¿Cómo crear contraseñas seguras y no olvidarlas?

En el artículo sobre cómo saber si tu contraseña ha sido filtrada vimos qué pasa cuando una clave acaba en una lista robada y cómo se comprueba sin entregarla. Este es la otra mitad: cómo crear contraseñas que aguanten y, sobre todo, cómo gestionarlas sin depender de la memoria.

La buena noticia es que las recomendaciones actuales son más sencillas que las de hace unos años: menos reglas raras y menos cambios obligatorios.

¿Por qué la longitud pesa más que los símbolos?

Quien intenta adivinar una contraseña no prueba al azar: empieza por lo que la gente suele hacer. Verano2024! cumple las reglas de un formulario típico (mayúscula, número, símbolo) y está entre lo primero que prueba una herramienta de ataque, porque sigue un patrón conocido.

Lo que de verdad complica el trabajo es la longitud: cada carácter extra multiplica las combinaciones posibles, mucho más de lo que aporta meter un símbolo en una clave corta.

De ahí la idea de la frase de contraseña: varias palabras sin relación entre sí, como tortuga lámpara mercado nublado ciruela. Cinco palabras elegidas al azar de una lista de 7.776 (la que usa el método de los dados publicado por la EFF) dan más combinaciones que ocho caracteres totalmente aleatorios con todos los símbolos del teclado, y se recuerdan y teclean mucho mejor.

La condición es que las palabras sean aleatorias de verdad: un refrán, el verso de una canción o el nombre de tu equipo de fútbol también están en las listas de los atacantes.

¿Por qué una contraseña distinta para cada servicio?

Porque no controlas cómo guarda tu clave cada servicio. Si uno sufre una filtración, quien tenga esa contraseña la probará en todos los demás. Una clave distinta en cada sitio convierte una filtración en un problema de una sola cuenta. El obstáculo es evidente: nadie recuerda cincuenta claves largas y distintas. Y no hace falta.

¿Qué es un gestor de contraseñas y cómo elegir uno?

Un gestor de contraseñas guarda tus claves en una bóveda cifrada, las genera largas y aleatorias y las rellena por ti al iniciar sesión. Tú solo recuerdas una: la que abre la bóveda.

Además, solo rellena la contraseña en el dominio correcto. Si un correo falso te lleva a una copia de la página de tu banco, el gestor no reconoce la dirección y no ofrece nada.

El gestor integrado en el navegador o en el sistema (el de Chrome, Edge, Safari o el llavero de Apple) basta si usas siempre el mismo ecosistema. Los independientes, como Bitwarden o 1Password, funcionan en cualquier navegador y sistema y añaden bóvedas compartidas para equipos. Para elegir, conviene fijarse en:

• Que funcione en todos tus dispositivos, incluido el móvil.
• Cifrado de extremo a extremo: el proveedor guarda la bóveda, pero no puede leerla.
• Verificación en dos pasos para abrir la cuenta y opción de exportar si algún día cambias.
• Avisos de claves repetidas, débiles o filtradas.

La contraseña maestra

Es la única que sigue dependiendo de ti, así que merece la frase de contraseña más cuidada, sin uso en ningún otro sitio. Guarda el código de recuperación en papel y en lugar seguro: en un gestor bien diseñado nadie puede recuperarla por ti, y eso es justo lo que lo hace seguro.

¿Qué verificación en dos pasos conviene?

La verificación en dos pasos (2FA) pide algo más que la contraseña para entrar. No todos los métodos protegen igual frente al phishing, una de las formas más habituales de robar cuentas.

Método	Qué es	Frente al phishing
Llave física o passkey	Un dispositivo o una credencial ligada al sitio	Resiste: no funciona en un dominio falso
App autenticadora	Códigos de seis dígitos que cambian cada 30 segundos	Mejor que SMS, pero el código se puede teclear en una web falsa
SMS	Código enviado por mensaje al móvil	El más débil: se intercepta o se desvía duplicando la SIM

Aun así, cualquier segundo paso es mucho mejor que ninguno: si un servicio solo ofrece SMS, actívalo igualmente, y guarda los códigos de recuperación que te da al configurarlo.

¿Qué es una passkey, en lenguaje llano?

Una passkey sustituye a la contraseña por una pareja de llaves digitales. Una se queda en tu dispositivo y nunca sale de él; la otra la guarda el servicio. Al iniciar sesión, el dispositivo te pide la huella, la cara o el PIN y demuestra que tiene la llave correcta sin enviarla.

• No hay nada que recordar ni que filtrar. Si el servicio sufre un robo de datos, lo que se llevan no sirve para entrar.
• Va ligada al dominio. Una web falsa no puede pedirte la passkey del sitio auténtico, así que el phishing clásico deja de funcionar.
• Se sincroniza entre tus dispositivos a través del sistema (Apple, Google, Microsoft) o de tu gestor de contraseñas.

No todos los servicios la ofrecen aún, pero donde esté disponible, sobre todo en el correo, merece la pena activarla.

¿Cómo se gestionan las contraseñas en una empresa?

En una empresa pequeña los accesos crecen sin orden: la clave del hosting en un chat antiguo, la de las redes en una hoja de cálculo, un administrador que comparte medio equipo. Unas pocas reglas lo arreglan:

• No enviar contraseñas por chat ni por correo. Esos mensajes se quedan para siempre.
• Una cuenta por persona siempre que el servicio lo permita. Así se retira un acceso sin cambiar el de todos.
• Una bóveda compartida para lo que no admite cuentas individuales, con cada persona viendo solo lo que necesita.
• Quitar los accesos el mismo día que alguien se va, y cambiar las claves compartidas que conocía.
• Correos de recuperación de la empresa, no personales. Si el dominio se recupera desde el Gmail de un antiguo colaborador, el control real lo tiene él.

Mitos que conviene olvidar

«Hay que cambiar la contraseña cada 90 días.» La guía de identidad digital del NIST estadounidense (SP 800-63B) desaconseja obligar a cambiarlas periódicamente si no hay indicios de que se hayan comprometido. El motivo es práctico: quien se ve forzado a cambiarla acaba haciendo Verano2024! → Otoño2024!, que no protege nada. Se cambia cuando hay motivo: una filtración, un acceso sospechoso, alguien que deja el equipo.

«Tiene que llevar mayúscula, número y símbolo.» La misma guía recomienda no imponer reglas de composición arbitrarias, admitir contraseñas largas (de al menos 64 caracteres) y, en su lugar, rechazar las que ya aparecen en listas de claves conocidas o filtradas.

«Las preguntas de seguridad me protegen.» El nombre de tu primera mascota o la ciudad donde naciste se averiguan en redes sociales, y el NIST también desaconseja usarlas. Si un servicio te obliga, responde con una frase aleatoria y guárdala en el gestor.

¿Cómo comprobar una contraseña antes de usarla?

Antes de fijar la contraseña maestra, o de conservar una clave que ya usas, merece la pena comprobar que no circula ya por ahí. Nuestro comprobador de contraseñas filtradas te dice si una clave aparece en las filtraciones recopiladas por Have I Been Pwned y cuántas veces, sin que la contraseña salga de tu navegador. Además muestra su longitud y qué tipos de caracteres lleva, y avisa cuando se queda por debajo de 12 caracteres.

Si aparece, descártala aunque te parezca original. Si no aparece, la longitud sigue siendo lo que decide.

---

No hace falta hacerlo todo de golpe. Empieza por el correo: frase de contraseña nueva, verificación en dos pasos y, si puedes, una passkey. Después instala un gestor y ve cambiando las demás a medida que entres en cada servicio.