¿Cómo crear una contraseña segura?

El aviso llega siempre en mal momento: «su contraseña apareció en una filtración», o el banco rechaza la que viene usando desde hace años. ¿Cómo crear una contraseña segura entonces? La respuesta exige mucho menos que la ensalada de símbolos que casi todo el mundo imagina: se resuelve con una sola costumbre.

Más abajo encontrará qué vuelve verdaderamente difícil de adivinar una contraseña, un método para armar una larga que recordará sin esfuerzo y una lista breve de preguntas para juzgar la que ya emplea. Nada de esto lleva más de una tarde.

La fuerza es la cantidad de intentos que hay que descartar

Un programa que intenta entrar en su cuenta no escribe con los dedos como una persona. Parte de listas ya robadas y de patrones previsibles, y encadena millones de pruebas por segundo. Por eso la fuerza no depende del aspecto enrevesado de la contraseña, sino del largo de la fila de candidatos que hay que recorrer. Dicho de otro modo, la única pregunta que importa es esta: ¿cuántos intentos hay que descartar antes de llegar al suyo?

Dos cosas alargan esa fila: cuántos caracteres distintos caben en cada posición y cuántas posiciones hay. Lo segundo sale mucho más barato. En una contraseña de ocho signos, pasar de solo minúsculas a letras, cifras y símbolos multiplica el total por unas treinta mil veces; agregar tres minúsculas a esa misma contraseña lo multiplica por unas diecisiete mil, y con la cuarta letra ya supera el aporte de los símbolos, sin haber memorizado ni un signo raro.

Quienes trabajan en seguridad abrevian esos totales en «bits», porque las cifras dejan de ser legibles enseguida. Cada bit duplica la cantidad de intentos: diez bits de diferencia significan una búsqueda mil veces más larga, y veinte bits, un millón de veces. El Generador de contraseñas muestra ese valor junto a cada resultado; mover unos segundos su control de longitud alcanza para ver dónde queda cada tamaño.

Cadena de palabras: larga y aun así memorable

El único defecto real de una contraseña larga es que se olvida. La solución consiste en encadenar palabras tomadas al azar en lugar de caracteres sueltos: cinco palabras lo acercan a los treinta signos, se leen de un vistazo y quedan en la cabeza como una escena pequeña en vez de como un código. «melon-cortina-ancla-farol-horno» muestra la forma, y se teclea en un móvil mucho mejor que una hilera de signos de puntuación.

Todo el método descansa en que las palabras salgan de verdad al azar. Las cinco primeras que se le ocurran no son azar: cada persona tira de ideas vecinas, y los programas de ataque conocen esos atajos. Si se pregunta de dónde sacar palabras sin relación entre sí, la fuente ya está en la habitación: abra al azar cualquier libro del estante, cinco veces seguidas; en cada apertura tome el primer sustantivo concreto de la parte alta de la página izquierda y vuelva a cerrarlo. Cinco aperturas, una contraseña.

Reserve este método para el puñado de contraseñas que debe recordar de memoria: la sesión de la computadora, el desbloqueo del teléfono, el correo electrónico y la contraseña maestra de un gestor si usa alguno. Armar cadenas de palabras para decenas de cuentas se vuelve una tarea pesada; esas conviene llenarlas con contraseñas sorteadas y guardadas.

• Las palabras se sortean: «se me ocurrió» no es azar
• No forme una frase; el orden familiar encabeza las listas de ataque
• Sepárelas con guiones o puntos: se leen mejor y suman largo
• Apunte a cinco palabras y nunca baje de cuatro
• Deje fuera nombres propios, año de nacimiento, equipo favorito y ciudad natal

Repetir la misma contraseña: la costumbre más cara

La manera más frecuente de perder una cuenta no es que hayan roto su contraseña, sino que se haya filtrado en otro sitio. Una tienda pequeña o un foro que ya había olvidado sufre una fuga; su correo y su contraseña caen en una lista; y ese par se prueba después, uno por uno, en bancos, redes sociales y proveedores de correo. En ese escenario da igual lo fuerte que sea la contraseña: nadie está adivinando, solo están probando lo que ya tienen.

El único antídoto es dar una contraseña distinta a cada cuenta. No hace falta rehacerlo todo hoy: ordénelas por importancia. Arriba de todo va el correo electrónico, porque allí llegan los enlaces de «olvidé mi contraseña» del resto de las cuentas; quien se queda con el correo abre las demás en cadena. Después vienen el dinero y los trámites: banca en línea, aplicaciones de pago, el portal donde declara impuestos, la cita en la oficina de trámites o en el consulado, el expediente de un visado.

La segunda precaución es activar la verificación en dos pasos siempre que exista. Aunque su contraseña se filtre, nadie entra sin el código que llega al teléfono o que produce una aplicación. ¿Dónde se encuentra la opción? Abra el menú de su cuenta dentro del servicio y busque el apartado «Seguridad» o «Inicio de sesión y seguridad»; allí suele figurar con ese nombre exacto.

• Puesto 1: el correo electrónico — toda recuperación pasa por él
• Puesto 2: banca, pagos y billeteras del teléfono
• Puesto 3: impuestos, trámites en línea, consulado, expedientes escolares
• Puesto 4: redes sociales y tiendas
• Último puesto: los registros que hizo una vez y olvidó

¿Mi contraseña sirve? Seis preguntas

Puede juzgar su contraseña sin escribirla en ningún sitio. Basta un solo «sí» entre las seis preguntas siguientes para decidir que merece ser reemplazada. Desconfíe de las páginas que ofrecen puntuar su contraseña: nada le obliga a entregar el secreto a un desconocido para saber si es corta o previsible.

• ¿Tiene menos de 12 signos? Una contraseña corta sigue siendo débil ante el equipo actual, por enredada que parezca
• ¿Incluye su nombre, su año de nacimiento o el nombre de un hijo o una mascota?
• ¿Es una palabra del diccionario con una cifra delante y un signo de admiración detrás?
• ¿Recorre teclas vecinas del teclado?
• ¿Se repite en algún otro sitio?
• ¿Anda escrita en claro en algún lado: en un correo, en las notas del teléfono, en un archivo del escritorio?

¿Dónde guardar tantas contraseñas?

Retener decenas de contraseñas fuertes queda fuera del alcance de cualquiera, y tampoco es el objetivo. Hay tres caminos razonables. El primero es un gestor de contraseñas: guarda todo en una caja cifrada y usted solo memoriza la contraseña maestra, que es justamente para lo que sirve el método de las palabras sorteadas. El segundo es la caja que trae su navegador, menos flexible pero muchísimo mejor que no hacer nada. El tercero es una libreta de papel guardada en casa: anticuada, sí, pero es el único soporte al que ninguna red llega.

La lista de costumbres a evitar es corta: mandarse las contraseñas por correo, enviárselas por mensajería instantánea o sostener la lista en un archivo de texto simple. Si aun así prefiere un archivo, use la protección con contraseña que ofrece su procesador de textos o su hoja de cálculo al guardar: el documento solo se abre con esa clave y a usted le queda una sola cosa que recordar. Conserve además una copia fuera del aparato, porque un archivo protegido que se pierde se pierde del todo.

¿Cuándo conviene cambiarla?

«Cambie la contraseña cada tres meses» fue durante años la regla fija de las políticas de empresa; hoy la mayoría de las guías de seguridad se aparta de esa obligación. El motivo viene de la observación: obligada a cambiar sin descanso, la gente no construye una contraseña fuerte, sino que sube en uno la cifra final, y la serie resultante se vuelve más previsible que la anterior. Sustituir sin motivo una contraseña larga y exclusiva no la refuerza.

Los casos que sí piden un cambio están claros y todos exigen actuar sin demora: un servicio le avisa de una filtración, descubre que la misma contraseña se repite en otra parte, se la contó a alguien, entró desde una computadora compartida o de un locutorio, o ve movimientos desconocidos en la cuenta. En este último caso cambiarla no basta: busque en esa misma pantalla la lista de dispositivos conectados y cierre todas las demás sesiones, o quien entró seguirá tranquilo desde la suya.

Preguntas frecuentes

¿Cuántos caracteres debe tener una contraseña?

Para las que memoriza, dieciséis signos son una buena meta y conviene no bajar de doce. Para las que guarda y no volverá a teclear, alargarlas no le cuesta nada: veinte signos o más se usan sin ninguna molestia.

¿Puede darme ejemplos de contraseñas seguras?

No use nunca tal cual un ejemplo publicado: una contraseña escrita en algún sitio ya dejó de ser secreta. Los ejemplos solo muestran la forma: cinco palabras sorteadas unidas por guiones, o una serie al azar de dieciséis a veinte signos. Lo más rápido es producir una tanda con el Generador de contraseñas y guardar la que le guste.

¿Hay que cambiar la contraseña cada tres meses?

No hace falta. Reemplazar sin razón una contraseña larga y usada en una sola cuenta no mejora la seguridad y empuja hacia variantes fáciles donde solo se mueve la última cifra. Los motivos reales son un aviso de filtración, haberla compartido o ver actividad desconocida.

¿No es arriesgado usar un gestor de contraseñas?

Juntarlo todo en un mismo sitio asusta al principio, pero la alternativa casi siempre es repetir la misma clave en todas partes, y ese riesgo es seguro. Si adopta uno, arme su contraseña maestra con el método de las palabras sorteadas, active la verificación en dos pasos si existe y no olvide respaldar la caja.

¿Cómo sé si mi contraseña se filtró?

Casi todos los navegadores actuales y los gestores comparan sus claves guardadas con listas de filtraciones conocidas y avisan cuando hay coincidencia; ese control vive en los ajustes de contraseñas del navegador. Si aparece un aviso, cambie primero la cuenta señalada y después todas aquellas donde repetía la misma clave.

Última actualización: 27 de agosto de 2026