitud en el Mac y tendrá que permitirla.
• Cancelar no conecta.

Solo se ofrece pedir que se comparta la pantalla, en cualquier Mac y en todas las apps (ordenador, teléfono y tableta); no hay inicio de sesión por separado.

Un Mac dormido

Un Mac en reposo no responde a nada, y Compartir pantalla simplemente agota el tiempo de espera. Si la conexión tiene guardada una dirección MAC (consulta Wake on LAN y la dirección MAC), BURSUcm comprueba primero si el Mac responde. Si no lo hace, la pestaña muestra Waking the Mac and waiting for it to answer…, el paquete mágico se envía y se repite cada diez segundos, y la sesión se abre en cuanto el Mac responde — normalmente en torno a medio minuto, en un «dark wake» que sirve la pantalla sin encender el panel del propio Mac. La espera está limitada a 60 segundos, y cerrar la pestaña la termina. A un Mac que ya está despierto nunca se le envía un paquete; sin una dirección guardada no cambia nada. Si el Mac sigue en silencio, el error indica que también se le envió un paquete de despertar y no respondió: puede estar apagado o en una red a la que el paquete no llega. El propio Mac debe permitirlo: Wake for network access en sus ajustes de batería o de energía. Windows 3.8.1, Linux y macOS 2.8.1.

La identidad del Mac

Antes de ofrecer tu contraseña, BURSUcm comprueba quién responde. En la primera conexión muestra la huella de la clave de host del Mac (SHA-256) y te pide confirmarla — el mismo modelo de primer uso que una clave de host SSH; a partir de ahí, un Mac cuya clave haya cambiado se rechaza con un aviso. Settings → AppleRD fija la política: As set on the Security tab (sigue el ajuste general de certificados — un «Off» heredado sigue significando «Ask once» para los Mac), Ask once, then remember, Strict — only allow already-trusted Macs u Off (inseguro). Forget all trusted Macs borra las claves recordadas. La contraseña en sí nunca cruza la red: el inicio de sesión es el handshake SRP de Apple, y la sesión se cifra con claves derivadas de él.

Portapapeles

El texto se copia en ambos sentidos. Lo que copias en este equipo se envía al Mac mientras su pestaña sea aquella en la que estás trabajando; un secreto copiado desde una tarjeta de credenciales nunca se reenvía. Lo que se copia en el Mac llega a tu portapapeles solo mientras su pestaña está visible y tiene el foco, así que una sesión en segundo plano no puede sustituir lo que acabas de copiar.

Teclado

En la app de Windows (desde 5.2.1) el Mac recibe el carácter que produce tu distribución de teclado: mayúsculas, Bloq Mayús, símbolos y acentos escritos con una tecla muerta — ´ y luego e da “é”, ^ y luego e da “ê”. Las combinaciones con Ctrl o Win envían la tecla tal cual, así que un atajo es el mismo en cualquier distribución, y si sueltas las dos teclas Shift a la vez, en el Mac se sueltan las dos.

• Windows: mientras la imagen del Mac tiene el teclado, las combinaciones con Win llegan al Mac como combinaciones con Command: Win+C copia, Win+V pega, Win+Tab es Command+Tab. Win pulsada sola no abre el menú Inicio, y Win+L sigue bloqueando este equipo. Haz clic fuera de la pestaña de AppleRD para recuperar los atajos de Windows con Win. Desde 5.2.1.
• Linux: Alt+C y Alt+V actúan como Command+C y Command+V; el escritorio se reserva la tecla Super.
• macOS: la tecla Command es Command.

High Performance: límites de Apple

La vía rápida es una restricción de Apple, no nuestra: Apple documenta High Performance para Mac con Apple silicon y macOS 14 o posterior, con Compartir pantalla o Gestión remota activados. Un Mac Intel (probado: iMac 2020 con macOS 26) también lo transmite, pero no puede apagar su pantalla. La sesión en sí va por el puerto TCP de la conexión (5900); High Performance añade dos flujos UDP en ese puerto y el siguiente (5900 y 5901 por defecto) en ambos sentidos — el cliente responde desde los mismos dos puertos locales —, así que un cortafuegos en cualquiera de los dos lados debe dejarlos pasar. Un Mac que no ofrece High Performance se conecta igualmente, como pantalla simple sin sonido. A través de un agente BURSUlink, estos flujos UDP pasan por el agente, así que no hay que abrir nada en la red del Mac.

En Android, iPhone y iPad

Desde Android 2.0 e iOS/iPadOS 2.0, una conexión AppleRD también se abre en el teléfono y la tableta. Con un Mac con Apple silicon y High Performance, el vídeo se decodifica por hardware y el sonido del Mac suena en el dispositivo, y la pantalla del Mac se apaga para una sesión privada o sigue encendida como espejo (sin High Performance, o en un Mac Intel, la pantalla del Mac sigue encendida). En iPhone y iPad la pantalla virtual del Mac gira con el dispositivo en una sesión privada High Performance. La clave del Mac se confirma en la primera conexión, como en el escritorio. Los límites: el texto copiado en el Mac llega al portapapeles del dispositivo, pero nada vuelve al Mac; en Android el vídeo es siempre H.264 y el teléfono debe ser de 64 bits.

Lo que deliberadamente no implementamos

El protocolo de administración propietario de Apple Apple Remote Desktop (UDP 3283: observación silenciosa, despliegue de archivos y paquetes, listas de tareas, inventario) es un protocolo aparte y sin documentar. BURSUcm se conecta a la pantalla compartida — que es lo que la mayoría entiende por «ARD» — y no implementa ese protocolo de administración.

Telnet · Serial · Web · FTP

Telnet

El mismo terminal integrado que SSH (colores, copiar/pegar, broadcast, snippets). Nota: Telnet envía todo en texto plano — úsalo solo en redes de confianza.

Serial (puerto COM)

• Configura el puerto (p. ej. COM3 en Windows, /dev/ttyUSB0 en Linux) y la velocidad en baudios en la conexión.
• Las Serial options cubren bits de datos, paridad, bits de parada, control de flujo.
• El caso clásico: la consola de un switch/router mediante un adaptador USB-COM.

Web (HTTP/HTTPS)

• La página se abre en una pestaña de navegador integrado — útil para paneles web (routers, IPMI, NAS) — que funciona como un navegador: Atrás / Adelante, Recargar / Detener e Inicio; una barra de direcciones con un candado que indica si la conexión es segura; Copiar dirección; Abrir en el navegador del sistema; y un menú ⋯ con zoom, Buscar en la página (Ctrl+F), impresión y Herramientas para desarrolladores (F12).
• Las teclas son primero de la página: una consola web (Proxmox, iLO, iDRAC) recibe Ctrl+R, Esc y las demás, y las teclas del navegador actúan solo si la página no las usa. Ctrl+W y Ctrl+Tab siguen siendo de la aplicación.
• Las ventanas emergentes de inicio de sesión (Google, Microsoft, inicio de sesión único) se abren en una ventana propia y se completan; un enlace que abre una página nueva la abre en una pestaña nueva. Un sitio que pide la cámara, el micrófono, la ubicación, notificaciones, leer el portapapeles o descargar varios archivos a la vez pregunta primero — Recordar para este sitio guarda la respuesta.
• Las descargas van a la carpeta Descargas y se listan con su progreso — pausar, Reanudar, cancelar, abrir, Mostrar en la carpeta: en Windows en la ventana Descargas, que se abre al empezar una descarga y desde el botón de descargas de la pestaña; en la aplicación de Linux y macOS en el panel Descargas.
• Un programa, script, instalador o imagen de disco descargado nunca se abre en silencio: en Windows Abrir pregunta primero; la aplicación de Linux y macOS muestra ese archivo en su carpeta en lugar de ejecutarlo.
• Una página abre como máximo 10 pestañas en 10 segundos y 5 ventanas emergentes, y entre todas las páginas abren como máximo 20 pestañas y 10 ventanas emergentes; si una página intenta abrir más, un aviso indica que algunas pestañas no se abrieron.
• Ajustes → Seguridad → Navegador web borra los datos de navegación de todas las pestañas web y olvida los permisos de los sitios y los certificados aceptados para ellos.
• Puedes guardar un usuario/contraseña y habilitar “Ignore certificate errors” para paneles internos autofirmados; la excepción se aplica solo a ese host, nunca de forma global. El inicio de sesión guardado se usa solo mientras la pestaña muestra el propio dispositivo, nunca para un sitio al que enlaza ni para una ventana que ese sitio abre. El navegador no ofrece guardar las contraseñas que escribes en las páginas: guárdalas en la bóveda.

FTP / FTPS

• Un gestor de archivos de doble panel con la misma cola de transferencias y transferencia de carpetas completas que SFTP.
• Cifrado: FTP plano (ninguno), FTPS explícito (AUTH TLS) o FTPS implícito. El FTP plano envía la contraseña en claro — usa FTPS siempre que el servidor lo admita.
• El modo pasivo (PASV) está activado por defecto — funciona detrás de NAT.

WinRM: PowerShell en servidores Windows

Desde Windows 3.3 y Linux/macOS 2.3 una conexión de tipo WinRM abre una consola PowerShell o cmd.exe en un servidor Windows como una pestaña de terminal — sin sesión RDP y sin servidor SSH en el lado de Windows. PowerShell funciona sobre PowerShell Remoting, cmd.exe sobre WinRS; ambos viajan dentro de WS-Management por el puerto 5985 (HTTP) o 5986 (HTTPS).

Crear una conexión

• Tipo: WinRM. Host, puerto (5985 viene rellenado; 5986 para HTTPS), usuario y contraseña — una credencial guardada funciona exactamente igual que en SSH. Una cuenta de dominio se escribe como DOMAIN\user; una cuenta local tiene que ser miembro de Administradores (o de Remote Management Users).
• WinRM options: transporte (HTTP o HTTPS), shell (PowerShell o cmd.exe) y, para cmd.exe, la página de códigos de la consola — pon 866 si escribes cirílico en una sesión cmd; la salida se lee bien en cualquier caso. En HTTPS existe además “Proceed past certificate errors” para un servidor de laboratorio con certificado autofirmado.
• La autenticación es NTLM: la contraseña nunca cruza la red en claro, y una contraseña pedida por un script (Read-Host -AsSecureString, un aviso Password: en cmd) se responde bajo la clave de sesión y no como texto en pantalla.

Confianza: certificados y HTTP plano

• HTTPS: la primera conexión muestra la huella del certificado del servidor. Verifícala y elige “Trust & remember” — desde entonces el certificado queda fijado como una clave de host SSH, y un certificado cambiado provoca una advertencia en lugar de conectar en silencio. Settings → WinRM tiene “Forget all trusted WinRM certificates”.
• HTTP plano: se pregunta una vez por servidor. NTLM sella el cuerpo de los mensajes, pero la identidad del servidor no se verifica — usa HTTPS fuera de una red de confianza. Los diálogos de confianza pueden llevar su tiempo; la pestaña espera tu respuesta hasta tres minutos.
• “Proceed past certificate errors” en las opciones WinRM de la conexión perdona los errores de cadena solo donde todavía no hay un certificado recordado. Un certificado en el que ya confiaste sigue siendo vinculante diga lo que diga el interruptor, y con una política estricta un certificado nuevo se rechaza (desde Windows 5.0.2 y Linux & macOS 3.0.2).

Trabajar en el terminal

• La salida fluye mientras un comando sigue ejecutándose; Ctrl+C detiene la canalización; los errores llegan como errores con la línea en la que ocurrieron, y $LASTEXITCODE se informa para el comando que lo estableció.
• Read-Host, -Confirm y un parámetro obligatorio ausente preguntan y te esperan, como en una consola local.
• clear / cls limpian la ventana; Write-Host conserva sus colores y -NoNewline; un pegado de varias líneas ejecuta todas; la pestaña se divide en un segundo panel como una pestaña SSH, y la entrada broadcast le llega.
• Lo que WinRM no puede hacer: no hay PTY, así que no hay cambio de tamaño de ventana, ni programas a pantalla completa, ni tmux; y WS-Management no tiene transferencia de archivos, así que no hay panel de archivos — usa SFTP, SMB o la redirección de unidades de RDP para los archivos.

Habilitar PowerShell Remoting en el servidor

Ejecuta en un PowerShell elevado en la máquina Windows a la que quieres llegar:

Enable-PSRemoting -Force
# accesible desde otras redes, no solo desde la subred local:
Set-NetFirewallRule -Name 'WINRM-HTTP-In-TCP' -RemoteAddress Any

Un listener HTTPS con certificado autofirmado (su huella es la que verificas en la primera conexión):

$cert = New-SelfSignedCertificate -DnsName 'server.example.com' -CertStoreLocation Cert:\LocalMachine\My
New-Item -Path WSMan:\localhost\Listener -Transport HTTPS -Address * -CertificateThumbPrint $cert.Thumbprint -Force
New-NetFirewallRule -DisplayName 'WinRM HTTPS' -Direction Inbound -Protocol TCP -LocalPort 5986

BURSUcm lleva su propio cliente WinRM, así que en tu lado no hace falta TrustedHosts ni pertenecer a un dominio.

En los teléfonos: una conexión WinRM se lista con su propio color, se puede crear y editar para el escritorio, y la tarjeta copia host, usuario y contraseña — abrirla es, por ahora, solo para el escritorio.

Servidores locales: TFTP, FTP, SFTP, HTTP

BURSUcm puede convertir tu ordenador durante unos minutos en un pequeño servidor de archivos. Un router, un switch o un firewall se conecta entonces a tu PC para guardar su configuración o para recoger un firmware nuevo — lo mismo que Tools → Servers en MobaXterm, tftpd64 o FileZilla Server, pero sin un segundo programa. Está en la aplicación de Windows y en la de Linux y macOS; las aplicaciones de móvil no lo tienen.

Abrir la ventana e iniciar un servidor

• Herramientas → Servidores locales… abre la ventana. Muestra cuatro servidores, cada uno con su puerto, su carpeta, un botón Iniciar / Detener y un botón ⚙ para sus ajustes. En la fila de cada servidor hay un botón de carpeta que abre la carpeta del servidor.
• La primera línea muestra Este equipo con las direcciones de tus tarjetas de red y el botón Copiar. Esas son las direcciones que debe usar el dispositivo. Mientras al menos un servidor esté en marcha, la barra de título muestra un punto verde con el número de servidores en marcha; un clic en él abre la ventana.
• Debajo de la lista, Ejemplo muestra un comando ya preparado para el primer servidor en marcha, con tu dirección. El Registro muestra las transferencias (las últimas 200 líneas): hora, servidor, dirección del dispositivo, archivo y tamaño.
• Cerrar la ventana no detiene los servidores. Se detienen con Detener o al salir de BURSUcm. La próxima vez no arrancan solos.

Los cuatro servidores

En los ajustes de un servidor (⚙) se eligen la Carpeta, el Puerto, la Interfaz de red (por defecto todas las tarjetas de red, o una dirección) y Permitir escritura (no en HTTP). Un servidor en marcha no se puede cambiar — deténlo primero; los cambios valen desde el siguiente inicio. Las carpetas se crean en el primer inicio. Si un servidor escucha en una interfaz de red elegida, su fila muestra esa dirección. Los ajustes de TFTP, FTP y HTTP tienen además Avisar antes de iniciar (el tráfico no se cifra); márcalo para volver a activar el aviso si lo silenciaste.

Usuario y contraseña (FTP y SFTP)

• El usuario es bursu. Cada vez que el servidor se inicia, BURSUcm crea una contraseña aleatoria nueva y la muestra en la fila del servidor, con Mostrar y Copiar. No se guarda en ningún sitio — ni en la base de datos ni en un archivo.
• En los ajustes puedes escribir una contraseña propia. Una contraseña que escribas tú debe tener al menos 8 caracteres. Solo se conserva hasta que sales de BURSUcm. Sin ella, el siguiente inicio crea otra contraseña aleatoria.
• El acceso anónimo está desactivado por defecto. Para un dispositivo que solo sabe entrar de forma anónima, marca Permitir el inicio de sesión anónimo (usuario anonymous, cualquier contraseña) en los ajustes de FTP: el usuario anonymous (o ftp) entra entonces con cualquier contraseña y recibe la misma carpeta y el mismo permiso de escritura. SFTP no tiene acceso anónimo. Tras 5 contraseñas incorrectas desde una dirección, esa dirección queda rechazada durante 30 segundos.
• SFTP solo sirve archivos: sin shell, sin comandos, sin reenvío de puertos. Los ajustes muestran la Huella de la clave del host del servidor; compárala con la que muestre el dispositivo o tu cliente SFTP en la primera conexión.
• El antiguo comando scp no está admitido en esta versión (por ejemplo, copy … scp: en Cisco). Usa sftp://, FTP o TFTP.

Ejemplos para dispositivos de red

Sustituye 192.0.2.10 por la dirección de tu PC de la línea Este equipo, y <password> por la contraseña de la ventana. Nombres como sw01.cfg son solo ejemplos.

Cisco IOS — guardar la configuración en ejecución en el PC e instalar una imagen desde el PC:

copy running-config tftp://192.0.2.10/sw01.cfg
copy tftp://192.0.2.10/c2960-image.bin flash:
copy running-config ftp://bursu:<password>@192.0.2.10/sw01.cfg
copy running-config sftp://bursu@192.0.2.10/sw01.cfg

Para subir por TFTP hace falta la escritura; viene activada por defecto. En FTP y SFTP activa primero Permitir escritura. Copiar por SFTP necesita una versión de Cisco con cliente SFTP (la guía de Cisco para IOS XE lo indica desde la 16.10.1) y SSH en el dispositivo; si el dispositivo pide la contraseña, escribe la de la ventana.

MikroTik RouterOS — obtener un archivo por HTTP y enviar un archivo al servidor FTP:

/tool fetch url="http://192.0.2.10/routeros.npk"
/tool fetch url="ftp://192.0.2.10/backup.rsc" src-path=backup.rsc upload=yes user=bursu password=<password>

En notas antiguas aparece address=… mode=ftp en lugar de url; MikroTik considera mode obsoleto y recomienda url. upload=yes solo vale para FTP y SFTP, y en el servidor FTP la escritura debe estar activada.

Desde cualquier ordenador:

sftp bursu@192.0.2.10
curl -T sw01.cfg ftp://bursu:<password>@192.0.2.10/
http://192.0.2.10/        (en un navegador: la lista de archivos de la carpeta HTTP)

Si usas un puerto distinto del estándar, añádelo a la dirección, por ejemplo sftp -P 2222 bursu@192.0.2.10 o http://192.0.2.10:8080/. Una contraseña dentro de una URL no puede contener @, : ni /; las contraseñas aleatorias nunca los llevan.

Seguridad

• Solo la carpeta elegida. Los archivos se sirven únicamente desde la carpeta de ese servidor. Se rechazan una ruta con .., una ruta completa, un nombre de dispositivo de Windows y un enlace (acceso directo, symlink) que lleve fuera de la carpeta; el registro lo muestra.
• Las subidas por TFTP y FTP resisten un corte. Un archivo se escribe primero en un archivo temporal y sustituye al anterior solo cuando está completo. Una transferencia cortada a medias deja el archivo anterior como estaba. SFTP escribe directamente en el archivo, así que una subida SFTP cortada sobre un archivo existente lo deja incompleto; si la copia anterior importa, sube con un nombre nuevo.
• El modo activo de FTP solo se conecta de vuelta a la dirección del propio cliente.
• Como máximo 16 clientes a la vez por servidor; una conexión inactiva se cierra a los 5 minutos.

Si no funciona

• «El puerto … lo usa otro programa». Otro programa ya escucha en ese puerto (a menudo un servidor web en el 80, u otro servidor TFTP, FTP o SSH). Ciérralo o elige otro puerto en los ajustes e indica ese mismo puerto en el dispositivo. Más rápido: bajo el mensaje, la fila ofrece Usar el puerto … — el primer puerto libre a partir del alternativo habitual (TFTP 6969, FTP 2121, SFTP 2222, HTTP 8080); un clic lo guarda e inicia el servidor. En un Mac o en Linux el propio servidor SSH del sistema suele ocupar el 22, así que para SFTP es la salida.
• Windows: en el primer inicio puede aparecer una pregunta del Firewall de Windows. Permite BURSUcm en las redes privadas; si no, el dispositivo no llegará. La ventana también lo dice.
• Linux: al instalarse, los paquetes permiten a BURSUcm usar puertos por debajo de 1024 (69, 21, 22, 80). Si no funcionó (por ejemplo, falta la herramienta setcap), la ventana dice «El puerto … necesita un privilegio: reinstala el paquete o elige un puerto superior a 1024» — instala el paquete de nuevo o elige un puerto superior a 1024. El firewall de la distribución (ufw, firewalld) también debe dejar pasar el puerto. Si un sandbox o un contenedor retiene ese derecho (por ejemplo, firejail con caps.drop, o un contenedor), la aplicación arranca igualmente y esos puertos informan de que hace falta un privilegio: elige un puerto de 1024 en adelante o el Usar el puerto … que se ofrece.
• macOS: un puerto por debajo de 1024 se abre sin permisos especiales solo con Todas las interfaces; con una sola interfaz elegida, elige un puerto por encima de 1024.
• ¿El dispositivo no llega al PC? Comprueba que están en la misma red o enrutados, que la dirección es la de la línea Este equipo y que en Interfaz de red está Todas las interfaces o la dirección correcta.

Asistente de IA (opcional)

Desde Windows 3.0 y Linux/macOS 2.0 la aplicación puede abrir un chat de IA justo al lado de la sesión: el asistente ve el mismo terminal que tú, explica la salida, investiga fallos y puede ejecutar comandos — los de solo lectura por sí mismo, y todo lo que cambie el sistema solo tras tu aprobación.

La función es estrictamente opcional. No hace nada hasta que añadas tu propia clave de API (o conectes un modelo local); todos los elementos de IA desaparecen al desmarcar una sola casilla en Settings → AI assistant, y un administrador puede desactivarla por usuario.

Activación: claves y proveedores

• Abre Settings → AI assistant y marca Enable AI assistant. El botón de IA aparecerá entonces en la barra de las sesiones SSH y WinRM (y, en Windows, RDP).
• Añade una clave: OpenAI, Google Gemini, Anthropic Claude, DeepSeek, OpenRouter, Groq, Mistral, xAI y Together vienen integrados con puntos de conexión fijos; cualquier otro servicio compatible con OpenAI se añade como proveedor Custom (OpenAI-compatible) con su propia Base URL.
• O sin clave alguna con modelos locales: Ollama, LM Studio, llama.cpp — corren en tu propia máquina y funcionan sin conexión.
• Las claves se guardan en tu base de datos, cifradas con la contraseña maestra — en modo nube el servidor solo ve texto cifrado. La clave activa está marcada con ★ y puedes cambiarla directamente en el chat.
• Control por usuario: en el editor de usuarios un administrador puede desmarcar Can use the AI assistant y la función desaparece para ese usuario en todos los dispositivos.

Ten en cuenta: una suscripción a ChatGPT o Claude no incluye acceso a la API — el asistente usa la API, que los proveedores facturan aparte. Los modelos locales no necesitan clave y no cuestan nada.

En una sesión SSH

• Los comandos que solo miran el sistema (df, ps, journalctl, cat…) pueden ejecutarse automáticamente — es el ajuste Run read-only commands without asking (un ajuste de administrador). Todo lo que pueda cambiar el sistema se explica primero y espera Run o Skip.
• Secret Shield encuentra y oculta contraseñas, claves de API, claves privadas, tokens, cookies y el contenido de .env antes de que cualquier texto salga hacia el proveedor.
• Dale material al asistente: pega una captura desde el portapapeles o adjunta logs, configuraciones y documentos. El texto se extrae para el análisis; las imágenes las aceptan todos los proveedores salvo DeepSeek, que no tiene modelos con visión.
• Find cause of error construye un diagnóstico enfocado con un clic; Create session report produce un registro copiable del problema, los comandos, los resultados y las comprobaciones finales — con los secretos detectados ocultos.
• Los cambios arriesgados tienen red de seguridad: el asistente puede guardar el estado original, mostrar el diff, aplicar, validar el resultado — y revertirlo todo con un clic si la comprobación falla. Los chats se pueden crear, renombrar, archivar, restaurar y eliminar, y el propio panel se puede fijar a una conexión; una conversación larga se compacta sin perder su resumen de trabajo.
• El terminal sigue siendo tuyo. Lo que escribes va al shell de inmediato, incluso mientras se ejecuta un comando del asistente. Una pregunta dirigida a ti — una contraseña de sudo, un sí/no — se espera (“Waiting for your input in the terminal”, sin reloj en marcha); el tiempo de espera cuenta silencio y no minutos, así que una actualización larga que sigue imprimiendo no se corta; y los programas interactivos como htop se inician y quedan en tus manos.

En una sesión RDP (aplicación de Windows)

En Windows el asistente también funciona dentro de sesiones RDP, combinando un canal persistente de PowerShell con control visual para tareas que solo existen en la GUI.

• Los comandos de PowerShell se ejecutan en una ventana de sesión visible en el escritorio remoto, y sus códigos de salida se verifican.
• El acceso a capturas de pantalla es un permiso aparte y explícito: Secret Shield protege el texto, pero no puede ocultar de forma fiable los secretos visibles dentro de una captura.
• Autopilot puede continuar por sí mismo comandos de PowerShell de solo lectura verificados localmente; los clics, la escritura, los atajos y cualquier comando desconocido siempre esperan tu aprobación.

En una sesión WinRM

El asistente funciona en pestañas WinRM como en SSH, y juzga una línea de PowerShell por las reglas del propio PowerShell: una llamada a método en cualquier punto de la línea ($_.Delete(), (Get-Service x).Stop()), un miembro estático y todo bloque de script esperan tu clic, así que Get-ChildItem | ForEach-Object { $_.Delete() } nunca se trata como un comando de lectura. Leer un archivo que puede contener secretos (los hives SAM y SECURITY, web.config, appsettings, claves, .ssh), cualquier ruta UNC y -ComputerName también preguntan, porque lo leído va al proveedor de IA junto con la salida.

Qué sale de tu equipo — y cómo apagarlo todo

• Tus mensajes y la salida de los comandos que ejecuta el asistente van desde tu dispositivo directamente al proveedor de la clave activa — o a un modelo local, y entonces nada sale de la máquina. Los servidores de BURSUcloud nunca ven ese tráfico.
• El historial de chat se guarda localmente y cifrado; la salida de los comandos no se escribe en los archivos de chat.
• No uses el asistente en servidores donde esté prohibido enviar la salida de la sesión a terceros — de eso trata precisamente el aviso de Settings.
• Para eliminar la función por completo, desmarca Enable AI assistant en Settings: desaparecen todos los botones y paneles de IA. Los administradores pueden además desactivarla para usuarios concretos.

Credenciales

Las credenciales guardadas viven separadas de las conexiones — una credencial puede vincularse a decenas de servidores, y un cambio de contraseña se hace en un solo lugar.

Cómo usarlas

1. Abre Credentials en la barra lateral → “New credential”. Completa la etiqueta visible, el usuario, la contraseña y el grupo y, si quieres, un comentario: una nota libre sobre para qué sirve la cuenta (una importación desde un gestor de contraseñas pone ahí las notas de la entrada). El comentario no se cifra, así que no guardes secretos en él.
2. En una conexión, elige esta credencial en el campo “Saved credential” — en lugar de escribir.
3. Si una credencial se elimina, las conexiones vinculadas pasan a entrada manual (la contraseña se pide al conectar).

Claves SSH como credenciales

Desde Windows 3.1 y Linux/macOS 2.1 una credencial puede ser no solo una contraseña, sino también una clave SSH: «Nueva credencial» pregunta qué tipo de registro quieres. Un registro de clave guarda la clave privada y su frase de contraseña cifradas con la contraseña maestra, junto con la clave pública y un comentario; carga la clave desde un archivo y el .pub que está a su lado se recoge automáticamente. Las carpetas, los permisos, los propietarios, las copias de seguridad y la sincronización se le aplican igual que a una contraseña.

• En una conexión, elige la clave en el mismo árbol de carpetas que cualquier credencial —las claves llevan un icono de llave; las contraseñas, un candado— y el método de autenticación se ajusta solo. La clave se usa para el servidor de destino y para cada host de salto de la cadena.
• Una clave guardada nunca se copia en la conexión: al desvincularla vuelven los campos propios de la conexión, y una clave que puedes modificar pero no ver se muestra como un campo de solo escritura, no como un campo vacío.

Generador de contraseñas integrado

Junto al campo de contraseña hay un botón de generar: elige la longitud y qué clases de caracteres incluir (mayúsculas/minúsculas, dígitos, símbolos) y suelta una contraseña aleatoria fuerte directamente en el campo — sin herramienta aparte, y el nuevo valor se guarda cifrado como cualquier otro.

Códigos de dos factores (TOTP)

Una credencial también puede contener un secreto de dos factores, de modo que el código de un solo uso vive justo al lado del inicio de sesión al que pertenece:

• Pega el secreto Base32 o un URI otpauth:// completo en el campo TOTP de la credencial (el mismo valor que guardaría el autenticador de un teléfono).
• La credencial muestra entonces un código de seis dígitos en vivo con cuenta regresiva; “Copy TOTP code” pone el código actual en el portapapeles con un solo clic — sin teléfono en la mano.
• El secreto está protegido por la bóveda de contraseña maestra exactamente igual que una contraseña, y se sincroniza de la misma forma, así que el código está disponible en todos los dispositivos donde inicies sesión.
• Estos códigos son de los servidores en los que inicias sesión. El código que protege tu propia cuenta de bursucm.com viene de la aplicación de autenticación de tu teléfono — consulta Inicio de sesión en dos pasos.

Herencia por carpeta

Una carpeta de conexiones puede tener una credencial predeterminada: cada conexión dentro que no tenga la suya usa la de la carpeta. El caso típico — un inicio de sesión de administrador para todo un rack/subred. La tarjeta de conexión muestra “Folder credential — …” cuando la herencia se aplica.

Los grupos de credenciales se pueden reordenar a mano igual que las carpetas de conexiones — pasa el cursor sobre una fila para ver las flechas (ver Tu propio orden).

Contraseña maestra y la bóveda

Los secretos guardados se cifran siempre. La única cuestión es con qué clave:

El día a día

• Al iniciar, la app pide la contraseña maestra. Puedes omitirla: conectarse sigue funcionando, pero las contraseñas guardadas quedan bloqueadas. Si una contraseña bloqueada hace falta para una conexión, la app simplemente la pide ahí mismo en lugar de fallar.
• “Remember on this computer” no guarda la contraseña en sí, sino una clave local protegida por el sistema operativo — nada que escribir al iniciar. “Forget” lo deshace.
• El estado es visible en el panel de inicio (la tarjeta de la bóveda) y en Settings. Bloqueo rápido — Ctrl+L.
• Cambiar la contraseña maestra: Settings → Security → “Change master password…” — todos los secretos se vuelven a cifrar.
• El botón Generate del diálogo de establecer/cambiar crea una contraseña aleatoria fuerte (16 caracteres, sin caracteres que se confundan entre sí) y la muestra para que puedas anotarla.
• Para una base de datos BURSUcloud la contraseña maestra también se establece directamente en la app: cada contraseña guardada se cifra en tu dispositivo antes de subirse — la contraseña maestra en sí nunca sale de tu equipo. Mientras no haya contraseña maestra establecida, la página de la base de datos en el portal muestra una advertencia roja con la misma acción y un generador de contraseñas.
• Una contraseña maestra debe tener al menos 12 caracteres — lo bastante larga para resistir intentos de adivinación sin conexión, ya que es la única clave que protege todos los secretos guardados.

Política de contraseñas

El administrador establece los requisitos para las contraseñas de los usuarios de la app: longitud mínima y clases de caracteres obligatorias (minúsculas, mayúsculas, dígitos, especiales) — Settings → Security.

Usuarios y permisos

La ventana User Management (panel de inicio → “Manage users”, o la barra lateral). El modelo de permisos es el mismo para bases de datos locales, PostgreSQL y en la nube.

Roles

Permisos por carpeta

Para cada carpeta de conexiones y grupo de credenciales — tres casillas:

• Read — ver la carpeta y conectarse;
• Edit — crear/cambiar/eliminar dentro de ella;
• Passwords — revelar las contraseñas guardadas en claro (sin este permiso conectarse sigue funcionando, pero la contraseña permanece oculta).

Una concesión sobre una carpeta cubre sus subcarpetas. La fila “All folders” es la regla predeterminada.

Desde Windows 3.1 y Linux/macOS 2.1 los permisos viven en la pestaña Access permissions de la ventana de usuario (junto a General) como un único árbol de carpetas en lugar de dos tablas: alterna entre carpetas de conexiones y de credenciales, pliégalo, busca por la ruta completa, muestra Only granted, expande o contrae todo y consulta el contador. La fila All folders marca y bloquea las filas de debajo: un permiso concedido para todo no puede retirarse carpeta por carpeta. El árbol incluye todas las carpetas que muestra la ventana principal, las carpetas de ejemplo incluidas.

Cuando una conexión compartida cambia de destino

En una base de datos BURSUcloud varias personas editan un mismo catálogo, y el permiso Edit no incluye Passwords. Quien puede cambiar una conexión pero no ver su contraseña podría apuntarla a una máquina suya y esperar a que te conectes con el secreto guardado. Por eso la app recuerda — en este equipo, nunca en la base de datos compartida — adónde fue cada conexión la última vez que te conectaste: host y puerto, la credencial vinculada, el jump host, el RD Gateway y el tipo de conexión. La primera conexión se recuerda en silencio. Si algo de esto ha cambiado desde entonces, antes de conectar aparece Routing changed — «This connection no longer goes where it did» — con Previously connected to y Now points to lado a lado. Cancel no envía nada y conserva la ruta anterior; Connect anyway acepta la nueva. Si el cambio lo hiciste tú, basta con confirmarlo. La misma pregunta se hace para un jump host del camino y antes de que Get MAC inicie sesión por SSH.

Una base de datos local y tu propio servidor PostgreSQL no se comprueban: no hay un tercero entre tú y el catálogo. La comprobación está en la app de Windows y, desde la 2.8.1, en la app de Linux y macOS; el RD Gateway y el tipo de conexión se comparan desde Windows 3.8.1 y Linux y macOS 2.8.1. Es un aviso, no un cifrado: léelo antes de pulsar el botón. Desde Windows 5.0.2 y Linux & macOS 3.0.2 también se comparan los interruptores de seguridad — “Proceed past certificate errors” y HTTP simple en WinRM, FTP sin TLS, certificados ignorados en una pestaña web, cifrado apagado en VNC —, así que cambiar cualquiera de ellos en una fila compartida hace la misma pregunta.

Usuarios en modo nube

Para una base de datos BURSUcloud, la ventana Users lista dos tipos de entradas:

• Ambos tipos llevan los mismos permisos por carpeta (leer/editar/contraseñas) y el permiso de snippets. Pueden gestionarse tanto desde la app como en el portal — es una y la misma base de datos.
• Los usuarios de base de datos se almacenan dentro de la propia base de datos del cliente, así que una copia de seguridad completa o un volcado SQL los traslada junto con el catálogo, y un cambio del identificador (handle) de la base de datos se aplica al instante.
• El propietario de la base de datos (la cuenta que la creó en el portal) es siempre administrador: no puede ser degradado ni eliminado — la base de datos nunca se queda sin administrador. Las bases de datos locales aplican la misma regla al último administrador.

Grupos de usuarios

La ventana «User Management» tiene una segunda lista, User groups. Un grupo es un conjunto con nombre de permisos por carpeta (más el permiso de snippets) que cada miembro hereda además de los suyos. Añade personas a grupos en lugar de repetir los mismos permisos en cada cuenta, por ejemplo un grupo «Linux Admins» con lectura / edición / contraseñas en la carpeta Linux.

• Los permisos se suman. Los permisos efectivos de un usuario son sus propias concesiones más las de cada grupo. Un grupo nunca quita un permiso y nunca otorga el rol de administrador ni el indicador del asistente de IA: esos se quedan en el usuario.
• Los permisos heredados son visibles. En la pestaña Access permissions del usuario, las carpetas concedidas por un grupo aparecen como marcas verdes, bloqueadas, mientras los permisos propios de la cuenta conservan el color normal; las verdes se cambian en el grupo. La lista Groups de la pestaña «General» indica en qué grupos está la cuenta.
• Los grupos se guardan junto a los usuarios —en la base de datos local, en tu base de datos PostgreSQL o dentro de la base de datos de cliente de BURSUcloud—, así que las copias de seguridad, las instantáneas y los volcados SQL los llevan consigo. En modo nube tanto los usuarios de la base de datos como los miembros del portal pueden incluirse en un grupo, desde la aplicación o en el portal.
• Eliminar un grupo deja a sus miembros solo con los permisos concedidos directamente. Los cambios se aplican en el siguiente inicio de sesión para una base de datos local y en la siguiente actualización del catálogo para una en la nube.

Tus ajustes en este equipo

Todo lo que la aplicación guarda fuera de la base de datos y que es tuyo — ajustes, claves de host y certificados de confianza, registros y transcripciones de sesión, la caché sin conexión, los chats de IA, las cookies de las pestañas web, la contraseña maestra recordada — vive en una carpeta propia en cada equipo (Users\<nombre>-<id> dentro de la carpeta de datos de la aplicación). La aplicación cambia a ella en cuanto inicias sesión.

• Cada cuenta tiene sus propios ajustes. Dos personas en el mismo equipo no ven el tema, las decisiones de confianza ni los registros de la otra, y quien vuelve encuentra todo como lo dejó. No se borra nada cuando inicia sesión otra persona.
• Todas las pestañas de ajustes están abiertas a cualquier usuario. SSH, RDP, VNC, WinRM, Logs y las demás son tuyas. Solo lo que describe la base de datos compartida queda para los administradores: cambiar de base de datos, importar / exportar, la contraseña maestra, la política de contraseñas, usuarios y grupos.
• Datos locales. En User Management un administrador puede eliminar de este equipo la carpeta de otra cuenta con el botón Delete local data…; la cuenta y la base de datos se conservan. La carpeta de la cuenta con la que se ha iniciado sesión no puede eliminarse mientras está en uso.

BURSUcloud

BURSUcloud es la nube opcional que sincroniza tu catálogo entre dispositivos y un equipo. El mismo catálogo está disponible desde la app de Windows, la app de Linux/macOS, el portal web, Android e iOS/iPadOS.

Crear una cuenta

1. Abre bursucm.com/register. Cinco vías: correo + contraseña (8 caracteres como mínimo) o “Continuar con Google”, Microsoft, Apple o GitHub (funcionan tanto las cuentas personales como las de trabajo).
2. Con el registro por correo llega un enlace de confirmación — es válido durante 24 horas. ¿No llegó nada? Revisa el spam o haz clic en “Reenviar enlace” en la página de inicio de sesión.
3. Tras confirmar, inicia sesión — aterrizas en “Mis bases de datos”.

Crear una base de datos en la nube

1. Haz clic en “+ Nueva base de datos”.
2. Nombre — cómo aparece la base de datos en las listas (p. ej. “Infraestructura prod”).
3. Identificador (handle) — un id corto único de letras, dígitos y guiones. Se convierte en parte de los inicios de sesión de los usuarios de la base de datos: name@handle. Déjalo en blanco para autogenerarlo; puedes cambiarlo después, pero eso actualiza los inicios de sesión de los usuarios.
4. Contraseña maestra (opcional) — puedes establecerla de inmediato para cifrar las contraseñas de conexión. Sin ella la base de datos funciona sin cifrar; establécela más tarde en los Ajustes de la base de datos o desde la app.

Conectar la app a la nube

1. En la app: elige BURSUcloud en la pantalla del primer inicio o, si la app ya abre otra base de datos, cierra sesión e inicia sesión en BURSUcloud en la pantalla de inicio de sesión (Settings → Database no puede cambiar a la nube).
2. Inicia sesión con tu correo y contraseña del portal — o con Google, Microsoft, Apple o GitHub (se abre un navegador; la app detecta el inicio de sesión automáticamente).
3. Si tu cuenta tiene activado el inicio de sesión en dos pasos, la app pide el código de 6 dígitos (o un código de recuperación) en su propia ventana justo después de la contraseña. Iniciar sesión con Google, Microsoft, Apple o GitHub no lo pide.
4. Elige una base de datos de la lista (“Refresh databases” la vuelve a leer) → “Use selected”.
5. Si la base de datos tiene contraseña maestra, la app la pide y ofrece recordarla en este equipo (se guarda una clave protegida localmente, no la contraseña en sí).

Qué se sincroniza

Conexiones y carpetas (incluido el orden de carpetas, tu orden manual de elementos y el estado contraído), credenciales, snippets, usuarios y permisos, las opciones SSH, WinRM, RDP, VNC y Apple Remote Desktop de cada conexión (incluidos hosts de salto, túneles y el agente BURSUlink por el que pasa una conexión). Las preferencias propias de la app (tema, idioma, atajos) permanecen locales.

El modelo de seguridad

• Cada base de datos es una base de datos PostgreSQL separada; el SGBD no es alcanzable desde internet — solo el propio portal, en el servidor, se comunica con él.
• Los clientes usan la API HTTPS con tokens: un token vive 30 días, renovándose con el uso (tope máximo de 90 días), como máximo 10 tokens activos por cuenta, y volver a iniciar sesión revoca el token anterior.
• Las contraseñas de conexión se cifran con la contraseña maestra en tu dispositivo; el servidor solo almacena y retransmite texto cifrado (conocimiento cero). Por eso una contraseña maestra olvidada no puede recuperarse ni siquiera por el soporte.
• Un inicio de sesión desde una dirección IP nueva dispara una notificación por correo; también un cambio de contraseña.
• La propia cuenta puede protegerse con el inicio de sesión en dos pasos: un código de una aplicación de autenticación tras la contraseña, con diez códigos de recuperación de un solo uso.

Trabajar sin conexión

Cuando la red se cae — o la propia base de datos deja de estar disponible — la app sigue funcionando desde una copia local cifrada de tu catálogo. Puedes explorar y editar conexiones y credenciales, e incluso arrancar la app sin conexión alguna. Una barra de estado muestra la situación: rojo mientras estás sin conexión (con un contador de cambios sin sincronizar y un botón “Retry”), ámbar durante la sincronización, verde “Synchronized” por un momento al terminar.

Los cambios hechos sin conexión se ponen en cola y se suben automáticamente en cuanto la base de datos vuelve a estar disponible. Si el mismo elemento cambió tanto en tu dispositivo como en el servidor, una ventana de conflicto muestra las dos versiones lado a lado y te deja conservar cualquiera de las dos (las contraseñas nunca se muestran ahí). La disponibilidad se detecta haciendo ping a la propia base de datos, así que un servidor caído se nota incluso con internet funcionando. Esto vale tanto para BURSUcloud como para una base de datos PostgreSQL directa — para PostgreSQL se mantiene un espejo local actualizado en tu equipo.

BURSUlink: un equipo detrás de un NAT

Un PC doméstico detrás de un router, un portátil con conexión móvil, un servidor en una oficina sin dirección pública: BURSUlink llega a ellos sin reenvío de puertos, sin IP pública y sin VPN. Un pequeño agente en ese equipo mantiene una única conexión saliente con el servidor de retransmisión BURSUlink más cercano. Cuando abres una conexión, bursucm.com firma un pase para ella —un agente, un dispositivo, una conexión, dos minutos— y la sesión llega hasta el agente: directamente a través del NAT cuando los routers lo permiten, por el servidor de retransmisión si no. El tráfico va cifrado de extremo a extremo entre tu dispositivo y el agente; un servidor de retransmisión reenvía paquetes que no puede leer. BURSUlink forma parte de BURSUcloud sin coste: el agente se vincula a una base de datos de BURSUcloud, y los miembros de la base de datos se conectan a través de él. Las descargas y la explicación completa están en bursucm.com/bursulink; este capítulo es la parte práctica.

Vincular un equipo

1. En bursucm.com abre la base de datos, luego la pestaña BURSUlink, y pulsa Añadir agente: ponle nombre, elige el modo (siguiente apartado) y copia el código de un solo uso. Es válido durante 15 minutos.
2. Instala el agente en el equipo al que quieres llegar, no en el equipo desde el que te conectas. Windows: un solo instalador para x64 y ARM64; instala el servicio y el icono de estado tras un único consentimiento de administrador. macOS: una sola imagen para Intel y Apple Silicon: arrastra BURSUlink a Aplicaciones, inícialo y pulsa Install en la pestaña Service. Linux: los paquetes de los mismos repositorios que BURSUcm (se configuran una vez); los servidores ARM64 reciben solo el servicio (.deb, .rpm), y el paquete de Arch es solo para x86-64. Un único comando como root lo hace todo: curl -fsSL https://bursucm.com/downloads/bursulink.sh | sudo sh añade el repositorio, instala el agente, pide el código, vincula el equipo con él e inicia el servicio. En un equipo con escritorio instala también la ventana y el icono de estado; en un servidor, en ARM64 y donde ningún repositorio ofrece WebKitGTK 4.1 (RHEL, Rocky y AlmaLinux 9) instala el agente de consola —solo el servicio— y dice cuál eligió y por qué. Se necesita glibc 2.34 o posterior (Ubuntu 22.04+, Debian 12+, RHEL 9+, Fedora, Arch); un sistema más antiguo se rechaza antes de cambiar nada. Sin terminal, como root: curl -fsSL https://bursucm.com/downloads/bursulink.sh | BURSULINK_CODE=CÓDIGO sh. El código nunca aparece en una línea de comandos, donde otros usuarios del servidor podrían leerlo.
3. En la ventana del agente pulsa Link this computer y pega el código, o inicia sesión allí con tu cuenta del portal y elige la base de datos (a una cuenta con inicio de sesión en dos pasos se le pide su código una vez, agente 1.0.1). El equipo aparece en la pestaña BURSUlink en segundos, con su modo, versión, último contacto y si está en línea.

El agente se ejecuta como servicio de Windows, unidad de systemd o LaunchDaemon de macOS: arranca con el sistema, antes de que nadie inicie sesión, y no necesita ventana. Solo conecta hacia fuera —443/tcp y 7842/udp—, así que nada cambia en el router ni en el cortafuegos. El mismo equipo puede vincularse a hasta ocho bases de datos; cada vínculo tiene su propia clave, y eliminar uno no afecta a nada más.

Dos modos

Conectar a través de un agente

En la ventana de la conexión, en modo BURSUcloud, el campo BURSUlink connection encima del host y el puerto ofrece Direct o Through BURSUlink con el nombre del agente; solo se muestra para los tipos que el túnel transporta. La conexión conserva su nombre de host real —la clave de host SSH y el certificado RDP se comprueban contra él como siempre— y muestra una marca BURSUlink en el árbol y el nombre del agente en su tarjeta. Puede usarla cualquier miembro de la base de datos que pueda abrir la conexión: los derechos por carpeta y los grupos de usuarios se aplican exactamente igual que en una conexión directa, y una cuenta con inicio de sesión en dos pasos debe haber iniciado sesión con el código; si no, la app ofrece iniciar sesión de nuevo.

• Protocolos: SSH, SFTP, Telnet, RDP, VNC, WinRM, Apple Remote Desktop, páginas web y FTP/FTPS pasan por el agente. Una página web se abre en su propio perfil de navegador, para que ni las direcciones locales ni WebRTC puedan esquivar el agente; cada canal de datos FTP también va por el túnel. El modo High Performance de Apple envía su imagen y su sonido por UDP a través del agente; mediante un servidor de retransmisión, solo cuando el interruptor Permitir High Performance a través de un relay del agente en el portal está activado; si no, la sesión se abre en el modo estándar y explica por qué. No pasa por él: Serial. RDP a través del agente usa el motor BURSUrdp, y Open with Remote Desktop no puede pasar por él.
• Redirecciones de RDP: cuando el servidor pasa la sesión a otra dirección (como hace un RD Connection Broker), RDP a través del agente se queda en el túnel —o se detiene y explica por qué— en lugar de conectarse directamente a esa dirección, y una cadena de redirecciones termina tras cuatro saltos. El motor BURSUrdp hace lo mismo con RDP a través de un reenvío de puertos SSH. Windows desde 5.2.1; Linux y macOS desde 3.2.1.
• Una ruta por conexión: un agente sustituye a un host de salto y a un RD Gateway. Guardar una conexión con un agente los elimina, y la ventana lo avisa antes; un host de salto que a su vez pasa por un agente se rechaza; si una conexión ya lo tiene, sus SSH options lo muestran por su nombre, marcado “· BURSUlink”, y dicen por qué no se puede usar.
• Lo que te dice la app: un agente sin conexión se nombra con la hora de su último contacto; un agente eliminado en el portal aparece en la ventana de la conexión como removed agent: elige otro; “did not answer” significa que el agente no aceptó el pase en sus dos minutos, o que ningún servidor de retransmisión llega hasta él.
• Un agente distinto en una conexión compartida forma parte de la comprobación de cambio de destino: el agente transmite todo lo que la conexión envía.
• Dónde: la app de Windows desde 5.2.0; la app de Linux y macOS desde 3.2.1; usa 3.2.5 o posterior, porque 3.2.3 rechazaba RDP y SSH a través de un agente. Las páginas web, FTP y High Performance a través de un agente necesitan el agente 1.0.0 con Windows 5.2.2 o Linux y macOS 3.2.3 o posterior. Cuando el agente se ejecuta en el propio equipo de destino, el árbol, la tarjeta y la pestaña muestran el nombre del agente en lugar del host guardado, y la búsqueda encuentra la conexión por ese nombre. Las apps de Android e iOS todavía no se conectan a través de un agente.

Para detener un agente, elimínalo en la pestaña BURSUlink: sus pases dejan de valer al instante, y él mismo se borra la próxima vez que se conecta. Desinstalar BURSUlink en el equipo también elimina el agente del portal.

El portal web: guía completa

El portal en bursucm.com es el centro de control en el navegador para las bases de datos en la nube. Lo que cambies en el portal es visible de inmediato para las apps, y viceversa.

Mis bases de datos

La sección Bases de datos lista tus bases de datos en las columnas Nombre, Base de datos (el nombre propio de la base de datos PostgreSQL), Rol (owner, propietario, o member, miembro de la base de datos de otra persona), Estado y Creado. Gestionar abre la consola de la base de datos con sus pestañas.

La pestaña Conexiones

• El mismo árbol de carpetas que en la app: expandir/contraer (más “expandir todo / contraer todo”), recuento de conexiones por carpeta.
• Reordenar: flechas ↑ ↓ en cada carpeta y en cada conexión — la página reordena al instante, sin recargar, y el resultado es el mismo orden que muestran tus apps.
• Añadir: “+ Añadir conexión” — un asistente de tres pasos: carpeta → detalles (tipo, nombre, host, puerto, usuario) → contraseña. Carpetas nuevas mediante “+ Nueva carpeta” o directamente dentro del asistente.
• Editar / eliminar / mover — los botones Editar/Eliminar en la fila de una conexión; una carpeta vacía puede eliminarse; una que aún contiene conexiones o subcarpetas, no. La ventana de edición también fija la ruta de BURSUlink: directa o a través de un agente de la base de datos (ver BURSUlink). Si la conexión se cambió en una app o en otra pestaña mientras la ventana estaba abierta, no se sobrescribe nada: el guardado se rechaza y la ventana se abre de nuevo con la versión actual.
• Revelar contraseñas: el campo “Contraseña maestra” arriba con “Desbloquear y mostrar”. Las contraseñas se descifran en el servidor, solo para la vista actual de la página: la contraseña maestra viaja con la solicitud por HTTPS y no se guarda. Las apps nunca la envían: allí las contraseñas se descifran en tu dispositivo. Al editar una conexión, el cuadro muestra la contraseña propia de la conexión cuando puede revelarse; queda vacío si la contraseña viene de una credencial vinculada o si no puedes verla — entonces “déjalo en blanco para mantener la contraseña actual”.

La pestaña Credenciales

Las mismas credenciales guardadas que en la app, agrupadas, con el mismo reordenamiento ↑ ↓ en las filas. Añadir y editar funciona como con las conexiones (etiqueta, usuario, contraseña, grupo); la credencial predeterminada de una carpeta de conexiones —la que heredan sus conexiones sin inicio de sesión propio— se elige en la ventana de edición de la carpeta, y una llave en la carpeta lo indica.

La pestaña Fragmentos

• La biblioteca compartida como tabla: nombre, comando, grupo. “+ Añadir fragmento” / Editar / Eliminar.
• Los {placeholders} se comportan exactamente como en la app: los valores se piden al enviar desde un terminal.
• La pestaña es visible para el propietario, los administradores y los usuarios con el permiso de snippets.

La pestaña Usuarios y acceso

Dos listas:

• Ambos se editan con un asistente por pasos: paso 1 — rol (admin = acceso total) y banderas globales (editar, revelar contraseñas, snippets); paso 2 — permisos de conexión por carpeta (ver/editar/revelar); paso 3 — acceso a los grupos de credenciales.
• Para los usuarios de base de datos, la columna Sesiones muestra el número de dispositivos activos: haz clic para abrir la lista (dispositivo, IP, último uso, expiración) con botones por token y de revocar todo.
• El propietario de la base de datos no puede ser eliminado ni degradado — la base de datos siempre conserva un administrador.

Una tercera tarjeta, Grupos de usuarios, contiene conjuntos de permisos que heredan los usuarios de la base de datos y los miembros (véase Grupos de usuarios). Su asistente tiene cuatro pasos: grupo (nombre, descripción, permiso de snippets), carpetas de conexiones, grupos de credenciales, miembros. Los asistentes de usuario y de miembro ofrecen los grupos en su primer paso, y ambas listas muestran una columna Grupos.

La pestaña BURSUlink

Solo para el propietario. Enumera los equipos vinculados a la base de datos —nombre, modo, versión, último contacto, en línea o no— y los códigos de un solo uso que todavía esperan a un agente, cada uno con su cuenta atrás. Añadir agente crea un código (válido 15 minutos; Nuevo código renueva uno caducado, Cancelar lo retira), editar renombra un agente o cambia su modo y su lista de permitidos, y eliminar lo deja fuera al instante. El procedimiento completo está en BURSUlink.

La pestaña Ajustes

• Nombre e identificador (handle). Cambiar el identificador actualiza al instante el inicio de sesión de cada usuario de la base de datos — avisa a tu equipo.
• Contraseña maestra: establecer o cambiar (se requiere la actual). Establecerla vuelve a cifrar las contraseñas de la base de datos.
• Exportar .sql — un volcado completo como archivo; Importar .sql — sube un volcado (la casilla “Reemplazar el esquema public antes de importar” vacía primero la base de datos). Los volcados contienen datos — mantenlos en privado.
• Zona de peligro: eliminación permanente de la base de datos con todos sus datos.

Importación y exportación en el portal

La misma importación y exportación de las apps de escritorio también vive en el portal — mueve conexiones entre la app, el portal y otras herramientas con un único archivo de copia de seguridad portátil (ver Importar desde otras herramientas y Exportación y copias de seguridad). KeePass, 1Password y Bitwarden / Vaultwarden también se importan aquí, y se leen en tu navegador: ni el archivo ni su contraseña se envían al servidor. Las entradas leídas de él van al servidor por HTTPS para la revisión, donde eliges cuáles importar.

Perfil y dispositivos

• Perfil — nombre y apellido, apodo, idioma del portal, cambio de contraseña — y la tarjeta de métodos de inicio de sesión: todas las vías de entrada a tu cuenta (contraseña, Google, Microsoft, Apple, GitHub), vincular un proveedor nuevo, desvincular uno o establecer una contraseña para una cuenta creada mediante un proveedor. La tarjeta nunca deja quitar la última vía de entrada que queda.
• Dispositivos conectados — cada app con sesión iniciada en tu cuenta: nombre del dispositivo, IP, último uso, expiración. Revocar cierra la sesión de un dispositivo, “Cerrar sesión en todos” — de todos: cada app pedirá iniciar sesión de nuevo. Úsalo si pierdes un dispositivo.
• Autenticación de dos factores — un código de una aplicación de autenticación además de la contraseña, con códigos de recuperación por si pierdes el teléfono; consulta Inicio de sesión en dos pasos.
• Eliminar la cuenta — borra la cuenta y todas las bases de datos que posee, tras tu contraseña actual. Las apps de Android e iOS tienen el mismo botón en sus ajustes.

Descargas y estado

• /download — instaladores y paquetes para todas las plataformas, sumas de verificación SHA-256, comandos de configuración de repositorios, el registro de cambios completo en 8 idiomas.
• /status — comprobaciones en vivo del portal, la API, PostgreSQL y el correo + incidentes recientes.

Inicio de sesión en dos pasos para tu cuenta de bursucm.com

Desde octubre de 2026, una cuenta de bursucm.com que inicia sesión con contraseña puede pedir además una segunda prueba: un código de 6 dígitos de una aplicación de autenticación en tu teléfono. Quien conozca la contraseña sigue sin poder abrir la cuenta — ni sus bases de datos, ni sus usuarios, ni los dispositivos conectados a ella. Está desactivado hasta que tú lo activas; nadie está obligado a usarlo, tampoco los administradores ni los propietarios de bases de datos.

Cómo activarlo

1. En bursucm.com abre Perfil. La tarjeta Autenticación de dos factores indica que está desactivada: pulsa Activar, escribe tu Contraseña actual y pulsa Continuar.
2. Configura tu aplicación de autenticación: escanea el código QR con Google Authenticator, Microsoft Authenticator, 1Password o cualquier otra aplicación de autenticación. ¿No puedes escanearlo? La ventana también muestra la clave como texto: introdúcela a mano en la aplicación. La nueva entrada se llama BURSUcloud, con tu correo al lado.
3. Introduce el código de 6 dígitos que muestra la aplicación y pulsa Activar. La configuración espera 10 minutos; después, vuelve a empezar con Activar. Si el código no se acepta, comprueba que la hora del teléfono se ajusta automáticamente.
4. Aparecen Tus códigos de recuperación: diez códigos como abcde-fghij. Cada uno sirve una sola vez y solo se muestran ahora. Pulsa Copiar códigos, guárdalos en un lugar seguro y lejos del teléfono — un gestor de contraseñas o una hoja impresa — y pulsa Ya los he guardado.

Al activarlo se cierra la sesión de todos los demás navegadores y dispositivos de la cuenta, así que cada app te pedirá iniciar sesión de nuevo, esta vez con el código. Un correo confirma el cambio.

Iniciar sesión con el código

• En el sitio web: tras la contraseña, la página Autenticación de dos factores pide el Código → Verificar. La página espera 10 minutos y admite cinco códigos erróneos; diez códigos erróneos en una hora bloquean la entrada de códigos de la cuenta durante una hora.
• En las apps — Windows 5.1.5, Linux y macOS 3.1.5, Android 2.0.1, iOS/iPadOS 2.0.1 y posteriores: escribe el correo y la contraseña como siempre y la app abre su propia ventana Two-factor authentication con un solo campo. Escribe el código de 6 dígitos — o un código de recuperación — y pulsa Sign in. Si el código es incorrecto o ha caducado, la misma ventana lo dice y simplemente escribes el siguiente; tras demasiados intentos, la ventana te pide esperar unos minutos. Cancel vuelve al formulario de inicio de sesión y olvida la contraseña escrita.
• Las versiones antiguas de las apps no pueden iniciar sesión en una cuenta así con la contraseña: actualiza la app o inicia sesión con una cuenta vinculada de Google, Microsoft, Apple o GitHub.
• Sin conexión: las apps de escritorio ya no abren sin conexión una cuenta con dos pasos solo con la contraseña. Una app que ya tiene la sesión iniciada sigue funcionando sin conexión con su copia guardada del catálogo, como antes.
• Los usuarios de base de datos (inicios de sesión como name@handle) no se ven afectados: el inicio de sesión en dos pasos es de las cuentas de bursucm.com.

Google, Microsoft, Apple y GitHub

Iniciar sesión con un proveedor no pide el código: se confía en el inicio de sesión del proveedor, con su propio segundo factor si lo activaste allí. En cambio, vincular un proveedor nuevo a una cuenta con dos pasos sí pide un código (o un código de recuperación), para que quien haya entrado en tu correo no pueda añadir su propia cuenta de proveedor. La tarjeta solo aparece para cuentas que pueden iniciar sesión con contraseña; una cuenta creada mediante un proveedor primero define una contraseña en la tarjeta de métodos de inicio de sesión de la misma página.

Códigos de recuperación, desactivarlo, teléfono perdido

• Cuántos quedan: la tarjeta indica «Activada — quedan N códigos de recuperación» y avisa cuando quedan tres o menos. Un código de recuperación se escribe en el mismo campo que el código de la aplicación — en el sitio web y en cada app — y se gasta al aceptarse.
• Nuevos códigos de recuperación: tu contraseña y un código de la aplicación (o un código de recuperación) dan diez códigos nuevos; todos los anteriores dejan de funcionar.
• Desactivar: tu contraseña y un código (o un código de recuperación). Se cierra la sesión de todos los demás dispositivos y un correo lo confirma.
• Teléfono perdido o cambiado: inicia sesión con un código de recuperación y luego desactiva y vuelve a activar la protección para pasarla al teléfono nuevo. Restablecer la contraseña no desactiva el inicio de sesión en dos pasos.
• Perdiste el teléfono y los códigos: la página del código tiene un enlace al soporte. Una vez confirmado quién lo pide, un administrador de BURSUcloud puede restablecer el inicio de sesión en dos pasos de la cuenta; recibirás un correo al respecto y se cerrará la sesión de todos los demás dispositivos.

La app para Linux y macOS

BURSUcm para Linux y macOS es el mismo gestor de conexiones, compilado para esos sistemas desde una sola base de código. Si conoces la app de Windows, ya conoces esta: el mismo catálogo, los mismos modos de almacenamiento (local, PostgreSQL, BURSUcloud), las mismas funciones SSH, credenciales, bóveda, usuarios, snippets, vista dividida y broadcast. Este capítulo cubre lo que le es específico.

Qué cambia respecto a la app de Windows

Cómo orientarse

• La barra lateral alterna entre Connections y Credentials; las carpetas se expanden en su lugar, y al pasar el cursor por cualquier fila aparecen las flechas de reordenar ↑ ↓ (ver Tu propio orden).
• Quick connect está en la parte superior de la barra lateral: elige un protocolo, escribe user@host:port, pulsa Enter — una sesión puntual sin tocar el catálogo.
• La pestaña Home muestra el mismo panel (franja de estado, recientes, favoritos y última sesión, chips de etiquetas); los colores de etiquetas, los puntos de sesión, la paleta de comandos (Ctrl+K) y las pestañas a la izquierda funcionan como se describe en Home, etiquetas y la paleta de comandos. Las pestañas de sesión, la vista dividida, el broadcast y los modos de ventana completa y pantalla completa se comportan como se describe en los capítulos comunes.
• Temas claro y oscuro, y los mismos ocho idiomas de interfaz (inglés, alemán, español, portugués de Brasil y de Portugal, ruso, ucraniano, georgiano) — en Settings; los cuatro nuevos desde 3.2.1. En el primer arranque la app se abre en el idioma del sistema si es uno de los ocho.

Iniciar sesión

El inicio de sesión en la nube ofrece el conjunto completo: correo/contraseña, Google, Microsoft, Apple, GitHub o un inicio de sesión de usuario de base de datos (name@handle). Los inicios de sesión por navegador abren tu navegador predeterminado y vuelven a la app automáticamente. Si la cuenta tiene activado el inicio de sesión en dos pasos, una ventana Two-factor authentication pide el código justo después de la contraseña; los inicios de sesión con proveedores no lo piden.

App para Android

Instálala desde Google Play — o como APK directo desde la página de descargas. Es un cliente para el catálogo en la nube: inicia sesión con la misma cuenta — correo/contraseña (más el código de dos pasos si lo tienes activado), Google, Microsoft, Apple o GitHub, o un usuario de base de datos name@handle — y obtienes las mismas carpetas y conexiones, en el mismo orden que organizaste en el escritorio. La versión 2.0 (octubre de 2026) la acercó al escritorio:

• Sesiones: terminales SSH y Telnet, RDP y VNC integrados, y AppleRD a un Mac, con vídeo y sonido High Performance; una conexión Web se abre en el navegador del sistema. Las sesiones — transferencias de archivos y escritorios remotos incluidos — siguen funcionando con la app en segundo plano; hasta 5 a la vez por defecto (de 1 a 20 en los ajustes).
• Escritorios remotos: puntero tipo trackpad o toque directo, una fila de teclas con Esc, Tab, Win y Ctrl+Alt+Supr, y al girar el teléfono el escritorio adapta la resolución sin reconectar. RDP pasa por la RD Gateway definida en el escritorio. No hay en el teléfono: portapapeles compartido en RDP y VNC, ni sonido de RDP.
• SSH: hosts de salto, reenvíos de puertos locales (-L) y remotos (-R), tmux, claves Ed25519 y la opción de conexión Send LANG=en_US.UTF-8. Un reenvío dinámico (-D) se conserva en la conexión, pero solo arranca en el escritorio.
• Terminal: los esquemas de color y el tamaño de letra del escritorio, Find en la salida, registros de sesión con Share output, los snippets de la base de datos — enviados con un toque, añadidos y editados aquí —, una fila de teclas con Ctrl, Alt, Esc, Tab, flechas, Inicio/Fin, RePág/AvPág y F1–F12, y una pregunta antes de ejecutar un pegado de varias líneas.
• Archivos (SFTP y FTP): selecciona varios elementos para descargarlos, moverlos o borrarlos a la vez; descarga o borra una carpeta entera; ve y edita un archivo de texto en el servidor; ordena por nombre, tamaño o fecha y muestra los archivos ocultos; renombra, crea carpetas y (SFTP) cambia permisos. Las subidas van de archivo en archivo.
• Catálogo: Favoritos y Recientes, etiquetas, Quick Connect y Copy As; carpetas con nueva subcarpeta, renombrar, mover, borrar y la credencial por defecto de la carpeta; tu orden manual, cambiado con el tirador de arrastre de cada fila; Wake on LAN desde el menú de la fila; “Last used by …” en la tarjeta de la conexión. La búsqueda despliega las carpetas con coincidencias.
• Credenciales: registros de usuario/contraseña y de clave SSH, códigos TOTP en vivo a partir del secreto de dos factores de un registro, un generador de contraseñas y una clave privada importada desde un archivo.
• Sin conexión: los cambios hechos sin conexión se guardan en el teléfono y se envían cuando el portal vuelve; una franja sobre el catálogo muestra el estado, y una ventana de conflictos te deja quedarte con cualquiera de las dos versiones, como en las apps de escritorio.
• Tabletas y tema: un diseño de dos paneles con el catálogo a la izquierda y un panel de bienvenida con acciones rápidas y cifras en vivo a la derecha — un botón Inicio siempre te devuelve a él. El tema sigue el modo claro/oscuro del sistema o se fija en los ajustes.
• Desbloqueo y bloqueo: con huella (o el PIN del dispositivo) — la clave de la bóveda está protegida por una clave del Android Keystore que no puede usarse sin una comprobación correcta; Lock App on Start la pide al arrancar. La bóveda se bloquea tras 5 minutos en segundo plano y tras 10 minutos de inactividad.
• Privacidad: Block screenshots (desactivado por defecto) oculta las pantallas sensibles en capturas y en la duplicación de pantalla; Clear clipboard vacía un secreto copiado tras el tiempo que elijas; el certificate pinning solo acepta el certificado auténtico de bursucm.com; y volver a iniciar sesión revoca la sesión anterior, así que la lista «Dispositivos conectados» del portal siempre es fiel.
• Tu cuenta: Settings → Delete account elimina tu cuenta de bursucm.com con todas las bases de datos que posee tras una sola confirmación (Delete account permanently), y se lleva consigo los registros de sesión y de fallos de este teléfono. Report a problem envía un informe desde la app; nada sale sin tu toque.
• No disponible en Android: abrir conexiones WinRM (se pueden crear y editar aquí, y la tarjeta copia host, usuario y contraseña) y puertos serie, el asistente de IA, la vista dividida y la difusión de entrada, usuarios y permisos, Get MAC y la reconexión automática: una sesión caída se vuelve a abrir a mano. La importación solo lee el propio archivo de exportación de la app, que no lleva contraseñas.

App para iOS y iPadOS

BURSUcm para iPhone y iPad es una sola app universal, gratuita en la App Store, para iOS y iPadOS 17 o posterior. Inicia sesión con la misma cuenta — correo/contraseña (más el código de dos pasos si lo tienes activado), Google, Microsoft, Apple o GitHub, o un usuario de base de datos — y se abre el mismo catálogo: las mismas carpetas y conexiones, en el orden en que las organizaste, con cada contraseña descifrada solo en el dispositivo. La versión 2.0 (octubre de 2026) la acercó al escritorio:

• Sesiones: terminales SSH y Telnet, SFTP y FTP, RDP y VNC integrados, y AppleRD a un Mac — con vídeo y sonido High Performance, y la pantalla virtual del Mac girando con el dispositivo; una conexión Web se abre en el navegador predeterminado. Una sesión activa pide a iOS el medio minuto extra que permite al cambiar de app, así que una transferencia o un comando en curso no se corta en cuanto miras a otro lado.
• Escritorios remotos: gestos (toque = clic, toque con dos dedos = clic derecho, dos dedos = desplazamiento, doble toque y arrastre = arrastrar) y un panel flotante con Esc, Tab, Supr, flechas, teclas de función y Ctrl+Alt+Supr. RDP pasa por la RD Gateway definida en el escritorio. No hay en el dispositivo: portapapeles compartido en RDP y VNC, ni sonido de RDP.
• SSH: hosts de salto, reenvíos de puertos locales (-L) y remotos (-R), tmux y la opción de conexión Send LANG=en_US.UTF-8. Un reenvío dinámico (-D) se conserva en la conexión, pero solo arranca en el escritorio.
• Terminal: dos filas de teclas adicionales sobre el teclado en pantalla — Ctrl, Esc, Tab, ^C, símbolos habituales y Pegar; F1–F12, Inicio/Fin, RePág/AvPág y las flechas —, para que htop, mc y otras TUI sean usables en un teléfono, mientras un teclado físico pasa sus modificadores directamente. Los esquemas de color y el tamaño de letra del escritorio, Find, registros de sesión con Share output, los snippets de la base de datos (enviados con un toque, añadidos y editados aquí) y un pegado seguro: los caracteres de control se eliminan y un pegado de varias líneas pregunta antes.
• Archivos (SFTP y FTP): selecciona varios elementos para descargarlos, moverlos o borrarlos a la vez; descarga o borra una carpeta entera; ve y edita un archivo de texto en el servidor; ordena por nombre, tamaño o fecha y muestra los archivos ocultos; sube, renombra, crea carpetas y (SFTP) cambia permisos. Las descargas van a la carpeta BURSUcm de la app Archivos.
• Catálogo: Favoritos y Recientes, etiquetas, Quick Connect y Copy As; carpetas con nueva subcarpeta, renombrar, mover, borrar y la credencial por defecto de la carpeta; tu orden manual con Move up / Move down en el menú de la fila; “Last used by …” en la tarjeta de la conexión; y Wake on LAN desde el menú de la fila, enviado directamente a la dirección de la máquina, porque iOS solo deja a una app enviar difusiones con un permiso especial de Apple.
• Edición sobre la marcha: las conexiones y credenciales se crean y editan en el propio dispositivo, hosts de salto y reenvíos de puertos incluidos; una credencial muestra códigos TOTP en vivo de su secreto de dos factores, tiene generador de contraseñas y acepta una clave privada importada desde un archivo.
• Sin conexión: los cambios hechos mientras el portal no responde se guardan en el dispositivo y se envían cuando vuelve — conexiones, carpetas, orden manual y estado de las carpetas. Una franja sobre el catálogo muestra el estado, una ventana de conflictos te deja quedarte con cualquiera de las dos versiones, y cerrar sesión con cambios sin enviar avisa antes.
• iPad: un diseño dividido con el catálogo junto a una sesión activa, soporte de puntero (un trackpad o ratón maneja el cursor remoto real en RDP y VNC), modificadores completos del teclado físico, los atajos del escritorio para cambiar de sesión (Ctrl+Tab, ⌘1–9, ⌘W) y Stage Manager para varias sesiones lado a lado.
• Face ID / Touch ID: la clave de la bóveda se guarda tras el almacén biométrico del sistema; Lock App on Start la pide cada vez que vuelves a la app. La bóveda se bloquea tras 5 minutos en segundo plano y tras 10 minutos de inactividad; escribir en un teclado físico cuenta como actividad.
• Seguridad: certificate pinning para bursucm.com, verificación de claves de host SSH y certificados RDP con el modelo de confianza en el primer uso — exigiendo al servidor demostrar que posee la clave privada del certificado. Los hosts y certificados de confianza se olvidan por protocolo en los ajustes.
• Tu cuenta: Settings → Delete account elimina tu cuenta de bursucm.com con todas las bases de datos que posee tras una sola confirmación (Delete account permanently), junto con los registros de sesión y de fallos de este dispositivo. Report a problem envía un informe desde la app; nada sale sin tu toque.
• No disponible en iPhone y iPad: abrir conexiones WinRM y puertos serie (se pueden editar aquí), el asistente de IA, la vista dividida y la difusión de entrada, usuarios y permisos, importación y exportación, Get MAC y la reconexión automática: una sesión caída se vuelve a abrir a mano.

Importar desde otras herramientas

Mudarse desde otro gestor de conexiones es una sola ventana: Settings → Data → Import (también disponible en el portal web). Elige la fuente, revisa la vista previa, haz clic en Import.

Fuentes compatibles

El paso de vista previa

• Antes de escribir nada, la importación muestra un árbol de carpetas con lo que encontró — marca exactamente las carpetas y conexiones que quieres.
• Elige una carpeta de destino en tu catálogo; la estructura importada aterriza dentro de ella.
• Las importaciones son aditivas: nada de lo existente se sobrescribe ni se elimina.

Desde un gestor de contraseñas

KeePass, 1Password y Bitwarden / Vaultwarden los leen las apps de escritorio — Windows 5.3.7 y Linux y macOS 3.3.1 o posterior; el portal web y las apps del teléfono no los leen. Elige el origen en la ventana de importación y luego el archivo; el formato se reconoce por su contenido.

• Abrir el archivo: una base de datos .kdbx o .kdb pide su contraseña maestra, su archivo de clave o ambos — deja la contraseña vacía si solo el archivo de clave la abre; una exportación de Bitwarden protegida con contraseña pide la contraseña con la que se exportó. Con una contraseña incorrecta la ventana sigue abierta para otro intento. El archivo se lee en tu equipo y no se envía a ninguna parte.
• Qué se convierte en qué: los grupos, bóvedas y carpetas pasan a ser carpetas. Cada entrada con usuario, contraseña o código de un solo uso pasa a ser una credencial, con su código de un solo uso (TOTP); una entrada cuya dirección nombra un servidor pasa a ser también una conexión. Las notas y la dirección van al comentario. Las claves SSH de 1Password y Bitwarden pasan a ser credenciales con clave SSH.
• Qué protocolo: una dirección con protocolo — ssh://, rdp://, https://… — siempre decide. Para un host sin más se lee primero la propia entrada: un puerto en la dirección (22, 23, 3389, 5900–5909), las palabras RDP, SSH, VNC o Telnet en el título o las notas, un usuario del tipo DOMAIN\user. Solo el resto sigue Tratar los hosts sin protocolo como: Conexión SSH, Conexión RDP o Solo la credencial.
• Qué se omite: tarjetas, identidades, notas seguras, documentos, elementos archivados y eliminados y la papelera de KeePass. Se cuentan en el resumen, así que nada desaparece en silencio.
• A una base de datos en la nube: una importación grande se completa sin pausas, y una ventana de progreso cuenta las conexiones y credenciales a medida que llegan.

Exportación y copias de seguridad

Copias de seguridad portátiles (.bcmbackup)

• Exportar con contraseña maestra — el archivo queda cifrado (AES-256-GCM); este es el formato para mover un catálogo entre máquinas o guardarlo como copia de seguridad.
• Exportar sin contraseña — solo para traslados rápidos; la app te advierte con claridad de que las contraseñas guardadas quedarían en texto plano.
• Exportación CSV — la estructura del catálogo sin contraseñas, para hojas de cálculo y auditorías. También se reimporta: elige la fuente BURSUcm CSV.
• La misma exportación/importación está disponible en el portal web, así que una copia hecha en la app se abre en el portal y viceversa.

Instantáneas de la base de datos

• Export Database… — un único archivo cifrado con todo el catálogo (conexiones, credenciales, usuarios). Tú eliges una contraseña maestra para la instantánea — el archivo es inútil sin ella.
• Import Database… reemplaza el contenido actual de la base de datos (la app te lo advierte). El modo local también puede importar un archivo SQLite en bruto.
• Para una base de datos en la nube, el portal ofrece exportación/importación .sql (la pestaña Ajustes de la base de datos) — un volcado PostgreSQL completo, usuarios de la base de datos incluidos.

Restablecer la configuración inicial

“Clear cache & restart setup” (Settings → Database) olvida la base de datos configurada y cualquier inicio de sesión guardado y vuelve a ejecutar el asistente de primer inicio. Los datos dentro de la propia base de datos no se eliminan.

Recetas: seis tareas comunes

Guías cortas y completas de tareas que surgen en infraestructuras reales. Cada una usa solo funciones ya descritas — los enlaces llevan a los detalles.

1 · Alcanzar una base de datos tras el cortafuegos como si fuera local

Un servidor PostgreSQL escucha en db.internal:5432, alcanzable solo desde un host con acceso SSH. Quieres que localhost:5432 en tu máquina lleve hasta allí.

1. Edita la conexión SSH a ese host → SSH options → Port forwards → añade un reenvío Local (-L): puerto local 5432, destino db.internal, puerto de destino 5432.
2. Conéctate. El terminal imprime el estado del túnel al abrirse la sesión.
3. Apunta pgAdmin, DBeaver o psql a localhost:5432. El túnel vive exactamente lo que dura la pestaña de la sesión — cerrar la pestaña cierra la puerta. Detalles: Reenvío de puertos.

¿Varios servicios detrás del mismo host? Añade en su lugar un reenvío Dynamic (-D) y apunta el cliente al proxy SOCKS5 — consulta Reenvío de puertos.

2 · Dar a un contratista acceso a una sola carpeta

Un ingeniero externo necesita trabajar en los servidores de Servers\Staging — y no ver nada más, y mucho menos contraseñas.

1. Abre User Management → añade un usuario (en modo nube, un usuario de base de datos — el contratista no necesita cuenta del portal, solo el inicio de sesión name@handle que le entregas).
2. Dale el rol User, deja vacía la regla “All folders” y en Servers\Staging concede Read — y Edit solo si debe cambiar entradas.
3. Deja Passwords sin marcar: el contratista puede conectarse con las credenciales guardadas, pero no revelarlas en claro.
4. Cuando el trabajo termine, elimina el usuario; en modo nube revisa también sus Sesiones en el portal. Detalles: Usuarios y permisos.

3 · Mudarse de PuTTY y WinSCP en la hora del almuerzo

1. Settings → Data → Import → fuente WinSCP: los sitios llegan con su árbol de carpetas y las contraseñas guardadas, descifradas automáticamente.
2. Ejecuta la importación otra vez con PuTTY como fuente — las sesiones guardadas, los puertos y los detalles SSH se traen; el paso de vista previa te deja desmarcar lo que no quieras.
3. Ambas importaciones son aditivas y aterrizan en la carpeta de destino que elijas, así que nada se sobrescribe. Establece después una contraseña maestra — las contraseñas importadas merecen un cifrado de verdad. Detalles: Importar desde otras herramientas.

4 · Un catálogo en el PC del trabajo, el portátil y el teléfono

1. Crea una cuenta gratuita y una base de datos en bursucm.com (cómo).
2. En la máquina que tiene tu catálogo: expórtalo con Settings → Data → Export… → BURSUcm Backup (.bcmbackup)…, inicia sesión en la nueva base de datos en la nube con su contraseña maestra e importa el archivo con Settings → Data → Import… → BURSUcm backup.
3. Inicia sesión en la misma base de datos desde el portátil y la app de Android o iOS. Todo te sigue: carpetas, orden manual, credenciales, snippets, túneles — y cada contraseña se descifra solo en el dispositivo, nunca en el servidor.

5 · Ejecutar un comando en todo un rack

1. Abre sesiones a todos los servidores implicados (cuentan tanto las pestañas como los paneles divididos).
2. Activa Broadcast en la barra de herramientas de la sesión — el banner naranja confirma cuántas sesiones están escuchando.
3. Escribe el comando una sola vez — o envía un snippet; con marcadores de posición como systemctl restart {service} la app pide primero el valor. Revisa el banner antes de Enter y luego apaga Broadcast.

6 · Un portátil perdido o robado

1. En el portal abre Perfil → Dispositivos conectados y revoca el dispositivo perdido (o “Cerrar sesión en todos”) — su token de API muere de inmediato y la app en él queda con la sesión cerrada. Para el dispositivo de un usuario de base de datos, el propietario hace lo mismo desde la pestaña Usuarios y acceso de la base de datos → Sesiones.
2. Cambia la contraseña de tu cuenta de bursucm.com.
3. Si el inicio de sesión en dos pasos aún no está activado, actívalo: así también se cierra la sesión de todos los demás dispositivos. Si ya lo está y los códigos de recuperación se guardaban en el portátil, pulsa Nuevos códigos de recuperación: los anteriores dejan de funcionar.
4. Evalúa la bóveda: las contraseñas guardadas en el portátil están cifradas con AES bajo tu contraseña maestra — sin ella son ilegibles. Si la contraseña maestra también pudiera conocerse, rota las contraseñas reales de los servidores por precaución.

Referencia

Las ediciones de un vistazo

El modelo de seguridad en una tabla

Dónde guarda la app sus archivos

Dentro: settings.json (preferencias de la app), la base de datos local cuando usas el modo local y known_hosts.json (claves de host SSH y certificados de confianza) en tu propia carpeta dentro de Users — ver Tus ajustes en este equipo. Respalda la carpeta entera y habrás respaldado una instalación local. Las contraseñas guardadas dentro de estos archivos están siempre cifradas — ver el capítulo de la bóveda.

Formatos de archivo

Puertos predeterminados

Se precargan al elegir el protocolo; cámbialos libremente por conexión. SSH/SFTP 22 · Telnet 23 · RDP 3389 · VNC 5900 · Apple Remote Desktop 5900 (+ UDP 5900/5901 para High Performance) · FTP/FTPS 21 · HTTP 80 · HTTPS 443 · WinRM 5985 (HTTP) / 5986 (HTTPS). El agente BURSUlink no necesita nada entrante: conecta hacia fuera por 443/tcp y 7842/udp.

Glosario

Preguntas frecuentes y solución de problemas

Preguntas frecuentes

¿Es gratis?
Sí, la app es gratuita en todas las plataformas. BURSUcloud es un complemento opcional.

¿Qué plataformas se admiten?
Windows, macOS (Intel y Apple Silicon), Linux (Debian/Ubuntu, Arch/CachyOS, Fedora/RHEL) y Android (Google Play o APK directo) están disponibles hoy. La app para iOS y iPadOS está en la App Store y requiere iOS o iPadOS 17 o posterior.

¿Necesito una cuenta?
No. El modo local funciona totalmente sin conexión. Una cuenta solo hace falta para la sincronización en la nube y las apps de Android e iOS/iPadOS.

Olvidé la contraseña maestra. ¿Y ahora qué?
No puede recuperarse — ese es el sentido del conocimiento cero. Tus conexiones y la estructura del catálogo están intactas; las contraseñas guardadas deben reintroducirse (Settings → Security → establece una nueva contraseña maestra y luego actualiza las contraseñas).

Moví la base de datos a otro PC y las contraseñas no se abren.
La base de datos estaba protegida con DPAPI (ligado a una cuenta de Windows). En el equipo original habilita una contraseña maestra (Settings → Security), copia la base de datos de nuevo — ahora es portátil, incluso a Linux y macOS.

¿Cuál es la diferencia entre un “usuario de base de datos” y un “miembro”?
Un usuario de base de datos es una cuenta solo para las apps BURSUcm (inicio de sesión name@handle); no necesita cuenta del portal. Un miembro es una cuenta completa de bursucm.com con acceso concedido a la base de datos. Los permisos por carpeta son idénticos.

¿Dónde viven mis datos en la nube?
En una base de datos PostgreSQL dedicada en el servidor de bursucm.com, inalcanzable directamente desde internet. Las contraseñas allí son texto cifrado; solo tú tienes la clave.

¿Por qué mis dispositivos no muestran el mismo orden de conexiones?
El orden manual se sincroniza a través de la base de datos. Asegúrate de que cada dispositivo tenga una versión actual (Windows 2.7.5+, Linux/macOS 1.7.5+, Android 1.8.1+, iOS/iPadOS 1.1.0+) y haya refrescado el catálogo; las versiones antiguas simplemente vuelven al orden alfabético sin dañar lo que organizaste.

Solución de problemas

Registros de diagnóstico

Settings → Logs: solo se registran los tiempos de las operaciones — nunca contraseñas. Desactivado por defecto. “Open” lleva a la carpeta de registros.

Informar de un problema

Help → Report a problem, o el ofrecimiento que aparece solo tras un error o en el siguiente arranque después de un fallo grave (Windows 3.3.0 y Linux y macOS 2.3.0 y posteriores). El informe lleva el error en sí, la versión de la aplicación y del sistema y —mientras la casilla siga marcada— las últimas líneas de los registros de diagnóstico. La sección «What will be sent» (en Linux y macOS, el botón «Show what will be sent») es el informe, no un resumen: las contraseñas, las claves y los tokens se eliminan en tu equipo antes de que lo veas, y las direcciones de los servidores, los nombres de cuenta y las direcciones IP se sustituyen por marcadores salvo que marques la casilla que los incluye. Hasta que pulsas Send no sale nada del equipo. Recibes un número de informe; los informes se borran a los 90 días.

La captura de pantalla solo se ofrece para un error ocurrido con la aplicación abierta: se toma en el instante del fallo, está desactivada por defecto y se te muestra antes de enviarla. Si el envío falla no se pierde nada: «Save to file...» escribe el informe entero, listo para enviarlo a support@bursucm.com. Para que la aplicación no lo ofrezca nunca, desactiva Settings → Other → Offer to report problems; por su cuenta nunca envió nada, así que solo desaparece la pregunta.

¿Sigues atascado?

Escríbenos a través de bursucm.com/contact — normalmente respondemos en un día hábil. La página de estado muestra si un problema de la nube está de nuestro lado.