Si usas la misma contraseña (o la misma con un número al final) en varias webs, no eres el único: es lo que hace la mayoría de la gente. También es, probablemente, el mayor riesgo de seguridad que corres en internet.
La buena noticia es que la solución no consiste en memorizar decenas de contraseñas complicadas, sino en dejar que una herramienta lo haga por ti. En esta guía te explicamos por qué es tan peligroso reutilizar, cómo es una contraseña segura y cómo organizarlo todo en una tarde.
El verdadero peligro: la reutilización
Cada cierto tiempo, alguna web sufre un ataque y se filtran millones de correos y contraseñas. Los atacantes prueban después esas combinaciones automáticamente en otros servicios: correo, redes sociales, tiendas, bancos. Se llama relleno de credenciales (credential stuffing).
Si tu contraseña de una tienda online que sufrió una filtración es la misma que la de tu correo, el atacante entra en tu correo sin necesidad de "hackear" nada. Y desde el correo puede restablecer las contraseñas de casi todo lo demás.
Puedes comprobar si tu correo aparece en filtraciones conocidas en la web haveibeenpwned.com. Si aparece, cambia la contraseña de ese servicio y de cualquier otro donde usaras la misma.
Cómo es una contraseña segura
Lo que más importa es la longitud y que sea única:
- Larga: al menos 12–14 caracteres; mejor 16 o más.
- Única: distinta para cada servicio.
- Impredecible: nada de nombres, fechas de cumpleaños, el nombre del perro ni secuencias de teclado ("qwerty", "123456").
Cambiar letras por números ("P4ssw0rd") no la hace segura: los programas de los atacantes prueban esas sustituciones desde hace años.
El truco de la frase de contraseña
Para las pocas contraseñas que sí tienes que memorizar (la del ordenador o la del gestor de contraseñas), usa una frase de varias palabras aleatorias:
tortilla-satelite-lunes-acordeon
Es larga, fácil de recordar y muy difícil de adivinar. Cuantas más palabras sin relación entre sí, mejor. Evita frases famosas o letras de canciones.
La solución: un gestor de contraseñas
Un gestor de contraseñas es una aplicación que crea, guarda y rellena tus contraseñas por ti. Solo tienes que recordar una: la contraseña maestra.
Ventajas: - Genera contraseñas largas y aleatorias para cada web. - Las rellena automáticamente en el navegador y en las apps del móvil. - Sincroniza entre ordenador y móvil. - Te avisa de contraseñas repetidas, débiles o filtradas. - Rellena solo en la web correcta, lo que te protege de páginas falsas que imitan a tu banco.
Opciones habituales:
| Gestor | Tipo | Comentario |
|---|---|---|
| Gestor de Google (Chrome/Android) | Integrado, gratis | Cómodo si usas Chrome y Android |
| Contraseñas de Apple (iPhone/Mac) | Integrado, gratis | Ideal en el ecosistema Apple; también funciona en Windows |
| Bitwarden | Independiente | Plan gratuito muy completo, código abierto |
| 1Password, Proton Pass, Dashlane | Independientes | Con planes de pago y opciones familiares |
Los integrados son una mejora enorme frente a no usar nada. Los independientes funcionan en cualquier navegador y sistema, útil si mezclas Windows, iPhone y Android.
Cómo empezar en una tarde
- Elige un gestor e instálalo en el ordenador y el móvil.
- Crea una contraseña maestra larga, con el truco de la frase. Apúntala en papel y guárdala en un lugar seguro de casa hasta que la memorices.
- Activa la verificación en dos pasos en el propio gestor.
- Empieza por las cuentas importantes: correo electrónico, banco, cuenta de Google o Apple ID, redes sociales y tiendas con tu tarjeta guardada. Cambia sus contraseñas por unas generadas por el gestor.
- El resto, poco a poco: cada vez que entres en una web con una contraseña antigua, cámbiala por una nueva generada.
Llaves de acceso (passkeys): el futuro sin contraseñas
Cada vez más servicios (Google, Apple, Microsoft, Amazon, PayPal, WhatsApp…) permiten iniciar sesión con llaves de acceso. En lugar de escribir una contraseña, confirmas con la huella, la cara o el PIN de tu móvil u ordenador.
Por qué son mejores: - No hay contraseña que robar ni que reutilizar. - No sirven en webs falsas: están ligadas a la web real, así que el phishing no funciona. - Son más rápidas.
Si un servicio te ofrece crear una llave de acceso, acéptala. Se guardan en tu gestor de contraseñas o en tu cuenta de Google o Apple y se sincronizan entre tus dispositivos.
Y además: verificación en dos pasos
Una contraseña única y fuerte es la primera capa. La segunda es la verificación en dos pasos: aunque alguien consiga tu contraseña, necesitará también tu móvil. Te lo explicamos en verificación en dos pasos.
Errores frecuentes
- Apuntar contraseñas en una nota del móvil sin protección o en un post-it en el monitor.
- Compartir contraseñas por WhatsApp o correo. Si tienes que compartir, la mayoría de gestores tienen opciones seguras para hacerlo.
- Responder preguntas de seguridad con datos reales ("nombre de tu primera mascota") que pueden averiguarse en tus redes. Puedes responder con otra contraseña aleatoria guardada en el gestor.
- No cambiar la contraseña tras una filtración.
Preguntas frecuentes
¿Y si hackean el gestor de contraseñas? Los buenos gestores cifran tus datos con tu contraseña maestra, de forma que ni la propia empresa puede leerlos. Es mucho más seguro que reutilizar contraseñas. Lo importante es una contraseña maestra fuerte y la verificación en dos pasos.
¿Y si olvido la contraseña maestra? Algunos gestores tienen opciones de recuperación (kit de emergencia, contactos de confianza). Guarda la información de recuperación en papel, en un lugar seguro.
¿Cada cuánto hay que cambiar las contraseñas? Si son largas, únicas y no han aparecido en filtraciones, no hace falta cambiarlas periódicamente. Cámbialas cuando haya una filtración o sospeches que alguien la conoce.
En resumen
No reutilices contraseñas. Usa un gestor que las cree y recuerde por ti, protege la contraseña maestra con una frase larga, activa la verificación en dos pasos y acepta las llaves de acceso cuando te las ofrezcan. Una tarde de trabajo te protege durante años.
