Cómo crear contraseñas seguras que realmente te protejan
Por qué sigue importando la fortaleza de las contraseñas
A pesar de décadas de campañas de concienciación, «123456» y «password» siguen siendo de las contraseñas más utilizadas en el mundo. Los atacantes lo saben. Las herramientas modernas de fuerza bruta pueden probar miles de millones de combinaciones por segundo, lo que significa que una contraseña simple de 6 caracteres puede descifrarse en menos de un segundo con hardware convencional. Entender qué hace que una contraseña sea genuinamente segura —no solo técnicamente aceptable— es la base de la seguridad personal.
Qué hace realmente fuerte a una contraseña
La fortaleza proviene de dos factores: longitud y entropía. La longitud es sencilla: cada carácter adicional multiplica exponencialmente el número de combinaciones posibles. La entropía hace referencia a la imprevisibilidad. Una contraseña como «Verano2024!» parece compleja, pero tiene poca entropía porque sigue un patrón muy predecible (palabra común con mayúscula + año + puntuación).
Una contraseña verdaderamente segura es:
- De al menos 16 caracteres de longitud
- Una mezcla de mayúsculas, minúsculas, números y símbolos
- Libre de palabras del diccionario, nombres o fechas vinculadas a ti
- Única: nunca reutilizada en múltiples sitios
El estándar de oro hoy en día es una cadena generada aleatoriamente como x#7kLpR2!mQv9Yz. Los humanos somos pésimos generando aleatoriedad mentalmente, y por eso existen los gestores de contraseñas.
El problema de reutilizar contraseñas
Incluso una contraseña fuerte se convierte en una vulnerabilidad cuando se reutiliza. Las filtraciones de datos ocurren constantemente: en cualquier año dado, cientos de millones de credenciales quedan expuestas de servicios hackeados. Los atacantes usan el relleno de credenciales: toman un par usuario/contraseña filtrado y lo prueban automáticamente en cientos de otros sitios. Si reutilizaste esa contraseña en tu banco o correo electrónico, quedas comprometido en el momento en que el sitio más débil donde te registraste sufre una brecha.
La única defensa sostenible es una contraseña única para cada cuenta. Eso es humanamente imposible de recordar, lo que nos lleva a los gestores de contraseñas.
Usar un gestor de contraseñas
Un gestor de contraseñas es un software que genera, almacena y rellena automáticamente contraseñas fuertes y únicas para cada sitio que usas. Solo necesitas recordar una contraseña maestra. Entre las opciones recomendadas están Bitwarden (código abierto, con nivel gratuito), 1Password y Dashlane.
Cómo empezar:
- Elige un gestor: Bitwarden es una sólida opción de código abierto. Almacena tu bóveda cifrada de extremo a extremo.
- Crea una contraseña maestra fuerte: usa una frase de contraseña compuesta por cuatro o más palabras aleatorias sin relación, como «mármol-halcón-río-escritorio». Las frases largas son fáciles de recordar y extremadamente difíciles de descifrar.
- Instala la extensión del navegador: esto activa el autocompletado para que usar contraseñas seguras no requiera ningún esfuerzo adicional.
- Activa la autenticación de dos factores en el propio gestor para una capa de protección adicional.
Autenticación de dos factores: la segunda línea de defensa
Incluso la mejor contraseña puede ser objeto de phishing. La autenticación de dos factores (2FA) requiere una segunda prueba de identidad, normalmente un código de un solo uso basado en el tiempo de una aplicación como Google Authenticator o Authy. Aunque un atacante tenga tu contraseña, no podrá iniciar sesión sin acceso físico a tu segundo factor. Activa la 2FA donde esté disponible, especialmente en el correo electrónico, la banca y las redes sociales.
Errores comunes que debes evitar
- Usar información personal: fechas de nacimiento, nombres de mascotas, direcciones
- Sustituciones simples: «c0ntr@señ@» no es significativamente más segura que «contraseña»
- Escribir contraseñas en notas adhesivas o archivos de texto sin formato
- Compartir contraseñas por correo electrónico o chat
- Ignorar las notificaciones de brecha: si un sitio te dice que cambies tu contraseña, hazlo de inmediato
Comprueba si has sido comprometido
El sitio web Have I Been Pwned (haveibeenpwned.com) te permite introducir tu dirección de correo electrónico y comprobar si aparece en brechas de datos conocidas. Muchos gestores de contraseñas también incluyen monitoreo de brechas integrado. Si tus credenciales aparecen en una brecha, cambia inmediatamente la contraseña afectada y cualquier cuenta donde la hayas reutilizado.
Una buena higiene de contraseñas requiere unos treinta minutos para configurarse correctamente con un gestor, y genera beneficios durante años. Es una de las inversiones en seguridad con mayor retorno que cualquier persona puede hacer.
Genera una contraseña segura ahora
Abre el generador de contraseñas gratuito: crea contraseñas fuertes y únicas de cualquier longitud directamente en tu navegador. Sin registro, sin registros de actividad, sin que los datos salgan de tu dispositivo.