¿Qué hace segura a una contraseña? Guía práctica
Las contraseñas débiles son una de las causas más frecuentes de accesos no autorizados. Entender qué hace fuerte a una contraseña —y cómo crearla— lleva solo unos minutos y te protege indefinidamente.
Los cuatro pilares de una contraseña robusta
- Longitud: cada carácter adicional multiplica el número de combinaciones que un atacante debe probar. Apunta a 16 caracteres o más.
- Aleatoriedad: evita palabras del diccionario, nombres y patrones predecibles. La verdadera aleatoriedad se consigue mejor con un generador que con la memoria humana.
- Variedad de caracteres: combina mayúsculas, minúsculas, dígitos y caracteres especiales para ampliar el conjunto posible.
- Unicidad: nunca reutilices una contraseña en varias cuentas. Una filtración en un sitio expondría todas las cuentas que la comparten.
Entropía de contraseñas en términos sencillos
La entropía mide cuán impredecible es una contraseña. Una contraseña de 8 caracteres con solo minúsculas (26 opciones por carácter) tiene unos 38 bits de entropía. Con mayúsculas, dígitos y símbolos (unas 94 opciones) y una longitud de 16 caracteres, la entropía supera los 100 bits, bien por encima de lo que cualquier ataque de fuerza bruta puede alcanzar en un tiempo razonable.
Cómo generar una contraseña segura
- Abre la herramienta Generador de Contraseñas.
- Ajusta la longitud a 16 caracteres o más.
- Activa todos los tipos de caracteres: mayúsculas, minúsculas, números y símbolos.
- Haz clic en Generar para crear una contraseña aleatoria criptográficamente segura.
- Cópiala de inmediato y guárdala en tu gestor de contraseñas.
Tip: Nunca guardes contraseñas en un archivo de texto plano o en notas del navegador. Usa un gestor de contraseñas como Bitwarden (gratuito y de código abierto), 1Password o KeePass.
Errores comunes con contraseñas
- Usar información personal: fechas de nacimiento, nombres y mascotas son lo primero que prueban los atacantes.
- Sustituciones simples: cambiar "a" por "@" o "e" por "3" es bien conocido por los atacantes y apenas añade seguridad.
- Contraseñas cortas: una de 8 caracteres se puede descifrar en horas con hardware moderno; con 12 caracteres ese tiempo se eleva a años.
- Reutilizar contraseñas: un ataque de credential stuffing toma un par correo/contraseña filtrado y lo prueba automáticamente en cientos de sitios.
Autenticación en dos pasos
Incluso la contraseña más robusta puede ser víctima de phishing. Activa la autenticación en dos pasos (2FA) en todas las cuentas que lo admitan. Las aplicaciones autenticadoras como Google Authenticator o Authy son más seguras que los códigos por SMS, que son vulnerables a ataques de intercambio de SIM.