¿Qué es una contraseña segura y cómo se crea una que lo sea de verdad?

La mayoría elegimos contraseñas que podamos recordar: un nombre, una fecha de nacimiento, un número de teléfono o la contraseña de siempre con un dígito más. El problema es que lo que hace fácil recordar una contraseña también la hace fácil de adivinar. Esta guía explica qué es realmente una contraseña segura, cómo se descifran las contraseñas en la práctica, qué costumbres las debilitan y cómo proteger el correo y las demás cuentas importantes con el generador de contraseñas, un gestor de contraseñas y la autenticación en dos pasos.

¿Qué es una contraseña segura?

Una contraseña segura es aquella que ni siquiera un ordenador capaz de probar miles de millones de combinaciones por segundo puede encontrar en un tiempo razonable. Esa fortaleza nace de dos propiedades: la longitud y la aleatoriedad. Parecer complicada no basta por sí solo; P@ssw0rd! tiene un símbolo, dígitos y una mayúscula, y aun así es una de las primeras contraseñas que prueban las herramientas de descifrado.

El motivo se entiende al ver cómo funcionan los ataques. Los atacantes rara vez prueban contraseñas en la página de inicio de sesión de un sitio web, porque los sitios los bloquean tras unos pocos intentos fallidos. El peligro real llega cuando se filtra la base de datos de un sitio. Entonces el atacante tiene las versiones con hash de las contraseñas y puede probar en su propio ordenador sin ningún límite: primero, listas de contraseñas comunes y ya filtradas; después, esas mismas contraseñas con reglas previsibles, como la primera letra en mayúscula, @ en lugar de a o un año al final; y por último, todas las combinaciones posibles.

Entropía: la fortaleza de una contraseña, sin tecnicismos

La fortaleza de una contraseña generada de forma realmente aleatoria se mide como «entropía», en bits. Cada bit de entropía duplica el número de posibilidades que un atacante tiene que probar. Si cada carácter se elige al azar de un conjunto de N caracteres, la entropía de la contraseña es igual a su longitud multiplicada por el logaritmo en base 2 de N.

Un teclado inglés estándar tiene 94 caracteres imprimibles: 26 letras minúsculas, 26 mayúsculas, 10 dígitos y 32 símbolos. Cada carácter aleatorio de este conjunto aporta algo más de 6,5 bits de entropía, así que una contraseña aleatoria de 16 caracteres tomados de él tiene unos 105 bits.

Para que estas cifras sean tangibles, imagine a un atacante que prueba un billón (un millón de millones) de combinaciones por segundo contra un hash rápido. Probaría todas las contraseñas aleatorias posibles de 8 caracteres en menos de dos horas, pero con una contraseña de 16 caracteres tardaría más de un billón de años. La velocidad real depende del tipo de hash y del hardware, pero el patrón se mantiene: cada carácter aleatorio adicional hace el trabajo del atacante decenas de veces más difícil.

Una condición importante: este cálculo solo vale para una contraseña que de verdad se generó al azar. Una contraseña como Ali@1991! tiene nueve caracteres, pero como está construida con patrones comunes, cae en las primeras fases de un ataque.

Errores comunes que debilitan las contraseñas

• Una misma contraseña para varias cuentas: el error más peligroso de todos. Cuando se filtra un sitio sin importancia, los atacantes prueban automáticamente el mismo correo y la misma contraseña en proveedores de correo, redes sociales y tiendas en línea.
• Información personal: su nombre o el de su hijo, una fecha de nacimiento, un número de teléfono, un número de documento de identidad, una matrícula o su equipo favorito; información que a menudo se puede encontrar en las redes sociales.
• Sustituciones simples: p@ssw0rd en lugar de password, o $ en lugar de s, no añaden seguridad; estas reglas llevan años incorporadas en las herramientas de descifrado.
• Un año o un símbolo al final: 2026, 123 o ! detrás de una palabra están entre las primeras variaciones que se prueban, igual que cambiar 2025 por 2026 al actualizar una contraseña.
• Patrones de teclado: qwerty, 1qaz2wsx y 123456 aparecen en las listas de las contraseñas filtradas más comunes.
• Guardarlas de forma insegura: enviar una contraseña por una app de mensajería, o guardarla en una nota del móvil o en una captura de pantalla que se sincroniza con la nube.

Frases de contraseña: contraseñas que se pueden recordar

Para las pocas contraseñas que de verdad tiene que memorizar, como la contraseña maestra de su gestor de contraseñas o la de inicio de sesión de su portátil, una frase de contraseña (passphrase) es una buena opción: varias palabras aleatorias y sin relación entre sí, una detrás de otra. Una frase de contraseña también debe su fortaleza a la aleatoriedad. Si cada palabra se elige al azar de una lista de 7776 palabras, como en el método Diceware, que escoge las palabras tirando dados, cada palabra aporta unos 13 bits de entropía, y seis palabras dan más de 77 bits.

No «elija» usted las palabras; un verso famoso, un refrán o una frase con sentido no son aleatorios, por largos que sean. También es mejor formar la frase con letras sin tildes ni eñes, porque algunos sistemas tienen problemas con otros caracteres en las contraseñas. Para todas las demás cuentas, en las que un gestor de contraseñas rellena la contraseña por usted, una cadena aleatoria es más corta y más práctica. El generador de contraseñas de este sitio hace las dos cosas: el menú Modo cambia entre una cadena aleatoria y una frase de contraseña formada con esa misma lista de 7776 palabras; la página generador de frases de contraseña lo abre ya en ese modo.

Crear una contraseña segura con el generador de contraseñas

El generador de contraseñas crea la contraseña dentro de su navegador con crypto.getRandomValues, la fuente de aleatoriedad criptográficamente segura que los navegadores ofrecen para tareas de seguridad. La contraseña generada no se envía a ningún servidor ni se guarda en ninguna parte. Los pasos:

1. Deje el menú Modo en Contraseña si quiere una cadena aleatoria. El mismo menú ofrece también Frase de contraseña y PIN, así que la frase de contraseña de la que hablábamos antes y un PIN de 3 a 12 dígitos salen de esta misma herramienta.
2. Use el control deslizante Longitud para elegir una longitud de 4 a 128 caracteres; el valor por defecto es 16. Para el correo y las cuentas sensibles, elija 20 o más.
3. Elija los conjuntos de caracteres: Mayúsculas, Minúsculas y Números están activados por defecto. Al marcar Símbolos se añaden 26 símbolos, como !@#$%.
4. Si va a leer la contraseña en un papel o a teclearla a mano, active Excluir caracteres ambiguos para descartar caracteres que se confunden entre sí, como 0, O, 1, l e I. Para la contraseña de una wifi de invitados, también puede crear un código QR de wifi en lugar de dictar la contraseña.
5. Al menos uno de cada tipo está marcado por defecto: garantiza un carácter de cada conjunto que haya seleccionado, siempre que la longitud dé cabida a uno por conjunto. Déjelo activado cuando un sitio exija un dígito o un símbolo.
6. Haga clic en Generar. Generar 10 crea diez contraseñas de una vez; como Al menos uno de cada tipo está activado, todas contienen ya un carácter de cada conjunto elegido, así que puede quedarse con la primera. La lista solo está ahí por si prefiere elegir una que se lea con más facilidad.
7. Copie la contraseña con Copiar y péguela directamente en su gestor de contraseñas y en el formulario del sitio.

Con los ajustes por defecto (16 caracteres entre 62 letras y dígitos), la entropía es de unos 95 bits, y al activar los símbolos (88 caracteres) sube a unos 103 bits. Si un sitio no acepta símbolos, desmárquelos y aumente la longitud a 20; con unos 119 bits, el resultado es incluso más fuerte que una contraseña de 16 caracteres con símbolos. No hace falta que calcule usted la cifra: la línea que aparece debajo del resultado la indica, con los ajustes por defecto como Unos 95 bits de entropía. La etiqueta Fortaleza que aparece debajo de la contraseña es solo un indicador sencillo basado en la longitud y los tipos de caracteres; la medida real siguen siendo la longitud y la aleatoriedad.

Gestores de contraseñas: la única forma práctica de usar una contraseña distinta en cada sitio

Nadie puede memorizar contraseñas aleatorias y distintas para decenas de cuentas, y nadie espera que lo haga. Un gestor de contraseñas guarda todas sus contraseñas en una bóveda cifrada y solo le pide una frase de contraseña fuerte. La mayoría de los gestores rellenan automáticamente los formularios de inicio de sesión y, como comprueban la dirección del sitio, normalmente no rellenan la contraseña en una página falsa que solo se parece al sitio real; una ayuda real contra el phishing.

• El gestor de contraseñas integrado en su navegador o en su sistema operativo es la forma más sencilla de empezar, y está disponible en los dispositivos que se sincronizan con la misma cuenta.
• Los gestores de contraseñas independientes, como Bitwarden (de código abierto y con plan gratuito) o KeePassXC (de código abierto y totalmente sin conexión), funcionan con distintos navegadores y sistemas operativos.
• Active también la autenticación en dos pasos en el propio gestor de contraseñas, y guarde sus códigos de recuperación en un lugar seguro que no sea su teléfono.

Autenticación en dos pasos: una segunda capa de protección

Incluso la contraseña más fuerte puede acabar tecleada en una página de phishing o robada por un malware. La autenticación en dos pasos o de dos factores (2FA) significa que para iniciar sesión hace falta, además de la contraseña, algo que procede de un dispositivo que usted tiene. Sus métodos no son igual de seguros:

Anote los códigos de respaldo que se muestran durante la configuración y guárdelos en un lugar seguro, para no perder el acceso a la cuenta si pierde el teléfono. Y no envíe nunca un código de verificación a nadie; los mensajes del tipo «envíenos el código que le acabamos de mandar» están entre las estafas más habituales.

Una contraseña segura para su correo

Su cuenta de correo es su cuenta más importante, porque casi todos los servicios envían ahí sus enlaces para restablecer la contraseña; quien se hace con su correo puede cambiar también las contraseñas de la mayoría de sus otras cuentas. Para su dirección de correo principal, haga lo siguiente:

• Cree una contraseña aleatoria de al menos 20 caracteres que no use en ningún otro sitio.
• Active la autenticación en dos pasos con una app de autenticación o una passkey.
• Mantenga al día el número de teléfono y la dirección de correo de recuperación; un número que ya no tiene puede convertirse en una vía de entrada.
• Revise cada cierto tiempo la lista de dispositivos y sesiones abiertas en la cuenta, y cierre las que no reconozca.
• Busque su dirección de correo en haveibeenpwned.com para ver si aparece en filtraciones de datos conocidas.
• Introduzca la contraseña del correo solo en una página cuya dirección haya abierto usted mismo, nunca desde un enlace que le haya llegado en un mensaje.

¿Cuándo hay que cambiar una contraseña?

Los cambios de contraseña periódicos obligatorios, por ejemplo cada tres meses, ya no se recomiendan; las directrices del NIST, el organismo de normalización de Estados Unidos, también dicen que los servicios no deberían exigirlos, porque empujan a la gente a hacer cambios previsibles, como modificar el último dígito de la contraseña. Conserve una buena contraseña, pero cámbiela de inmediato si el servicio anuncia una filtración de datos o su dirección de correo aparece en una lista de filtraciones, si ha enviado la contraseña a alguien o la ha tecleado en un dispositivo público, si nota actividad desconocida en la cuenta, o si ha usado la misma contraseña en otro sitio.