Contraseñas seguras de verdad: frases, longitud y gestores

Durante años nos dijeron que una buena contraseña debía tener mayúsculas, minúsculas, números y símbolos. El resultado fueron claves difíciles de recordar que terminábamos apuntando en un papel o repitiendo en todas partes con pequeñas variaciones. Hoy los expertos en seguridad insisten en otras prioridades.

Lo que de verdad protege una cuenta es que la contraseña sea larga, única para cada servicio y, a ser posible, esté acompañada de una verificación en dos pasos. Con un gestor de contraseñas, cumplir estas reglas es mucho más sencillo de lo que parece.

Cómo roban las contraseñas

Entender los métodos de los atacantes ayuda a ver por qué algunas recomendaciones son tan importantes:

• Filtraciones de datos. Cuando un servicio sufre un robo de información, las contraseñas pueden acabar en listas que circulan por internet.
• Reutilización. Con una contraseña filtrada, los atacantes prueban la misma combinación de correo y clave en otros servicios de forma automatizada.
• Ataques de fuerza bruta o diccionario. Programas que prueban millones de combinaciones, empezando por las palabras y patrones más comunes.
• Phishing. Engaños para que tú mismo escribas la contraseña en una web falsa.
• Software malicioso. Programas que registran lo que tecleas o roban las claves guardadas.

Frente a la reutilización, ninguna contraseña es lo bastante buena: si se filtra en un sitio, todas las cuentas que la comparten quedan expuestas.

Longitud antes que complejidad

Cada carácter adicional multiplica el número de combinaciones posibles. Por eso una contraseña larga formada por palabras es, en general, más resistente que una corta llena de símbolos, y además es mucho más fácil de recordar.

Las frases de contraseña

Una técnica muy recomendable consiste en unir varias palabras sin relación evidente entre sí, formando una frase que solo tenga sentido para ti. Algunas pautas:

• Usa cuatro o más palabras que no formen una cita conocida, una canción o un refrán.
• Evita datos personales: nombres de familiares, mascotas, fechas o equipos de fútbol.
• Puedes separar las palabras con guiones o añadir algún número si el servicio lo exige.
• No uses el mismo patrón cambiando solo una palabra para cada servicio.

Gestores de contraseñas: la solución práctica

Nadie puede recordar decenas de contraseñas largas y distintas. Para eso existen los gestores de contraseñas: aplicaciones que guardan todas tus claves cifradas y las rellenan automáticamente cuando las necesitas. Tú solo tienes que recordar una contraseña maestra, que debe ser larga y robusta.

Existen gestores integrados en los propios sistemas y navegadores, y aplicaciones independientes, gratuitas y de pago. Al elegir uno, conviene fijarse en su reputación, en que ofrezca cifrado de extremo a extremo y en que permita activar la verificación en dos pasos para la propia cuenta del gestor.

Cómo empezar sin agobiarse

No hace falta cambiar todas las contraseñas en una tarde. Empieza por la cuenta de correo principal, después la banca online, las redes sociales y los servicios donde tengas guardada una tarjeta. A medida que entres en otros servicios, el gestor te propondrá actualizar la contraseña antigua por una nueva generada automáticamente. En unas semanas habrás renovado la mayoría sin apenas esfuerzo.

Errores frecuentes

• Usar la misma contraseña en el correo y en otros servicios. El correo es la llave para recuperar todas las demás cuentas.
• Guardar las claves en una nota sin protección en el móvil o en un documento en el escritorio.
• Compartir contraseñas por mensajería o correo.
• Responder preguntas de seguridad con datos reales fáciles de averiguar en redes sociales.
• Cambiar la contraseña añadiendo solo un número al final.

El complemento imprescindible

Incluso la mejor contraseña puede acabar robada. Por eso, en las cuentas importantes, como el correo, el banco, las redes sociales y la nube, conviene activar la verificación en dos pasos. Así, aunque alguien conozca tu clave, necesitará un segundo factor que solo tú tienes.

Las recomendaciones generales de seguridad para ciudadanos se recogen en la web del INCIBE.

Para quienes comparten dispositivos en casa, también conviene que cada persona tenga su propio usuario en el ordenador y su propio perfil en el navegador, de modo que las contraseñas guardadas no queden al alcance de todos.

Preguntas frecuentes

¿Hay que cambiar las contraseñas cada pocos meses?

Las recomendaciones actuales priorizan contraseñas largas y únicas frente a cambios periódicos forzados. Sí hay que cambiarla de inmediato si sospechas que se ha filtrado.

¿Es seguro guardar las contraseñas en el navegador?

Los gestores integrados en los navegadores modernos han mejorado mucho. Lo importante es proteger bien el acceso al dispositivo y a la cuenta que los sincroniza.

¿Qué pasa si olvido la contraseña maestra del gestor?

Depende del servicio. Muchos no pueden recuperarla por diseño, así que conviene configurar las opciones de recuperación que ofrezcan y guardarlas en un lugar seguro.