Cómo crear una contraseña segura y comprobar si se filtró
La mayoría de consejos sobre contraseñas están desactualizados. Obligar a usar símbolos y cambiarlas cada mes las hizo más difíciles de recordar sin volverlas mucho más seguras. Las recomendaciones actuales se centran en tres cosas: longitud, unicidad y comprobar si la contraseña aparece en filtraciones. Aquí tienes cómo aplicarlas.
Qué hace fuerte una contraseña
Los atacantes no adivinan contraseñas una por una a mano. Usan programas que prueban miles de millones de combinaciones, empezando por contraseñas filtradas, palabras de diccionario y patrones comunes como Summer2026!. Una contraseña fuerte es una que un programa no puede predecir: larga y aleatoria.
La longitud importa más que la complejidad. Cada carácter aleatorio adicional multiplica las posibilidades, mientras que cambiar a por @ es uno de los primeros trucos que prueban las herramientas de descifrado.
Genérala, no la inventes
Las personas somos malas generando aleatoriedad: elegimos nombres, fechas y patrones del teclado. Usa mejor el Generador de contraseñas. Configuraciones recomendables:
- 16 o más caracteres aleatorios para todo lo que guardes en un gestor de contraseñas.
- Una frase de paso de 4 a 6 palabras aleatorias (por ejemplo
staple-orbit-canyon-velvet-mint) para las pocas contraseñas que tengas que escribir o recordar, como el acceso a tu ordenador o la contraseña maestra del gestor.
Las palabras deben ser elegidas al azar por la herramienta. Una frase que inventes tú, como la letra de una canción o una cita, es mucho más fácil de adivinar.
Nunca reutilices una contraseña
Reutilizar es el riesgo real más grave. Cuando se filtra un sitio, los atacantes prueban los pares de correo y contraseña filtrados en sitios de correo, banca y compras. Esta técnica se llama credential stuffing. Tener una contraseña única para cada cuenta hace que una filtración siga siendo solo una filtración.
Nadie puede recordar 100 contraseñas distintas, y para eso existen los gestores de contraseñas. El gestor integrado en tu navegador o uno dedicado sirven; lo importante es que uses alguno.
Comprueba si una contraseña se ha filtrado
El Comprobador de filtraciones de contraseñas te indica si una contraseña aparece en colecciones de filtraciones conocidas, sin enviarla a ningún sitio. Calcula el hash de la contraseña en tu navegador con SHA-1 y envía al servicio Have I Been Pwned solo los primeros cinco caracteres del hash, que devuelve todos los hashes filtrados que empiezan por esos caracteres. La coincidencia se verifica en tu dispositivo. (Puedes ver cómo es un hash con el Generador de hash).
Si una contraseña aparece, cámbiala en todos los sitios donde la usaste. Aunque parezca fuerte, ya está en las listas que los atacantes prueban primero.
Qué dicen las recomendaciones actuales
Las directrices de identidad digital del Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST SP 800-63B) recomiendan que los servicios:
- Permitan contraseñas largas (de al menos 64 caracteres) y todos los caracteres imprimibles, incluidos los espacios.
- Comparen las contraseñas nuevas con listas de contraseñas filtradas y comunes.
- No impongan reglas de composición arbitrarias ni cambios periódicos. Cambia una contraseña cuando haya indicios de que se ha visto comprometida.
Añade un segundo factor
Incluso una contraseña perfecta puede ser víctima de phishing. Activa la autenticación en dos pasos para el correo, la banca y cualquier cuenta que pueda restablecer otras. Una app de autenticación o una passkey es más segura que los códigos por SMS, pero cualquier segundo factor es mucho mejor que ninguno.
Usa el Comprobador de fortaleza de contraseñas para ver cuánto tardaría en adivinarse una contraseña y por qué. Detecta palabras de diccionario, fechas y patrones.
