Las reglas que aprendimos sobre contraseñas (mayúsculas, números, símbolos, cambiarlas cada 90 días) producían claves difíciles de recordar y no especialmente difíciles de romper. La recomendación de los organismos de seguridad cambió hace años, y conviene saber en qué dirección.
La longitud gana a la complejidad
La resistencia de una contraseña se mide por la cantidad de combinaciones posibles, y esa cifra crece exponencialmente con cada carácter añadido. Añadir longitud aporta mucho más que añadir tipos de caracteres.
Una contraseña de 8 caracteres con mayúsculas, números y símbolos tiene menos combinaciones posibles que una de 16 caracteres solo en minúsculas. Y la segunda es infinitamente más fácil de recordar y de escribir en un teléfono.
Como criterio práctico: mínimo 12 caracteres, 16 o más para lo importante.
Frases de contraseña
Cuatro o cinco palabras aleatorias forman una clave larga, memorable y robusta: tornillo-neblina-caracol-ochenta. Tiene 32 caracteres y se recuerda visualizando la escena.
La condición es que las palabras sean realmente aleatorias. Una frase con sentido («mi perro se llama toby») es predecible: los ataques modernos prueban frases hechas, letras de canciones y refranes. El generador de contraseñas ofrece este modo usando el generador criptográfico del navegador, no una función aleatoria simple.
Mitos que conviene abandonar
- «Sustituir letras por símbolos protege»:
P@ssw0rdestá en todos los diccionarios de ataque. Las sustituciones obvias no añaden seguridad. - «Hay que cambiarlas cada 90 días»: los cambios forzados producen contraseñas peores (secuencias predecibles con un número al final). Cámbialas cuando haya indicios de filtración.
- «Una buena contraseña basta»: si la reutilizas, una sola filtración compromete todas tus cuentas.
- «Anotarlas es inseguro»: un papel en un cajón de tu casa protege contra ataques remotos, que son la amenaza real para la mayoría de la gente. Es mejor que reutilizar la misma clave en todo.
El problema real: la reutilización
La mayoría de cuentas comprometidas no se pierden por fuerza bruta, sino porque la contraseña se filtró en otro servicio y alguien la probó en todos los demás. Esa técnica se llama relleno de credenciales y funciona porque casi todo el mundo repite claves.
Por eso la regla más importante no es «que sea complicada», sino que sea distinta en cada sitio. Y eso, con decenas de cuentas, solo es viable con un gestor.
Usa un gestor de contraseñas
Un gestor genera claves únicas y largas, las guarda cifradas y las rellena por ti. Solo tienes que recordar una: la maestra, que debe ser una frase larga y única, y que nunca debes usar en ningún otro sitio.
Elige uno que cifre en tu dispositivo antes de sincronizar, que permita exportar tus datos y que tenga auditorías públicas. Y activa la verificación en dos pasos en el propio gestor.
La verificación en dos pasos
Es la medida que más protege por unidad de esfuerzo. Aunque tu contraseña se filtre, sin el segundo factor no entran. En orden de robustez:
- Llave física: lo más seguro, resistente a suplantación de sitios.
- Aplicación de códigos temporales: buena y gratuita.
- SMS: mejor que nada, pero vulnerable al robo de línea telefónica.
Actívala al menos en el correo, el banco y las redes sociales. El correo es la cuenta crítica: quien lo controla puede restablecer todas las demás.
Si sospechas una filtración
- Cambia primero la contraseña del correo asociado.
- Cambia después las cuentas donde repetías esa clave.
- Revisa las sesiones activas y ciérralas todas.
- Comprueba que no hayan añadido un correo o teléfono de recuperación ajeno.
- Activa la verificación en dos pasos donde aún no la tuvieras.
Y una recomendación menor pero útil: las preguntas de seguridad («nombre de tu primera mascota») son contraseñas débiles disfrazadas. Respóndelas con texto aleatorio y guárdalo en el gestor.
Preguntas frecuentes
¿Cuántos caracteres debe tener una contraseña?
Al menos 12, y 16 o más para cuentas importantes. La longitud aporta más que los símbolos raros.
¿Es seguro un gestor de contraseñas?
Sí, y es mucho más seguro que reutilizar claves. Elige uno que cifre en tu dispositivo y protégelo con verificación en dos pasos.
¿Hay que cambiar las contraseñas cada tres meses?
Ya no se recomienda como norma general: los cambios forzados producen claves peores. Cámbialas ante indicios de filtración.
¿Sirve una frase larga en vez de símbolos?
Sí, siempre que las palabras sean aleatorias y no una frase con sentido, que resulta predecible.
