Contraseñas seguras: cómo crearlas y por qué necesitas un gestor
Qué hace segura a una contraseña, cómo funcionan los gestores, qué es la verificación en dos pasos y en qué orden proteger tus cuentas importantes.
La mayoría de los accesos no autorizados a cuentas personales no empiezan con nadie “hackeando” nada. Empiezan con una contraseña filtrada en un servicio cualquiera y reutilizada en el correo, la banca o las redes sociales. Ese es el problema a resolver, y la solución es menos técnica de lo que parece.
Qué hace segura a una contraseña
Tres propiedades, por orden de importancia:
- Que sea única. Una contraseña usada en un solo sitio limita el daño de cualquier filtración a ese sitio.
- Que sea larga. La longitud aporta más resistencia que la complejidad. Una frase de 20 caracteres es mucho más difícil de romper que ocho caracteres con símbolos raros.
- Que no sea predecible. Nada de nombres propios, fechas, matrículas, equipos de fútbol ni el patrón “Palabra123!”.
El requisito clásico de mezclar mayúsculas, números y símbolos existe porque las contraseñas eran cortas. Con longitud suficiente pierde peso. Los organismos de ciberseguridad llevan años recomendando priorizar longitud y unicidad sobre complejidad artificial.
El método de la frase
Si necesitas recordar una contraseña sin gestor —la maestra, la del portátil, la del correo de recuperación—, usa cuatro o cinco palabras sin relación entre sí:
ventana-caballo-limon-42-farolaEs larga, fácil de teclear, fácil de recordar y no aparece en ningún diccionario de frases comunes. No uses versos de canciones, refranes ni citas conocidas: están en las listas.
Por qué hace falta un gestor
Una persona tiene hoy entre 80 y 200 cuentas. Es imposible recordar 150 contraseñas largas y distintas, así que se recurre a uno de estos tres atajos, todos malos:
- Repetir la misma en todas partes.
- Usar variaciones mínimas de una base común, fáciles de deducir.
- Apuntarlas en un documento sin cifrar.
Un gestor de contraseñas elimina el problema: genera contraseñas aleatorias, las guarda cifradas y las rellena por ti. Tú solo recuerdas una.
Cómo funcionan por dentro
La base de datos se cifra en tu dispositivo con una clave derivada de tu contraseña maestra. Lo que se guarda en los servidores del proveedor es un bloque cifrado que no puede leer. Esto se conoce como arquitectura de conocimiento cero.
La contrapartida es directa: si pierdes la contraseña maestra, no hay recuperación posible. Por eso conviene:
- Elegirla con el método de la frase y memorizarla de verdad.
- Guardar el código de recuperación de emergencia impreso en un sitio físico seguro.
- Activar verificación en dos pasos en el propio gestor.
Qué mirar al elegir uno
- Cifrado local y política de conocimiento cero documentada.
- Auditorías de seguridad independientes publicadas.
- Exportación de datos en un formato estándar, para poder cambiar de gestor sin quedarte atrapado.
- Aplicaciones para los sistemas que usas y extensión de navegador.
- Modelo de negocio claro. Hay opciones gratuitas solventes y opciones de código abierto que puedes alojar tú mismo.
Los navegadores también guardan contraseñas y han mejorado mucho. Son una opción razonable si solo usas un navegador; un gestor dedicado gana en portabilidad, en compartición segura y en almacenamiento de otros datos como notas o claves de recuperación.
Verificación en dos pasos
Es la medida que más eleva la seguridad por unidad de esfuerzo. Añade un segundo requisito además de la contraseña, de modo que una contraseña filtrada no baste para entrar.
| Método | Seguridad | Comodidad | Cuándo usarlo |
|---|---|---|---|
| Llave física (FIDO2) | Muy alta | Media | Correo principal y banca, si el servicio lo admite |
| App de códigos temporales | Alta | Alta | Opción por defecto para casi todo |
| Notificación push de la app oficial | Alta | Muy alta | Cuando el servicio la ofrece |
| SMS | Baja | Alta | Solo si no hay otra opción disponible |
El SMS es vulnerable al duplicado fraudulento de la tarjeta SIM: alguien consigue una SIM con tu número y recibe tus códigos. Aun así, activarlo es mejor que no tener segundo factor.
Guarda los códigos de respaldo que te da cada servicio al activar el doble factor. Si pierdes el móvil y no los tienes, recuperar la cuenta puede ser largo o imposible.
En qué orden proteger tus cuentas
No todas las cuentas valen lo mismo. Esta es la prioridad:
- Correo electrónico principal. Es la llave maestra: desde él se recuperan casi todas las demás cuentas. Contraseña única larga y doble factor fuerte, sin excepción.
- Banca y pagos. Incluye plataformas de pago y cualquier sitio con tu tarjeta guardada.
- Gestor de contraseñas.
- Identidad digital y administración, como los sistemas de identificación electrónica que uses con la administración pública.
- Redes sociales y tiendas online con datos de pago guardados.
- El resto, a medida que las vayas usando.
Un plan realista: dedica una hora al primer bloque hoy y luego cambia cada contraseña cuando entres a ese servicio. En tres meses tendrás todo migrado sin una jornada maratoniana.
Señales de que una cuenta está comprometida
- Correos de “inicio de sesión desde un dispositivo nuevo” que no reconoces.
- Notificaciones de restablecimiento de contraseña que no has pedido.
- Mensajes enviados desde tu cuenta que no has escrito.
- Reglas de filtrado nuevas en tu correo que reenvían o archivan mensajes.
Si ocurre: cambia la contraseña desde otro dispositivo, cierra todas las sesiones activas, revisa las aplicaciones con acceso autorizado y comprueba las reglas de reenvío del correo. INCIBE mantiene una línea de ayuda en ciberseguridad para particulares.
Qué no hacer
- Enviar contraseñas por correo, WhatsApp o mensajes.
- Usar el mismo correo de recuperación para todo sin protegerlo con doble factor.
- Responder a preguntas de seguridad con datos verdaderos y públicos, como el nombre de tu madre o tu ciudad natal. Trátalas como contraseñas y guárdalas en el gestor.
- Introducir credenciales desde enlaces recibidos por mensaje. Entra siempre escribiendo la dirección a mano.
Conclusión
Una contraseña única y larga por servicio, un gestor que las recuerde por ti y verificación en dos pasos en el correo y en la banca. Con esas tres cosas cubres la mayor parte del riesgo real al que está expuesta una persona normal. Puedes seguir el proceso paso a paso en el checklist de limpieza digital.
Preguntas frecuentes
- ¿Es seguro guardar todas las contraseñas en un gestor?
- Es considerablemente más seguro que la alternativa real, que suele ser repetir la misma contraseña en decenas de sitios. Los gestores cifran la base de datos localmente con tu contraseña maestra, de modo que el proveedor no puede leer su contenido. El punto crítico es proteger bien esa contraseña maestra y activar la verificación en dos pasos.
- ¿Cada cuánto hay que cambiar las contraseñas?
- Cambiar por rutina ya no se recomienda: lleva a contraseñas predecibles con números correlativos. Lo que sí hay que hacer es cambiarlas inmediatamente si el servicio ha sufrido una filtración, si la has reutilizado en otro sitio o si sospechas de un acceso no autorizado.
- ¿Qué método de doble factor es mejor?
- Una llave física de seguridad ofrece la mayor protección, seguida de las aplicaciones de códigos temporales. El SMS es el método más débil de los tres porque es vulnerable al duplicado fraudulento de la tarjeta SIM, pero tener SMS activado sigue siendo mucho mejor que no tener segundo factor.
Fuentes consultadas
Sigue por aquí
Cómo hacer copias de seguridad de verdad: la regla 3-2-1
Qué es la regla 3-2-1, por qué sincronizar en la nube no es una copia de seguridad y cómo montar un sistema de respaldo que funcione sin acordarte de él.
Cómo liberar espacio en Windows sin borrar lo que importa
Cómo ver qué ocupa el disco en Windows y liberar gigas de forma segura: archivos temporales, carpeta de descargas, hibernación, restauración y OneDrive.
Guía para organizar tu vida digital de una vez
Plan por fases para poner orden en archivos, copias de seguridad, cuentas, contraseñas, correo y suscripciones, con una rutina de mantenimiento que lo sostiene.