Contraseñas: por qué las que usas no valen y qué hacer
Cambiarlas cada tres meses ya no se recomienda. Lo que importa es la longitud, no repetirlas y activar la verificación en dos pasos.
Las recomendaciones sobre contraseñas han cambiado bastante, y buena parte de lo que se sigue enseñando ya no se considera buena práctica.
Lo que ya no se recomienda
Cambiarlas periódicamente sin motivo. Las guías actuales de referencia lo desaconsejan: obligar a cambiar cada tres meses hace que la gente use variaciones mínimas y predecibles —contraseña1, contraseña2— y las apunte en un papel. Solo se cambian si hay sospecha de compromiso.
Obsesionarse con símbolos raros. «P@ssw0rd!» es corta y predecible: los atacantes conocen esas sustituciones desde hace décadas.
Lo que sí importa
La longitud, por encima de todo. Cada carácter adicional multiplica el tiempo necesario para romperla. Una contraseña de 16 caracteres sencillos es muchísimo más fuerte que una de 8 con símbolos.
De ahí la recomendación de las frases de paso: cuatro o cinco palabras sin relación, fáciles de recordar y muy largas. «caballo grapa batería correcta» es más segura y más memorizable que «Xk7$mQ2».
No repetirlas. Este es el punto crítico. Las filtraciones masivas ocurren constantemente, y los atacantes prueban automáticamente las credenciales filtradas en otros servicios. Una contraseña reutilizada convierte una filtración en un problema en todas tus cuentas.
La verificación en dos pasos. Es la medida individual con más impacto. Aunque roben tu contraseña, no entran.
Cómo gestionarlo sin volverse loca
Nadie puede recordar cincuenta contraseñas largas y distintas. La solución es un gestor de contraseñas: guarda todas cifradas y tú solo memorizas una, la maestra.
Objeción habitual: «¿y si hackean el gestor?». Es un riesgo real y mucho menor que el de reutilizar contraseñas en cincuenta sitios, que es lo que hace casi todo el mundo. Los gestores serios cifran en local y no pueden ver tu contenido.
Los navegadores también los llevan integrados y son mejores que nada.
La verificación en dos pasos, por orden de seguridad
- Llave física — la más segura.
- Aplicación de autenticación que genera códigos temporales. Buena opción y gratuita.
- SMS — el más débil, porque existe el fraude de duplicado de tarjeta SIM. Aun así, mucho mejor que nada.
Actívala al menos en el correo electrónico —que es la llave maestra: con acceso a él se recuperan todas las demás—, el banco y las redes sociales.
Comprueba si te han filtrado
Existen servicios que permiten consultar si tu correo aparece en filtraciones conocidas. Si sale, cambia esa contraseña y todas las que fueran iguales.
Los errores frecuentes
- La misma para el correo y para todo lo demás.
- Datos personales: nombres, fechas, matrículas. Están en tus redes.
- Apuntarlas en el móvil en una nota sin proteger.
- Compartirlas por mensaje.
- Preguntas de seguridad con respuestas reales. «Nombre de tu primera mascota» está en tu Instagram. Contesta con algo inventado y guárdalo en el gestor.
Y lo más importante
La mayoría de los accesos no autorizados no vienen de romper contraseñas: vienen de que alguien la ha dado. Desconfía de correos y mensajes que pidan credenciales con urgencia, aunque parezcan de tu banco. Ninguna entidad las pide por ese canal.
