Cómo crear contraseñas seguras y no volverte loco recordándolas

Casi todo lo que nos enseñaron sobre contraseñas está anticuado: cambiarlas cada mes, exigir símbolos imposibles, apuntarlas en un papel «bien escondido»… El resultado es que las contraseñas más usadas del mundo siguen siendo tan evidentes como «123456». Esta guía resume lo que de verdad funciona hoy, explica el porqué de cada recomendación y termina con un plan de acción de media hora que puedes empezar ahora mismo.

La regla nº 1: la longitud gana a la complejidad

Para un atacante que prueba millones de combinaciones por segundo, M4rt@2024! cae en horas: sigue patrones muy conocidos (una palabra, una letra cambiada por un símbolo, un año y un signo al final). En cambio, una frase de varias palabras elegidas al azar tardaría siglos y es mucho más fácil de recordar. La seguridad de una contraseña se mide en bits de entropía, y cada bit duplica el esfuerzo del atacante:

• Una contraseña de 8 caracteres totalmente aleatorios (letras, números y símbolos) aporta unos 52 bits.
• Cuatro palabras elegidas al azar de una lista de 7.776 palabras (el método Diceware) aportan unos 52 bits; cinco palabras, unos 65; y seis, unos 78.
• Cada palabra adicional multiplica por 7.776 el trabajo del atacante.

Por eso conviene apuntar a un mínimo de 14-16 caracteres en cuentas normales y a frases de cinco o seis palabras en las claves más importantes (la del gestor de contraseñas, la del correo principal). Hay una condición esencial: las palabras deben ser realmente aleatorias. Una frase célebre, una letra de canción o un refrán son muy fáciles de adivinar, por muy larga que sea. Usa dados o el generador de tu gestor de contraseñas para elegirlas, y separa las palabras con un guion o un espacio.

Cosas que no deberías usar nunca

• Nombres propios, fechas de nacimiento, matrículas, nombres de mascotas o equipos de fútbol: son lo primero que prueba cualquier ataque dirigido.
• Palabras con sustituciones previsibles (P@ssw0rd, S3gur1dad): los diccionarios de ataque ya las incluyen.
• Una contraseña «base» con pequeñas variaciones por servicio (Casa!Gmail, Casa!Amazon): si se filtra una, las demás se deducen.

La regla nº 2: una contraseña distinta por servicio

Las contraseñas no se «adivinan»: se filtran. Cuando una web es hackeada, los atacantes toman todos los correos y contraseñas robados y los prueban de forma automática en Gmail, Amazon, PayPal, bancos y redes sociales. Es el credential stuffing, y solo funciona si reutilizas contraseñas. Puedes comprobar si tu correo ha aparecido en filtraciones conocidas en el servicio gratuito Have I Been Pwned; si aparece, cambia la contraseña de esa cuenta (y de cualquier otra donde la hayas repetido) sin esperar.

La solución realista: un gestor de contraseñas

Nadie puede recordar 80 contraseñas únicas de 16 caracteres. Un gestor (Bitwarden, 1Password, KeePassXC, o el integrado en tu navegador o sistema) las genera, las guarda cifradas y las rellena por ti. Solo memorizas una: la maestra, que debe ser una frase larga, única y que no uses en ningún otro sitio. Algunos criterios para elegir:

• Sincronización entre dispositivos: imprescindible si usas varios equipos y el móvil.
• Cifrado local: tu bóveda debe cifrarse en tu dispositivo, de modo que el proveedor no pueda leerla.
• Autocompletado que comprueba el dominio: el gestor rellena los datos solo en la web correcta.
• Verificación en dos pasos propia y opciones de recuperación.

Dos ventajas de seguridad extra: el gestor no rellena tus datos en una web falsa, porque el dominio no coincide, así que actúa como un detector de phishing automático (lo desarrollamos en nuestra guía sobre qué es el phishing y cómo detectarlo); y te permite detectar contraseñas repetidas o débiles con un informe.

¿Y si hackean al gestor? Los serios cifran tu bóveda localmente: sin tu contraseña maestra, lo robado es ruido inservible. Incluso en la filtración de datos de LastPass de 2022, en la que se copiaron bóvedas cifradas, el riesgo real recayó sobre quienes tenían contraseñas maestras cortas o débiles. Es la mejor razón para que la tuya sea larga. Anota la contraseña maestra y el código de recuperación en papel y guárdalos en un lugar seguro de casa: perderlos significa perder el acceso a todo.

La capa que lo cambia todo: verificación en dos pasos

Con la verificación en dos pasos (2FA) activada, robar tu contraseña no basta para entrar. Actívala como mínimo en el correo (la llave maestra de tu vida digital, porque desde él se restablecen el resto de cuentas), la banca y las redes sociales. No todos los métodos protegen igual, de menos a más seguro:

• SMS: mejor que nada, pero vulnerable al intercambio fraudulento de SIM y a la interceptación.
• App de códigos (TOTP): Google Authenticator, Microsoft Authenticator, Aegis o la de tu gestor. Mucho más sólida que el SMS.
• Notificación en la app con número: confirmas en el móvil un número que ves en pantalla.
• Llave de seguridad (FIDO2) y passkeys: no se pueden entregar a una página falsa, porque comprueban el dominio real.

Guarda siempre los códigos de recuperación que te da cada servicio al activar el 2FA: si pierdes el móvil, son tu única vía de entrada.

Passkeys: el futuro ya disponible

Las passkeys sustituyen la contraseña por una clave criptográfica guardada en tu dispositivo y protegida con tu huella, tu cara o tu PIN. No hay nada que recordar, nada que filtrar y nada que pueda entregarse a una web fraudulenta. Servicios como Google, Microsoft, Apple, PayPal o GitHub ya las ofrecen: si te dejan activarlas, hazlo.

Mitos que puedes olvidar

• «Hay que cambiarla cada 90 días»: las recomendaciones actuales, como las del NIST, ya no lo aconsejan: provoca contraseñas peores (variaciones previsibles de la anterior). Cámbiala solo si sospechas que se ha filtrado.
• «Con símbolos ya es segura»: P@ssw0rd! está en todos los diccionarios de ataque del mundo. Importa la longitud y que sea impredecible.
• «En un papel es inseguro»: depende de la amenaza. Para una persona mayor, una libreta en un cajón de casa es más segura que reutilizar «su» contraseña en todo Internet. El riesgo de que alguien entre en casa a leerla es muy inferior al de una filtración en línea.
• «Guardarlas en el navegador es una locura»: los gestores de los navegadores modernos cifran las contraseñas y son una opción razonable, sobre todo con un bloqueo del sistema fuerte; un gestor dedicado ofrece más funciones, no es la única opción válida.
• «Una pregunta de seguridad refuerza la cuenta»: suele debilitarla, porque las respuestas (colegio, mascota, ciudad) se averiguan fácilmente. Si te obligan a usarlas, contesta con un valor aleatorio y guárdalo en el gestor.

Contraseñas para integraciones y aplicaciones

Cuando una aplicación, un script o un servicio necesita acceder a una cuenta tuya, no le des la contraseña principal. Muchos servicios ofrecen contraseñas o tokens específicos para ese uso, que puedes revocar sin afectar al resto. Si administras un sitio con WordPress, por ejemplo, lo adecuado son las contraseñas de aplicación.

Si administras equipos o una empresa

• Establece una longitud mínima generosa (14 caracteres o más) y comprueba las contraseñas contra listas de claves filtradas, en lugar de exigir reglas de complejidad y cambios forzados.
• Exige verificación en dos pasos a todos los usuarios, empezando por los administradores y los accesos remotos. Para servidores, repasa cómo proteger el Escritorio Remoto (RDP) en Windows Server.
• No reutilices la contraseña del administrador local en todos los equipos: Windows LAPS (incluido en Windows 11 y Windows Server modernos) genera una contraseña distinta por equipo y la guarda de forma segura en el directorio.
• Organiza las cuentas y los grupos con criterio, como explicamos en la guía de usuarios y grupos en Active Directory.

Plan de acción en 30 minutos

1. Instala un gestor de contraseñas y crea tu frase maestra de 5-6 palabras al azar. Anótala en papel y guárdala.
2. Cambia hoy las tres cuentas críticas: el correo principal, el banco y la que más uses. Que cada una tenga una contraseña generada por el gestor.
3. Activa la verificación en dos pasos en esas tres, preferiblemente con una app de códigos o con passkeys, y guarda los códigos de recuperación.
4. Comprueba tu correo en Have I Been Pwned y cambia lo que aparezca.
5. Ve migrando el resto según las uses: cada vez que inicies sesión en un servicio, guarda o cambia su contraseña. En un mes estará hecho sin esfuerzo.

Preguntas frecuentes

¿Cuántos caracteres debe tener una contraseña?

Como mínimo 14-16 en cuentas normales. Si es una frase de palabras aleatorias, con cinco o seis tendrás una contraseña muy robusta aunque sea fácil de recordar.

¿Son seguros los generadores de contraseñas en línea?

Es preferible usar el generador de tu gestor de contraseñas, que crea la clave en tu dispositivo y la guarda directamente. Evita pegar contraseñas reales en páginas de terceros.

¿Qué hago si sospecho que una contraseña se ha filtrado?

Cámbiala inmediatamente, revisa los inicios de sesión recientes y las sesiones abiertas en esa cuenta, activa la verificación en dos pasos y cambia también las demás cuentas donde la hubieras repetido.

Conclusión

Contraseñas largas, únicas, guardadas en un gestor y con verificación en dos pasos en lo importante, y passkeys cuando estén disponibles. Son cuatro decisiones que se toman en una tarde y que te quitan de encima la mayor parte del riesgo real, sin obligarte a memorizar nada más que una frase.