Casi todo el mundo sabe que debería usar contraseñas seguras. Menos gente sabe qué significa hoy "segura", y casi nadie puede recordar cuarenta cadenas aleatorias distintas. La buena noticia es que no hace falta. Esta guía explica cómo adivinan realmente las contraseñas los atacantes, qué hace que una contraseña sea difícil de descifrar, cómo crear una que de verdad puedas recordar y cómo manejar todas las demás sin volverte loco.
Por qué todavía se rompen las contraseñas débiles
Muy pocas contraseñas se descifran porque alguien se sienta frente a una página de inicio de sesión a probar opciones. La mayoría queda expuesta de una de estas tres formas:
- Filtraciones de datos y relleno de credenciales. Cuando hackean un sitio web, su lista de correos y contraseñas (o de hashes de contraseñas) suele terminar publicada en internet. Después, los atacantes prueban esos mismos pares de correo y contraseña en otros sitios, como el correo, el banco y las tiendas. Si reutilizaste la contraseña, el atacante entra sin tener que adivinar nada.
- Descifrado sin conexión. Si el sitio filtrado guardaba hashes de contraseñas, los atacantes pueden probar miles de millones de combinaciones por segundo con tarjetas gráficas comunes. Las contraseñas cortas, las palabras del diccionario y los patrones habituales como
Verano2026!caen rápido. - Phishing. Una página de inicio de sesión falsa y convincente simplemente te pide la contraseña. Ninguna complejidad sirve si la escribes en el sitio equivocado.
De ahí salen las dos reglas que más importan: cada cuenta importante necesita una contraseña única, y cada contraseña debe ser larga e impredecible. Todo lo demás son detalles.
Qué hace realmente segura a una contraseña
Los especialistas en seguridad miden la fortaleza de una contraseña en entropía: la cantidad de intentos que necesitaría un atacante en el peor de los casos, expresada en bits. Cada bit adicional duplica el trabajo. Dos factores determinan la entropía: el largo de la contraseña y lo impredecible de su elección.
El largo le gana a la complejidad
Una contraseña de caracteres aleatorios de todo el teclado (unos 94 caracteres imprimibles) aporta alrededor de 6,5 bits por carácter. Eso significa:
- 8 caracteres aleatorios ≈ 52 bits, al alcance de un ataque sin conexión decidido.
- 12 caracteres aleatorios ≈ 79 bits, seguro para la mayoría de los usos.
- 16 caracteres aleatorios ≈ 105 bits, muy por encima de lo que permite la fuerza bruta en la práctica.
Fíjate que agregar caracteres ayuda mucho más que cambiar letras por símbolos. C0ntr@seña parece compleja, pero las herramientas de descifrado prueban esas sustituciones primero, así que es débil. Una contraseña larga y aleatoria es segura aunque solo use letras y números.
El azar le gana al ingenio
La cuenta de la entropía solo funciona si la contraseña se eligió al azar. Las personas somos malas para el azar: elegimos nombres, fechas, patrones del teclado (qwerty, 1q2w3e), equipos de fútbol favoritos, y ponemos la primera letra en mayúscula y agregamos 1! al final. Los atacantes incorporan esos hábitos a sus reglas. Una contraseña que inventaste tú casi siempre es más débil de lo que parece.
Por eso un generador de contraseñas es el mejor punto de partida. Elige los caracteres al azar, así que no hay ningún patrón que aprovechar. Tú eliges el largo y qué tipos de caracteres incluir: minúsculas, MAYÚSCULAS, números y símbolos.
Qué recomiendan hoy los expertos
El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) publica pautas de identidad digital (SP 800-63B) que siguen muchas organizaciones en todo el mundo. Sus recomendaciones recientes cuestionaron varios hábitos viejos:
- Favorecen las contraseñas más largas y piden a los servicios que permitan contraseñas y frases de contraseña largas, con espacios incluidos.
- Desaconsejan las reglas de composición obligatorias como "debe tener un símbolo y un número", porque generan patrones predecibles.
- Desaconsejan los cambios periódicos obligatorios sin motivo, porque la gente responde con pequeños cambios predecibles. Cambia una contraseña cuando haya indicios de que quedó expuesta.
- Recomiendan que los servicios comparen las contraseñas nuevas con listas de contraseñas filtradas y las rechacen.
En resumen: que sea larga, única y que no haya aparecido en una filtración importa más que agregarle algunos símbolos.
Cómo crear una contraseña segura que puedas recordar
Solo necesitas memorizar unas pocas contraseñas: la contraseña maestra de tu gestor de contraseñas, la de tu correo principal y quizás la de tu computadora. Para esas, usa una frase de contraseña.
Paso 1: elige palabras al azar, no una frase que dirías
El método diceware elige palabras al azar de una lista de 7776 palabras usando dados (hay listas en español). Cada palabra aporta unos 12,9 bits de entropía, así que seis palabras aleatorias dan unos 77 bits, comparable con una contraseña aleatoria de 12 caracteres y mucho más fácil de recordar. Algo como órbita vela terciopelo hamaca tulipán balsa es seguro; una cita famosa o la letra de una canción no, porque los atacantes también las usan.
Paso 2: hazla memorable con una imagen
Imagina una escena que una las palabras: un satélite en órbita que sostiene una vela, envuelto en terciopelo, durmiendo la siesta en una hamaca llena de tulipanes sobre una balsa. Las imágenes mentales raras se recuerdan sorprendentemente bien.
Paso 3: agrega separadores si el sitio los exige
Si un sitio insiste en números o símbolos, ponlos entre las palabras en lugar de al final: orbita-vela-7-terciopelo-hamaca-tulipan. Cumple la regla sin hacerla más difícil de recordar. Si un sitio no acepta tildes o ñ, escríbelas sin ellas.
Paso 4: pruébala y practícala
Pásala por un verificador de seguridad de contraseñas para asegurarte de que no sea corta ni siga un patrón, y escríbela unas cuantas veces por día durante una semana hasta que te salga automáticamente. Para más precaución, prueba un ejemplo parecido en lugar de la contraseña exacta que vas a usar.
Para todo lo demás, genera y guarda
Para las decenas de cuentas restantes, como tiendas, streaming, foros y servicios, no memorices nada. Genera una contraseña aleatoria de 16 caracteres o más para cada una y guárdala en un gestor de contraseñas. Entre las opciones conocidas están Bitwarden, 1Password, los gestores integrados de los dispositivos Apple y de Google Chrome, entre otros. Completan las contraseñas por ti, se sincronizan entre dispositivos y muchos te avisan cuando una contraseña guardada aparece en una filtración conocida.
Un gestor de contraseñas también ayuda contra el phishing: no completa la contraseña de tu banco en un dominio parecido, lo que es una señal de alerta útil.
Activa la verificación en dos pasos
Incluso una contraseña perfecta puede robarse con phishing o filtrarse. La verificación en dos pasos (2FA) agrega un segundo control, así que una contraseña robada sola no alcanza. De más segura a menos segura, las opciones comunes son:
- Llaves de acceso (passkeys) o llaves de seguridad físicas, resistentes al phishing porque están ligadas al sitio web real.
- Códigos de una app de autenticación (contraseñas de un solo uso basadas en el tiempo).
- Códigos por SMS, mejores que nada pero vulnerables a los ataques de duplicado de SIM.
Activa primero la 2FA en tu correo. Quien controla tu correo puede restablecer casi todas tus demás contraseñas.
Errores comunes que conviene evitar
- Reutilizar contraseñas, aunque sea "solo para sitios sin importancia". Las filtraciones de sitios sin importancia son justamente la vía para secuestrar cuentas importantes.
- Datos personales como nombres, cumpleaños, mascotas o direcciones, muchos de los cuales son públicos en las redes sociales.
- Cambios predecibles como pasar de
Invierno2025!aPrimavera2026!. - Compartir contraseñas en texto plano por chat o correo. Usa la función para compartir de tu gestor de contraseñas.
- Preguntas de seguridad con respuestas reales. Trátalas como contraseñas extra y guarda respuestas aleatorias en tu gestor.
Un plan simple que puedes terminar este fin de semana
- Instala un gestor de contraseñas y crea para él una frase de contraseña de seis palabras.
- Cambia la contraseña de tu correo por una frase nueva y única, y activa la 2FA.
- Actualiza tus cuentas bancarias, de pagos y tus redes sociales principales con contraseñas creadas con el generador de contraseñas.
- En las próximas semanas, reemplaza las contraseñas reutilizadas cada vez que entres a un sitio viejo.
Herramientas útiles en el camino: el generador de contraseñas para contraseñas nuevas, el verificador de seguridad de contraseñas para probar un estilo de frase, el generador de números aleatorios si quieres tirar dados virtuales para diceware, y el analizador de URL para comprobar el dominio real de un enlace de inicio de sesión sospechoso antes de escribir nada.
Preguntas frecuentes
¿Qué largo debe tener una contraseña?
Para contraseñas generadas y guardadas en un gestor, 16 caracteres o más es un buen punto de partida. Para frases que memorizas, apunta a cinco o seis palabras aleatorias.
¿Las frases de contraseña son tan seguras como las contraseñas aleatorias?
Sí, si las palabras se eligen al azar. Seis palabras aleatorias de una lista grande son más o menos tan seguras como una contraseña aleatoria de 12 caracteres, y mucho más fáciles de recordar.
¿Debo cambiar mis contraseñas con frecuencia?
Las recomendaciones actuales dicen que no, salvo que haya un motivo, como una filtración, un intento de phishing o una contraseña compartida. Las contraseñas únicas y seguras no necesitan cambios de rutina.
¿Es seguro usar un generador de contraseñas en línea?
Un generador confiable crea la contraseña y te la muestra; no debería guardarla. Para más tranquilidad, usa el generador integrado de tu gestor de contraseñas en tus cuentas más sensibles.
¿Los gestores de contraseñas son seguros?
Para la mayoría de las personas, un gestor confiable protegido con una frase maestra segura y 2FA es mucho más seguro que reutilizar contraseñas o guardarlas en una app de notas.