Cómo crear una contraseña segura y fácil de administrar

Para una cuenta personal, una buena referencia práctica es utilizar al menos 16 caracteres. CISA recomienda contraseñas largas, aleatorias y únicas, y propone frases de cinco a siete palabras no relacionadas cuando sea necesario memorizar una.

La longitud ayuda, pero no compensa la reutilización. Una contraseña extensa utilizada en cinco servicios crea un punto común de fallo: si uno de esos servicios sufre una filtración, alguien puede probar la misma combinación en tus demás cuentas.

• Larga: utiliza 16 caracteres o más cuando el servicio lo permita.
• Aleatoria: evita patrones, fechas, nombres, equipos deportivos y frases conocidas.
• Única: cada cuenta debe tener una contraseña diferente.
• Sin información personal: no incluyas datos que alguien pueda encontrar en redes sociales.

Opción A: contraseña aleatoria

Para cuentas almacenadas en un gestor, genera una combinación aleatoria de mayúsculas, minúsculas, números y símbolos. Usa la mayor longitud que acepte el servicio. No copies como contraseña real los ejemplos publicados en una guía.

Opción B: frase de contraseña

Si tienes que memorizarla, combina varias palabras sin relación entre sí. No uses una cita, una canción ni una expresión habitual. Una frase creada por una persona suele ser menos impredecible que una generada al azar, pero puede ser útil para la contraseña maestra si es suficientemente larga y verdaderamente única.

Un gestor de contraseñas puede generar, almacenar y completar credenciales únicas. Así solo necesitas recordar la contraseña maestra del gestor. CISA recomienda utilizar uno para evitar la carga de memorizar muchas claves diferentes.

1. Elige un gestor reconocido y mantenlo actualizado.
2. Crea una contraseña maestra larga, exclusiva y que nunca uses en otro sitio.
3. Activa MFA en el propio gestor.
4. Guarda los códigos de recuperación fuera del dispositivo principal.
5. Revisa y reemplaza las contraseñas repetidas o débiles que detecte.

No guardes contraseñas en una nota sin protección, un documento de texto, un correo enviado a ti mismo o una hoja de cálculo abierta.

MFA añade una comprobación adicional al iniciar sesión. Aunque una contraseña sea robada, el atacante todavía necesitaría superar el segundo paso. Actívala primero en el correo electrónico, el gestor de contraseñas, las cuentas financieras, el almacenamiento en la nube y las redes sociales.

Cuando puedas elegir, utiliza el método más resistente que admita el servicio, como una llave de seguridad o una aplicación autenticadora. Cualquier MFA correctamente configurado suele ser preferible a depender únicamente de una contraseña.

No necesitas reemplazar una contraseña fuerte cada pocas semanas solo por calendario. La guía actual de NIST indica que los servicios no deberían exigir cambios periódicos arbitrarios y que deben forzar el cambio cuando existe evidencia de compromiso.

Cámbiala inmediatamente si recibes una alerta legítima de filtración, detectas un inicio de sesión desconocido, la compartiste por error, la introdujiste en un sitio sospechoso o descubriste que la reutilizabas. Después, cierra sesiones activas, revisa métodos de recuperación y activa MFA.

• Cambiar una letra por un número en una palabra predecible.
• Añadir el año actual al final de la misma contraseña.
• Usar una base común y cambiar únicamente el nombre del servicio.
• Reutilizar la contraseña del correo electrónico.
• Compartir credenciales por chat o correo.
• Guardar respuestas de recuperación que otras personas puedan investigar.
• Ignorar alertas de acceso o filtración.

• ✓Tiene 16 caracteres o más cuando el servicio lo permite.
• ✓No contiene datos personales ni patrones fáciles de adivinar.
• ✓No se utiliza en ninguna otra cuenta.
• ✓Está almacenada en un gestor de contraseñas.
• ✓La cuenta tiene MFA activada.
• ✓Los códigos de recuperación están guardados en un lugar seguro.
• ✓Sabes cómo verificar alertas sin abrir enlaces sospechosos.