Cómo crear una contraseña segura que puedas recordar

Una contraseña segura es larga, aleatoria y la usas en un solo sitio. Para las pocas que tienes que recordar, usa una frase de contraseña: ocho o nueve palabras al azar seguidas, fáciles de imaginar y difíciles de adivinar. Guarda todas las demás en un gestor de contraseñas y activa la verificación en dos pasos en tu correo y en tu banco.

Más vale larga que complicada

A casi todos nos enseñaron que una buena contraseña se ve así: P@ssw0rd2024!, con mayúscula, número y símbolo. Parece fuerte, pero no lo es. La gente arma estas contraseñas siempre de la misma forma (una palabra, mayúscula al inicio, @ en vez de a, un año y un ! al final), y los programas que usan los atacantes para adivinar contraseñas prueban justo esos patrones primero.

Lo que hace difícil adivinar una contraseña es la cantidad de combinaciones que un atacante tendría que probar. Esa cantidad se mide en bits de entropía: cada bit adicional duplica el trabajo. Dos cosas la suben: la longitud y que la elija el azar, no tú. El NIST, la agencia de estándares de Estados Unidos, en sus guías de identidad digital, hoy les pide a los sitios web aceptar contraseñas largas (de al menos 64 caracteres), dejar de exigir mezclas de símbolos y mayúsculas, y dejar de obligar a cambiar la contraseña cada cierto tiempo.

Así se comparan varias opciones en el generador de contraseñas de eThorns, que muestra la fuerza exacta de cada resultado. Los ejemplos son solo ejemplos: no los uses.

Tipo	Ejemplo	Fuerza que muestra
8 caracteres al azar	k#9Tq!vR	50 bits: regular
12 caracteres al azar	W7m$pe2!Lx4q	77 bits: fuerte
6 palabras al azar	lemon-ladder-quiet-owl-bake-river	53 bits: regular
9 palabras al azar	tulip-anvil-swift-cocoa-hike-raven-dune-mug-jolly	80 bits: muy fuerte

Los caracteres al azar meten más fuerza en menos espacio, pero no te vas a acordar de W7m$pe2!Lx4q, y escribirla en el celular es un martirio. Las palabras ocupan más, pero se imaginan fácil: un limón (lemon) en una escalera (ladder), un búho (owl) callado. Por eso las frases de contraseña son la mejor opción para las pocas claves que escribes a mano.

Cómo crear una frase de contraseña

1. Abre el generador de contraseñas y elige Frase de contraseña. Funciona en tu dispositivo con el generador aleatorio seguro del navegador, y no envía ni guarda nada.
2. Elige el número de palabras. Su lista tiene 506 palabras cortas en inglés, así que cada una aporta unos 9 bits. Con las 8 que vienen por defecto tienes 71 bits; con 9 llegas a 80, que es lo que la herramienta recomienda para cuentas importantes.
3. Elige un separador (guion, espacio, punto o guion bajo). Si un sitio exige una mayúscula o un número, activa "Mayúscula inicial" o "Agregar un dígito".
4. Escoge uno de los 5 resultados tal cual. No cambies palabras por otras que te gusten más: la fuerza depende de que las elija el azar, no tú.
5. Inventa una escena absurda con las palabras y escribe la frase varias veces en los días siguientes para que se te quede.

Las letras de canciones, los refranes y las frases célebres no sirven. Son largas, pero están en las listas que prueban los atacantes.

Un gestor de contraseñas para todo lo demás

No puedes recordar una frase distinta para 80 cuentas, y no hace falta. Un gestor de contraseñas es una app que guarda tus contraseñas cifradas, las llena por ti y crea otras nuevas al azar. Solo recuerdas una: la clave principal que lo abre.

• Los gestores integrados son un buen comienzo: la app Contraseñas en iPhone y Mac, o el Gestor de contraseñas de Google en Android y en Chrome. Se sincronizan entre tus dispositivos.
• Los gestores independientes, algunos gratis, funcionan en cualquier celular, computador y navegador, lo que ayuda si mezclas marcas.
• Protege el gestor con una frase que no uses en ningún otro lado y activa la verificación en dos pasos en la cuenta que lo respalda.
• Escribe esa frase principal en un papel y guárdalo en tu casa, en un lugar seguro. Un papel en tu casa es mucho más seguro que una nota en el celular llamada "claves".

Un gestor también te protege de las páginas falsas. Solo llena tu contraseña en el sitio donde la guardaste, así que si no te ofrece llenarla en una página que parece la de tu banco, detente y revisa la dirección.

Nunca repitas contraseñas, sobre todo estas dos

Cuando hackean un sitio web, los atacantes toman los pares de correo y contraseña robados y los prueban de forma automática en servicios de correo, bancos y tiendas. Si usaste la misma contraseña ahí, entran. Nuestra guía cómo saber si mi contraseña fue filtrada explica cómo funciona y cómo revisarlo.

Hay dos contraseñas que importan más que todas las demás:

• La de tu correo. Casi todos los enlaces de "olvidé mi contraseña" llegan a tu correo, así que quien lo controla puede cambiar todas las demás.
• La de tus apps de banco y billeteras. Su clave o PIN no debe ser el código de desbloqueo de tu celular, ni el PIN de tu tarjeta, ni algo que hayas usado en otro sitio.

Activa la verificación en dos pasos

La verificación en dos pasos (también llamada 2FA) pide una segunda prueba después de la contraseña, así que una contraseña robada no basta para entrar. De la más fuerte a la más débil:

1. Una llave de acceso (passkey) o una llave de seguridad. La llave de acceso te deja entrar con tu huella, tu cara o el PIN del celular en vez de una contraseña, y solo funciona en el sitio real, así que no te la pueden robar con una página falsa.
2. Una app de autenticación que muestra un código de 6 dígitos que cambia cada 30 segundos.
3. Un código por SMS. Es la más débil, porque los números de celular se pueden robar, pero es mucho mejor que nada.

Guarda los códigos de respaldo que te da cada sitio en tu gestor o en papel. Y nunca le des un código a quien te llame o te escriba: ningún banco ni empresa seria te lo pide. Para WhatsApp, que tiene su propia opción, lee verificación en dos pasos de WhatsApp.

Qué hacer con las contraseñas que ya tienes

No tienes que arreglar todo esta noche. Hazlo en orden, empezando por lo más importante.

1. Júntalas. Configura un gestor de contraseñas e importa las que tu navegador ya tiene guardadas. La mayoría de los gestores lo hacen en pocos clics.
2. Encuentra las malas. Casi todos los gestores, también los integrados, te muestran las contraseñas repetidas, débiles o que aparecen en filtraciones. También puedes revisar una sola con la herramienta de contraseña filtrada: de tu dispositivo solo salen 5 caracteres de su huella.
3. Cambia primero la de tu correo, por una frase de contraseña nueva. Luego la cuenta de tu celular (Apple o Google), tus bancos y billeteras, y el gestor mismo.
4. Después, las cuentas con tu tarjeta o tus datos: tiendas en línea, apps de domicilios, redes sociales y cuentas del trabajo. Deja que el gestor cree una contraseña al azar para cada una.
5. Para el resto, cambia sobre la marcha. Cada vez que entres a una cuenta vieja, reemplaza su contraseña por una generada, o borra la cuenta si ya no la usas.
6. Activa la verificación en dos pasos en cada cuenta donde cambies la contraseña, empezando por el correo y el banco.

Cambia siempre las contraseñas escribiendo tú mismo la dirección del sitio o abriendo la app oficial, nunca desde un enlace que te llegó en un mensaje.

Lista rápida

• Una frase de 8 o 9 palabras al azar para mi correo y mi gestor de contraseñas.
• Todas las demás contraseñas aleatorias, únicas y guardadas en el gestor.
• Ninguna contraseña compartida entre mi correo, mi banco y cualquier otra cosa.
• Verificación en dos pasos en el correo, el banco y el gestor.
• Códigos de respaldo guardados en un lugar seguro.
• Las contraseñas viejas y repetidas, reemplazadas de la más importante a la menos.

Preguntas frecuentes

¿Es seguro dejar que el navegador o el celular guarden mis contraseñas?

Sí, en tu propio dispositivo y con bloqueo de pantalla. Es mucho más seguro que repetir una misma contraseña en todas partes. No las guardes en un computador compartido o público.

¿Y si hackean mi gestor de contraseñas?

Los buenos gestores cifran tus contraseñas con tu clave principal antes de guardarlas, así que una copia robada no sirve sin ella. Por eso la frase principal debe ser larga y única, con verificación en dos pasos en la cuenta.

¿Puedo usar palabras en español?

Sí. El idioma no importa; lo que importa es el azar. La lista del generador está en inglés, pero sirven palabras de cualquier idioma siempre que no las escojas tú.

Un sitio no acepta mi frase larga. ¿Qué hago?

Algunos sitios todavía limitan la longitud o no aceptan espacios. Prueba con un guion como separador, o deja que tu gestor cree una contraseña al azar que cumpla las reglas del sitio.

Pruébalo

• 1.9Generador de contraseñasContraseñas aleatorias (8 a 128 caracteres) o frases de contraseña, creadas en tu navegador con su generador criptográfico.
• 1.11¿Contraseña filtrada?Revisa si una contraseña aparece en filtraciones de datos sin enviarla: con k-anonimato solo salen de tu dispositivo 5 caracteres de su hash.