ES EN

PasswordSecure.org

Cómo crear una contraseña segura

Tres reglas que importan, y unos cuantos consejos clásicos que puedes tirar.

Publicado el Quiénes somos

Casi todo lo que nos enseñaron sobre contraseñas seguras era medio falso. Mezclar mayúsculas, números y símbolos no sirve de gran cosa si el resultado sigue siendo Madrid2024!. Lo que de verdad importa es una sola idea: una contraseña es segura cuando nadie puede adivinarla ni calcularla, y eso depende de tres cosas, no de siete reglas.

Las tres reglas que importan

1. Larga

Cada carácter que añades multiplica el trabajo de quien intenta probarlas todas. Pasar de 8 a 12 caracteres no hace la contraseña un 50 % más difícil: la hace millones de veces más difícil. Por debajo de 12 no merece la pena discutir nada más; 16 es un buen objetivo para lo que importa. Puedes ver la diferencia exacta en la tabla de tiempos de descifrado.

2. Única

Esta es la regla que más gente incumple y la que más daño hace. Si reutilizas la misma contraseña, la seguridad de todas tus cuentas es la de la web peor protegida en la que te registraste. Cuando esa web sufre una filtración, los atacantes prueban ese mismo par de correo y contraseña en el banco, en el correo y en las redes. Es automático, es barato y funciona muchísimo más de lo que debería.

3. Aleatoria

Aquí está el truco que casi nadie ve. Una contraseña no es fuerte por parecer complicada, sino por haber sido elegida al azar. P@ssw0rd! tiene mayúsculas, números y símbolos, y está en las primeras posiciones de cualquier diccionario de ataque. Los programas que descifran contraseñas conocen todas las sustituciones típicas: la a por @, la o por 0, la i por 1. No son un obstáculo, son un patrón.

Lo que no funciona (aunque lo parezca)

  • Añadir 123 o ! al final. Es lo primero que prueban las herramientas de descifrado, precisamente porque es lo primero que hacemos todos.
  • Usar datos tuyos. El nombre de tu perro, tu año de nacimiento o tu equipo están en tus redes sociales. Un ataque dirigido empieza justo ahí.
  • Dibujar patrones en el teclado. qwerty, 1qaz2wsx o zxcvbnm parecen aleatorios y están todos en las listas.
  • Cambiarla cada tres meses. Esta política, obligatoria durante años en muchas empresas, empeora las cosas: la gente acaba rotando Verano1, Verano2, Verano3. El propio NIST estadounidense dejó de recomendarla.

Dos métodos que sí funcionan

Para las que no necesitas recordar: generarlas al azar

Son la inmensa mayoría. Para cualquier cuenta que abras en el navegador, la contraseña ideal es una cadena aleatoria larga que no vas a memorizar nunca porque no hace falta: la guarda el gestor. Genera una contraseña aleatoria de 16 caracteres o más y olvídate de ella.

Para las tres que sí: una frase de contraseña

Hay dos o tres contraseñas que tienes que poder escribir de memoria: la del gestor y la del correo principal, sobre todo. Ahí, una secuencia de palabras al azar gana a cualquier galimatías: estufa-cactus-vinilo-remar es más fácil de recordar que K7#mQ2!v y muchísimo más difícil de romper, porque es más larga. La clave está en que las palabras las elija un dado o un programa, no tú: una frase que tenga sentido vuelve a ser predecible. Nuestro generador de frases hace exactamente eso.

Cuántas tienes que recordar de verdad

Esta es la parte que descoloca a quien nunca ha usado un gestor: la respuesta es dos o tres. El resto vive dentro del gestor, protegido por esas dos. Deja de ser un problema de memoria y pasa a ser un problema de proteger bien dos llaves, que es mucho más manejable.

  1. La del gestor de contraseñas. Larga, única, memorizada, en ningún sitio más.
  2. La del correo principal. Quien controla tu correo puede restablecer casi cualquier otra cuenta mediante «he olvidado mi contraseña».
  3. La del dispositivo. Sin ella, todo lo anterior descansa sobre un ordenador que cualquiera puede abrir.

Cuándo hay que cambiarla

Solo cuando hay un motivo, no por calendario:

  • Cuando aparece en una filtración. Ahí toca actuar rápido y con orden: lo explicamos en qué hacer si tu contraseña se ha filtrado.
  • Cuando la has escrito en un ordenador que no es tuyo, o compartido con alguien.
  • Cuando sabes que es débil o repetida. En ese caso el momento es ahora, no el mes que viene.

Y una capa más

Una contraseña perfecta sigue siendo un único obstáculo. La verificación en dos pasos añade el segundo, y es lo que convierte una filtración en un susto en lugar de en un problema. Si quieres empezar por algún sitio, comprueba primero las que ya usas en el comprobador de contraseñas: se hace en el navegador y no envía tu contraseña a ninguna parte.

Fuentes