Lo que de verdad importa
Casi todos los consejos sobre contraseñas se resumen en tres:
- Una contraseña distinta para cada cuenta. Es la regla que más protege y la que menos se cumple.
- Larga y generada al azar. 16 caracteres o más si la guarda un gestor; una frase de 6 o 7 palabras si tienes que recordarla.
- Guardada en un gestor de contraseñas, no en tu memoria ni en un archivo del escritorio.
Añade el doble factor (un código o una llave además de la contraseña) en el correo y en el banco, y ya estás por delante de la gran mayoría.
El mayor riesgo: repetir contraseña
La mayoría de las cuentas no se pierden porque alguien adivine la contraseña, sino porque se filtró en otro sitio. Cuando una web pequeña sufre un robo de datos, los atacantes prueban esas mismas parejas de correo y contraseña, de forma automática, en cientos de servicios: correo, tiendas, redes sociales, bancos. Se llama credential stuffing y funciona porque mucha gente usa la misma contraseña en todas partes.
Da igual lo fuerte que sea: si la usas en diez sitios, basta con que uno de ellos la guarde mal. Con contraseñas distintas, una filtración solo afecta a una cuenta.
Longitud antes que complejidad
Cada carácter extra multiplica las combinaciones posibles. Exigir «una mayúscula, un número y un símbolo» solo añade algo si la contraseña es aleatoria; si la elige una persona, el resultado es casi siempre una palabra con la primera letra en mayúscula y un número y un signo al final. Los programas de ataque prueban justo eso primero.
| Contraseña | Qué pasa |
|---|
| P@ssw0rd! | Cumple todas las reglas de complejidad y está en todas las listas de filtraciones. Cae al instante. |
| Barcelona2026! | Palabra común, año y signo: un patrón que se prueba en segundos o minutos. |
| k7#Qm2vX | Aleatoria pero corta: 8 caracteres son unos 51 bits, alrededor de un día en un ataque sin conexión. |
| tomate-colina-brujula-humo-ancla-vapor | 6 palabras al azar: 77 bits. Miles de siglos, y se puede memorizar. |
| vR9#tq!Lw2^mZx8&Pk4s | 20 caracteres al azar: 130 bits. No se puede adivinar, pero tampoco recordar: para el gestor. |
La norma del NIST revisada en 2025 lo recoge así: al menos 15 caracteres si la contraseña es la única protección de la cuenta, sin reglas de composición obligatorias y sin caducidad periódica.
Trucos que ya no funcionan
Cambiar letras por números
Escribir c0ntr4s3ñ4 en lugar de contraseña no engaña a nadie. Todas las herramientas de ataque prueban esas sustituciones de forma automática desde hace más de una década.
Una contraseña base con el nombre del sitio
Algo como Gato1987-netflix y Gato1987-amazon. Parece que tienes contraseñas distintas, pero en cuanto se filtra una, el patrón queda a la vista y las demás se deducen.
Datos personales
Nombres de hijos o mascotas, fechas, equipos de fútbol, la calle donde creciste. Mucho de eso está en tus redes sociales, y es lo primero que prueba alguien que te conoce.
Cambiarla cada 90 días
Obliga a recordar contraseñas nuevas constantemente, y el resultado es Primavera2026 seguida de Verano2026. Hoy se recomienda cambiarla solo cuando hay motivo.
Plan en cinco pasos
No hace falta cambiarlo todo en una tarde. Este orden protege primero lo que más importa:
- Elige un gestor de contraseñas. Bitwarden (gratuito y de código abierto), 1Password, KeePassXC (sin nube) o el que ya trae tu sistema (Contraseñas de Apple, Google). Cualquiera es mucho mejor que ninguno.
- Crea la contraseña maestra con una frase de 7 palabras en el generador de frases. Apúntala en papel y guárdala en casa hasta que te la sepas.
- Protege tu correo principal con una contraseña nueva generada al azar y el doble factor activado. Quien controla tu correo puede restablecer todas las demás cuentas.
- Cambia las cuentas críticas: banco, Apple o Google, redes sociales y tiendas con tu tarjeta guardada. Usa el generador con 20 caracteres.
- El resto, sobre la marcha. Cada vez que entres en una web con una contraseña antigua, cámbiala por una generada. En pocos meses las tendrás todas.
Las pocas que hay que memorizar
Con un gestor, solo tienes que recordar dos o tres: la maestra del gestor, la del inicio de sesión del ordenador o el móvil y, si quieres, la de tu correo. Para esas, una frase de contraseña es mucho más fácil de recordar que una ristra de símbolos e igual de segura, siempre que las palabras las elija un generador y no tú.
Llaves de acceso: lo que viene después
Cada vez más servicios (Google, Apple, Microsoft, Amazon, PayPal) permiten entrar con una llave de acceso (passkey): tu dispositivo guarda una clave criptográfica y la desbloqueas con la huella, la cara o el PIN del móvil. No hay nada que adivinar ni que filtrar, y no funciona en una web falsa. Si un servicio te la ofrece, actívala. Mientras tanto, las contraseñas siguen siendo necesarias en casi todas partes, y lo de esta guía sigue valiendo.