Contraseñas seguras hoy: de frases largas a las passkeys

Las contraseñas no se rompen como en las películas. Nadie se sienta a adivinar el nombre de tu perro: las contraseñas se filtran de servicios hackeados por millones y luego se prueban de forma automática en todos los demás sitios. Esta mecánica de máquinas dicta las verdaderas reglas de protección, bastante distintas de los habituales «ocho caracteres con un asterisco» de las viejas guías. Ordenémoslas, desde las propiedades de la contraseña hasta la vida sin ella.

Lo que importa de verdad

Dos propiedades lo deciden todo. Unicidad: una contraseña por servicio, porque de lo contrario la filtración de cualquier sitio abre toda tu vida; probar pares filtrados de usuario y contraseña en otros servicios es el principal método de hackeo masivo. Longitud: la resistencia a la fuerza bruta crece con cada carácter más rápido que con cualquier truco, y una frase de cuatro palabras al azar supera a un galimatías corto con símbolos. Todo lo demás, desde cambiarla sin motivo hasta sustituir letras por números, es de otra época: se cambia tras una filtración, no por calendario.

Gestor de contraseñas: cambian las reglas

El requisito de «cien contraseñas largas y únicas» es imposible para la cabeza y trivial para un gestor: las genera, guarda y rellena solo, y a ti te queda una frase maestra. Toma cualquier herramienta madura: la integrada en el sistema y el navegador ya es buena y gratis, y las apps aparte añaden comodidad si vives en varias plataformas a la vez. Dos reglas de uso: la frase maestra es larga y no se usa en ningún otro sitio, y un segundo factor protege la entrada al propio gestor. Una ventaja poco valorada: el gestor rellena la contraseña solo en el dominio real y calla en uno falso, lo que lo convierte en un detector de phishing, como escribimos en el artículo sobre phishing.

El segundo factor es obligatorio

Sea cual sea tu contraseña, algún día puede filtrarse desde el propio servicio. Un segundo factor la vuelve inútil: para entrar hace falta además una confirmación desde tu dispositivo. La jerarquía de fuerza es simple: los códigos SMS son mejor que nada, una app generadora supera con claridad al SMS, y una llave física o la biometría del dispositivo son lo más fuerte. Actívalo como mínimo en el correo, los bancos y las principales redes sociales: el correo es lo más importante de la lista, porque a través de él se recuperan todas las demás contraseñas. Vemos las opciones en detalle en el artículo sobre autenticación de dos factores.

Para la mayoría, la elección queda así: una app generadora en el teléfono para todo lo importante, una llave física para correo y finanzas si estás dispuesto a llevarla, y SMS donde no ofrecen otra cosa. Y guarda sin falta los códigos de respaldo al activarlo: el teléfono se pierde y con él el generador, y recuperar sin códigos se convierte en una odisea con pasaporte y soporte.

Passkeys: la vida tras las contraseñas

Las grandes plataformas ya ofrecen entrar sin contraseña: una passkey es una clave criptográfica que vive en tu dispositivo y funciona con biometría o PIN. No hay nada que adivinar ni que filtrar desde un servidor, y en un sitio falso la clave simplemente no funciona, porque está ligada al dominio real. Los mismos ecosistemas y gestores resuelven la sincronización entre dispositivos. La estrategia actual: activa la passkey donde se ofrezca, mientras la contraseña queda como entrada de reserva, y su higiene sigue importando.

Dónde anotar y qué no anotar

Tres cosas no se guardan nunca a la vista: la frase maestra del gestor, los PIN de las tarjetas y los códigos de respaldo en notas del teléfono sin cifrar. El papel en casa, por paradójico que parezca, es un sitio digno para la frase maestra y los códigos: las amenazas de internet no llegan a un cajón. En cambio, un archivo «contraseñas.txt» en el escritorio y una hoja en la nube sin cifrar son regalos para un futuro ladrón: el malware los busca primero en una máquina infectada.

Un plan para esta tarde

1. Instala un gestor e inventa una frase maestra larga.
2. Cambia las contraseñas del correo y el banco por otras generadas, activa ahí el segundo factor y las passkeys donde existan.
3. Luego cambia contraseñas a medida que entras en los servicios: en un mes, la mayoría son únicas.
4. Guarda los códigos de recuperación en el mismo lugar, en el gestor o en papel en casa.
5. Comprueba tu correo en bases de filtraciones, una función integrada en gestores y navegadores modernos: las contraseñas encontradas se cambian primero.

Con esto el tema queda cerrado para años: el gestor resuelve la unicidad, la longitud resuelve la resistencia, el segundo factor devalúa el robo de la contraseña y las passkeys van quitando el objeto del robo. Y si una cuenta ya se comporta de forma extraña, deja las contraseñas para luego y empieza por los pasos tras un hackeo.