Contraseñas seguras: cómo crearlas y no olvidarlas

La mayoría de las cuentas robadas no caen por un ataque sofisticado, sino porque la contraseña era fácil de adivinar o se había usado en otro sitio que sufrió una filtración. Elegir bien y no repetir es la defensa más sencilla y la que más protege.

Cómo crear una contraseña robusta

INCIBE, el Instituto Nacional de Ciberseguridad, aconseja que tenga al menos entre 8 y 10 caracteres, y recuerda que cuanto más larga, mejor. Combina letras mayúsculas y minúsculas, números y caracteres especiales.

Lo que hay que evitar:

• Datos personales que otros pueden conocer o encontrar: tu nombre, tu fecha de nacimiento o tu teléfono.
• Palabras del diccionario y secuencias del teclado como «123456» o «qwerty», que se adivinan en segundos con ataques automáticos.
• Pequeñas variaciones de una contraseña que ya usas.

Un truco útil es partir de una frase que solo tú recuerdes y convertirla en contraseña con iniciales, números y símbolos. Es larga, difícil de adivinar y fácil de recordar.

Una contraseña distinta para cada cuenta

Reutilizar contraseñas es el error más peligroso: si un servicio sufre una filtración, quien obtenga tu clave la probará en tu correo, tu banco o tus redes. INCIBE recomienda crear contraseñas diferentes para cada cuenta y cambiarlas periódicamente, al menos cada seis meses, y de inmediato si un servicio avisa de una filtración.

Gestores de contraseñas: la forma cómoda de hacerlo bien

Recordar decenas de contraseñas distintas es imposible. Un gestor de contraseñas las guarda en una base de datos cifrada a la que se accede con una única contraseña maestra, así que solo tienes que recordar esa. Muchos también generan contraseñas aleatorias y las rellenan por ti.

La contraseña maestra tiene que ser la más robusta de todas y no debe usarse en ningún otro sitio. INCIBE aconseja proteger el gestor, además, con un doble factor de autenticación. Activa ese doble factor también en tu correo y en tu banco: aunque alguien descubra tu contraseña, necesitará un segundo código para entrar.

Cómo montar tu sistema en una tarde

Cambiar todas tus contraseñas de golpe es una tarea que abruma y casi nadie termina. Funciona mejor hacerlo por orden de importancia, sin prisas y en varias sesiones cortas:

1. Empieza por el correo electrónico. Es la llave maestra: casi todos los servicios te mandan por correo el enlace para restablecer la contraseña, así que quien controle tu correo puede entrar en todo lo demás. Dale la contraseña más robusta y activa el segundo factor.
2. Sigue con el banco y los servicios de dinero. Banca online, pasarelas de pago, tiendas donde tengas la tarjeta guardada y cualquier cuenta que pueda mover dinero.
3. Continúa con las redes sociales y la mensajería. Si te las roban, los estafadores se hacen pasar por ti ante tus contactos.
4. Termina con el resto. Servicios de uso ocasional, foros, tiendas antiguas. Si ya no usas una cuenta, lo más seguro es borrarla.

Instala un gestor de contraseñas antes de empezar, para que cada cuenta nueva que cambies quede guardada en el momento y con una clave generada al azar.

Frases de paso: largas y fáciles de recordar

La longitud pesa más que la complicación. Una contraseña corta con símbolos raros resulta difícil de recordar y, aun así, se descifra antes que una frase larga. Por eso se recomienda en muchos casos usar una frase de paso: varias palabras sin relación evidente entre sí, o una frase propia que solo tenga sentido para ti, con alguna mayúscula, un número y un símbolo en sitios no previsibles.

Evita las frases famosas, los refranes, las letras de canciones y los versos conocidos: figuran en los diccionarios que usan los programas de adivinación. Lo mejor es algo personal que no esté publicado en ninguna parte. Reserva este método para las pocas contraseñas que tendrás que recordar de memoria, como la maestra del gestor y la del correo; el resto, que las genere el gestor.

Cómo saber si tus datos ya se han filtrado

Muchas personas tienen datos circulando por internet sin saberlo, tras filtraciones de servicios que usaron años atrás. Existen servicios gratuitos de consulta, como Have I Been Pwned, donde puedes introducir tu correo y comprobar si aparece en alguna brecha conocida. Si sale, no entres en pánico: cambia la contraseña de ese servicio y de cualquier otro donde la hubieras repetido, y activa el segundo factor.

Ten cuidado con las páginas que dicen comprobar tus datos y te piden la contraseña: un servicio legítimo nunca necesita que se la des. Con tu correo es suficiente.

El segundo factor: qué tipos hay

El doble factor de autenticación añade un paso más después de la contraseña. No todos los métodos protegen igual:

• Aplicación de autenticación. Genera códigos temporales en tu móvil. Es una opción sólida y no depende de la red del teléfono.
• Llave de seguridad física. Un pequeño dispositivo que conectas o acercas al móvil. Es de las más robustas, aunque supone un coste y hay que guardarla bien.
• Código por SMS. Es mejor que nada y muy cómodo, pero es el método menos seguro, porque los mensajes pueden interceptarse o alguien puede conseguir un duplicado de tu tarjeta SIM. Úsalo si no hay otra opción.

Guarda los códigos de recuperación que te dé cada servicio al activar el segundo factor, en un sitio seguro y fuera del móvil. Si pierdes el teléfono y no los tienes, recuperar el acceso puede ser complicado.

Errores comunes que conviene evitar

• Guardar las contraseñas en un documento o en las notas del móvil sin protección. Si alguien accede al dispositivo, lo tiene todo. Un gestor cifrado es bastante más seguro.
• Compartir contraseñas por mensajería. Quedan guardadas en el historial de los dos teléfonos. Si hay que compartir un acceso, usa las funciones de compartición del propio gestor.
• Responder a correos que piden confirmar la clave. Ningún servicio serio te pide la contraseña por correo. Si dudas, entra tú mismo desde la dirección habitual.
• Contestar a las preguntas de seguridad con respuestas verdaderas. El nombre de tu primera mascota o de la calle donde creciste se pueden averiguar. Puedes inventar respuestas falsas y guardarlas en el gestor, como si fueran otra contraseña.
• Usar redes wifi públicas para iniciar sesión en servicios sensibles sin protección adicional. Si es inevitable, mejor usa los datos móviles.

Qué hacer si sospechas que alguien tiene tu contraseña

Actúa deprisa y con orden. Cambia primero la contraseña del servicio afectado desde un dispositivo de confianza. Después, cambia las de las cuentas que usaban la misma clave. Revisa los accesos recientes y los dispositivos conectados que muestra el servicio y cierra las sesiones que no reconozcas. Activa el segundo factor si no lo tenías, y mira si hay reglas de reenvío de correo o cambios en los datos de recuperación que tú no hiciste. Si el servicio es bancario, llama a tu banco por un canal oficial. Si necesitas orientación, INCIBE ofrece ayuda gratuita en ciberseguridad en el teléfono 017.

Fuentes

• INCIBE: crea contraseñas robustas, longitud, composición y qué evitar.
• INCIBE: gestores de contraseñas, qué son y cómo mejoran la seguridad.

Revisado por la redacción de Veridia el 31 Oct 2026