Cómo crear una contraseña segura: longitud, frases de contraseña y MFA
Cómo crear una contraseña segura según NIST y CISA: que sea larga, única y aleatoria, prueba una frase de contraseña, usa un gestor de contraseñas y activa la MFA.
Esta guía es solo información general, no asesoramiento financiero, legal ni técnico profesional. Los menús y las normas pueden variar según el dispositivo y el país.
Una contraseña segura es larga, aleatoria y exclusiva de una sola cuenta. Las recomendaciones actuales del Gobierno de Estados Unidos dan más importancia a la longitud que a la complejidad: la CISA recomienda al menos 16 caracteres, como una cadena aleatoria creada por un gestor de contraseñas o una frase de contraseña de 5 a 7 palabras sin relación entre sí.
La longitud y que sea única importan mucho más que cambiar letras por símbolos. Añade la autenticación multifactor (MFA) a tus cuentas importantes y estarás protegido aunque se filtre una contraseña.
Respuesta rápida
- Que sea larga: intenta que tenga al menos 16 caracteres. Cuanto más larga, más segura.
- Que sea única: usa una contraseña distinta para cada cuenta.
- Que sea aleatoria: deja que la genere un gestor de contraseñas o usa de 5 a 7 palabras sin relación como frase de contraseña.
- Olvida las normas antiguas: no necesitas símbolos obligatorios ni cambiar la contraseña cada cierto tiempo. Cámbiala cuando pueda haber quedado expuesta.
- Usa un gestor de contraseñas para crear, guardar y rellenar tus contraseñas.
- Activa la MFA en el correo, el banco, la salud y otras cuentas importantes.
¿Qué hace que una contraseña sea segura?
Los atacantes casi nunca adivinan contraseñas a mano. Usan programas que prueban listas enormes de contraseñas comunes, contraseñas filtradas y patrones predecibles. Una contraseña segura les gana a estas herramientas de tres formas.
- Longitud. Cada carácter extra multiplica el número de combinaciones posibles. Por eso tanto el NIST como la CISA se centran en la longitud.
- Aleatoriedad. Las palabras, los nombres, las fechas y los patrones de teclado como "qwerty" son lo primero que prueban los atacantes. Las elecciones realmente aleatorias son mucho más difíciles de descifrar.
- Que sea única. Cuando hackean un sitio web, los delincuentes prueban el correo y la contraseña robados en otros sitios. Si reutilizas contraseñas, una sola filtración puede abrir muchas cuentas.
Qué dicen las recomendaciones actuales
El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) redacta las normas sobre contraseñas que siguen muchas organizaciones. Sus directrices de identidad digital dicen que los servicios deberían:
- Exigir contraseñas de al menos 15 caracteres cuando la contraseña es la única forma de iniciar sesión, o de al menos 8 caracteres cuando se usa junto con MFA.
- Permitir contraseñas de al menos 64 caracteres.
- No obligar a mezclar tipos de caracteres, como "una mayúscula, un número y un símbolo".
- No obligar a cambiar la contraseña periódicamente, pero sí exigir el cambio si hay indicios de que se ha visto comprometida.
- Comparar las contraseñas nuevas con listas de contraseñas comunes o ya filtradas.
- Permitir los gestores de contraseñas, el autorrelleno y la opción de pegar.
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) da consejos parecidos al público: al menos 16 caracteres, una contraseña distinta para cada cuenta y un gestor de contraseñas que haga el trabajo.
Cómo crear una contraseña segura, paso a paso
Opción 1: deja que la genere un gestor de contraseñas (la mejor)
- Elige un gestor de contraseñas de confianza. Muchos navegadores y teléfonos incluyen uno, y también hay apps independientes.
- Protege el gestor con una contraseña maestra o frase de contraseña larga y única, y activa la MFA en él.
- Cuando crees o actualices una cuenta, usa la opción de generar contraseña del gestor.
- Ajusta la longitud a 16 caracteres como mínimo. Si el sitio lo permite, hazla más larga.
- Guárdala en el gestor. La próxima vez la rellenará por ti, así que nunca tendrás que memorizarla.
Opción 2: crea una frase de contraseña que puedas recordar
Úsala para las pocas contraseñas que tienes que escribir de memoria, como la de inicio de sesión del ordenador o la contraseña maestra de tu gestor.
- Elige de 5 a 7 palabras sin relación entre sí. Cuanto más aleatorias, mejor. Evita letras de canciones, citas y cualquier cosa sobre ti.
- Elegir las palabras al azar (por ejemplo, tirando dados sobre una lista de palabras o abriendo un diccionario por páginas al azar) es más seguro que escoger palabras que "parecen" aleatorias.
- Únelas, con o sin espacios o con un separador si el sitio lo permite: por ejemplo, farol-grava-ostra-tundra-pepinillo. (No uses este ejemplo. Ya es público).
- Comprueba que tenga al menos 16 caracteres. La mayoría de las frases de cinco palabras lo superan de sobra.
- Úsala solo para una cuenta.
Opción 3: mejora una contraseña débil que ya tengas
- Empieza por tus cuentas más importantes: el correo, el banco y cualquier cuenta que pueda restablecer otras.
- Sustituye las contraseñas cortas o reutilizadas por una contraseña generada o una frase de contraseña nueva.
- Activa la MFA mientras estás en los ajustes de seguridad de la cuenta.
- Ve cambiando el resto poco a poco, usando como lista de tareas la lista de contraseñas reutilizadas o débiles de tu gestor.
Contraseñas débiles y seguras
| Tipo de contraseña | Patrón de ejemplo | Seguridad | Por qué |
|---|---|---|---|
| Palabra común con sustituciones | P@ssw0rd1 | Débil | Corta y está en la lista de cualquier atacante |
| Nombre o fecha | Nombre + año de nacimiento | Débil | Fácil de encontrar en redes sociales |
| Combinación aleatoria corta | 8 caracteres aleatorios | Moderada | Difícil de adivinar, pero demasiado corta según las recomendaciones actuales |
| Frase de contraseña | 5–7 palabras aleatorias sin relación | Fuerte | Larga y fácil de recordar |
| Cadena aleatoria generada | 16 o más caracteres aleatorios | La más fuerte | Larga, aleatoria y guardada por ti |
La tabla muestra patrones, no contraseñas reales. Nunca uses una contraseña de ejemplo de ningún sitio web.
Activa la autenticación multifactor (MFA)
La MFA añade un segundo paso al iniciar sesión, así que una contraseña robada no basta por sí sola. La CISA recomienda activarla en el correo, el banco, los servicios de salud y otras cuentas importantes. Tu correo va primero, porque quien lo controle puede restablecer tus demás contraseñas.
Los métodos de MFA más comunes son:
- Apps de autenticación que muestran un código nuevo cada 30 segundos.
- Códigos enviados por SMS o correo. Mejor que no tener MFA, pero la CISA advierte que los códigos por SMS y por llamada son vulnerables al phishing y a los ataques de duplicado de SIM (SIM swapping), así que úsalos como último recurso.
- Biometría, como la huella dactilar o el reconocimiento facial.
- Inicio de sesión basado en FIDO, como una llave de seguridad física. La CISA considera FIDO/WebAuthn el único método ampliamente disponible resistente al phishing.
Para configurarla, busca en los ajustes de Seguridad o de Inicio de sesión de la cuenta opciones como "verificación en dos pasos" o "autenticación multifactor". Guarda los códigos de recuperación en un lugar seguro.
Errores comunes que debes evitar
- Reutilizar contraseñas. Es el mayor riesgo. Una sola filtración puede dejar al descubierto todas las cuentas que comparten la contraseña.
- Confiar en cambiar caracteres. Sustituir la "a" por "@" o añadir "1!" al final es predecible, y las herramientas para descifrar contraseñas lo prueban automáticamente.
- Usar información personal. Los nombres de mascotas, los cumpleaños y los equipos favoritos son fáciles de encontrar en internet.
- Apuntar las contraseñas en una nota o una hoja de cálculo sin protección. Usa un gestor de contraseñas cifrado.
- Compartir contraseñas o códigos de MFA. Las empresas de verdad nunca te piden la contraseña ni un código de acceso por teléfono, SMS o correo. Aprende cómo detectar estafas en internet y phishing.
- Cambiar las contraseñas cada cierto tiempo sin motivo. El NIST ya no recomienda los cambios periódicos obligatorios, que suelen llevar a modificaciones pequeñas y predecibles. Cambia una contraseña cuando haya indicios de que ha quedado expuesta.
Preguntas frecuentes
¿Cuántos caracteres debe tener una contraseña segura?
La CISA recomienda al menos 16 caracteres, y cuantos más, mejor. El NIST dice que los servicios deberían exigir al menos 15 caracteres cuando la contraseña es el único factor de inicio de sesión. Un gestor de contraseñas hace que usar contraseñas largas sea fácil.
¿De verdad las frases de contraseña son más seguras que las contraseñas complejas?
Una frase de contraseña larga con palabras realmente aleatorias suele ser más fuerte que una contraseña corta llena de símbolos, y es mucho más fácil de recordar. La longitud aporta más seguridad que las reglas de complejidad.
¿Debo cambiar mis contraseñas con regularidad?
Las recomendaciones actuales del NIST dicen que no hace falta cambiarlas según un calendario fijo. Cambia una enseguida si un servicio informa de una filtración, si notas actividad sospechosa o si la compartiste por error.
¿Son seguros los gestores de contraseñas?
Un gestor de contraseñas de confianza protegido con una contraseña maestra fuerte y MFA es mucho más seguro que reutilizar contraseñas o apuntarlas. Además, hace que sea práctico usar una contraseña única en todas partes.
¿Qué hago si mi contraseña apareció en una filtración de datos?
Cambia esa contraseña de inmediato, y también la de cualquier cuenta donde usaras la misma. Activa la MFA y revisa la actividad reciente de la cuenta. Si la cuenta se usaba para pagos o dinero, revisa también los extractos.
¿Es seguro dejar que el navegador guarde mis contraseñas?
Los gestores de contraseñas integrados en los principales navegadores y teléfonos son una opción razonable para mucha gente, sobre todo con el bloqueo del dispositivo y la MFA activados. Antes de borrar la caché del navegador, asegúrate de no borrar también contraseñas guardadas que necesitas.