Cómo crear contraseñas seguras y recordarlas sin volverte loco

La mayoría de cuentas no se "hackean" con películas de hackers: se pierden porque alguien reutilizó la misma contraseña en cinco sitios y uno de ellos sufrió una filtración. Si tu clave del correo es la misma que la de una tienda online de hace años, tienes un problema esperando a pasar.

La buena noticia es que no necesitas memorizar cuarenta contraseñas raras. Necesitas memorizar bien dos o tres, y dejar que una herramienta gratuita se encargue del resto. En esta guía verás cómo inventar contraseñas realmente fuertes, cómo recordarlas sin apuntarlas en un post-it, qué gestor usar según tu móvil y cómo comprobar si alguna de tus claves ya está circulando por internet.

Qué hace realmente fuerte a una contraseña

Olvídate de la vieja norma de "mayúscula, número y símbolo". Eso produce contraseñas incómodas de escribir y, además, predecibles: todos ponemos la mayúscula al principio y el signo de exclamación al final.

Lo que de verdad cuenta:

1. Longitud. Cada carácter extra multiplica el tiempo que tardaría un programa en adivinarla por fuerza bruta. Por debajo de 12 caracteres te quedas corto; apunta a 14-16 o más.
2. Imprevisibilidad. Que no contenga tu nombre, el de tu pareja, tu mascota, tu equipo, tu fecha de nacimiento ni la matrícula del coche. Todo eso está en tus redes sociales.
3. Que sea única. Una contraseña perfecta repetida en diez webs vale lo que la web peor protegida de las diez.

Lo que debes evitar siempre

• Palabras sueltas del diccionario, aunque cambies letras por números (c0ntr4señ4 se rompe en segundos).
• Secuencias de teclado: qwerty, 123456, asdfgh.
• Patrones con el nombre del servicio: Miclave_Amazon, Miclave_Gmail. Si ven una, deducen el resto.
• Añadir solo un número al final cuando te obligan a cambiarla (Verano2024 → Verano2025).

Pista: si tu contraseña se puede describir en una frase corta ("mi nombre y el año"), es débil.

El método de la frase de paso: fuerte y memorizable

La técnica más práctica para las pocas contraseñas que sí tienes que memorizar (la del móvil, la del correo principal y la maestra del gestor) es la frase de paso: varias palabras sin relación entre sí, unidas.

Cómo crearla paso a paso:

1. Elige cuatro o cinco palabras al azar que no formen una frase con sentido común: tortuga, ladrillo, ciruela, telescopio.
2. Únelas con un separador que te resulte natural: tortuga-ladrillo-ciruela-telescopio.
3. Añade una pequeña variación personal que no sea un dato público: una mayúscula en medio de una palabra y un número que signifique algo solo para ti: tortuga-ladRillo-ciruela7-telescopio.
4. Visualiza la escena mientras la escribes diez veces seguidas: una tortuga subida a un ladrillo mirando una ciruela por un telescopio. El cerebro memoriza imágenes absurdas mucho mejor que cadenas de símbolos.

El resultado tiene más de 30 caracteres, se teclea rápido y no aparece en ningún diccionario.

Variante: el método de la frase personal

Piensa una frase que solo tú dirías y toma la primera letra de cada palabra, mezclando algún número escrito en cifra:

• Frase: "En 1998 mi abuela plantó 3 limoneros en el patio de atrás"
• Contraseña: E1998maP3leepda

Es sólida, pero recuerda: úsala solo para una cuenta. No la conviertas en tu patrón universal.

La regla de oro: una contraseña distinta para cada sitio

Este es el punto que más gente se salta y el que más disgustos da. El ataque más común hoy no es adivinar tu clave, es el relleno de credenciales: una web cualquiera sufre una filtración, los atacantes consiguen millones de pares correo+contraseña y los prueban automáticamente en Gmail, Amazon, PayPal, Instagram y bancos.

Si tu clave es única en cada sitio, una filtración es una molestia (cambias esa clave y ya). Si la repites, es una cadena de desastres.

Prioriza por niveles. No todas las cuentas valen lo mismo:

Tu correo electrónico es la llave maestra real: con acceso a él, cualquiera puede pedir "he olvidado mi contraseña" en el resto de servicios. Si solo vas a blindar una cuenta hoy, que sea esa.

Gestores de contraseñas: cómo recordarlas todas sin memorizar nada

Un gestor de contraseñas es una caja fuerte cifrada: guarda todas tus claves, las rellena sola en webs y apps, y genera contraseñas aleatorias cuando te registras. Tú solo recuerdas una contraseña maestra (ahí usas la frase de paso del apartado anterior).

Opción 1: el que ya tienes en el móvil (gratis y suficiente para la mayoría)

• iPhone / iPad: app Contraseñas (en versiones anteriores, Ajustes > Contraseñas). Guarda, genera y avisa si una clave aparece en filtraciones. Se sincroniza con el llavero de iCloud.
• Android: Ajustes > Google > Autocompletar > Gestor de contraseñas de Google, o desde Chrome en Ajustes > Gestor de contraseñas. También avisa de claves débiles o filtradas.
• Windows: el gestor integrado en Chrome, Edge o Firefox hace el mismo trabajo en el ordenador.

Cómo activarlo en Android (rutas aproximadas, varían según marca):

1. Abre Ajustes y busca "Autocompletar" o "Contraseñas".
2. Entra en Servicio de autocompletado y elige Google (o el gestor que instales).
3. Entra en Gestor de contraseñas de Google y toca Revisión de contraseñas.
4. Cambia una por una las que marque como reutilizadas, débiles o filtradas.

En iPhone:

1. Abre la app Contraseñas (o Ajustes > Contraseñas) y desbloquea con Face ID.
2. Entra en Seguridad y mira las recomendaciones.
3. Toca la cuenta afectada y Cambiar contraseña en el sitio web.

Opción 2: un gestor independiente

Si usas Android y Windows y iPhone mezclados, o quieres compartir claves con tu pareja, un gestor dedicado multiplataforma te vendrá mejor. Busca uno que ofrezca cifrado de extremo a extremo, aplicación en todos tus sistemas y opción de exportar tus datos. Muchos tienen plan gratuito más que suficiente para un usuario normal.

¿Y si pierdo el móvil o olvido la maestra?

• Guarda la contraseña maestra escrita a mano en un papel dentro de un cajón cerrado de tu casa. Suena anticuado, pero un papel en casa no se filtra por internet.
• Descarga y guarda los códigos de recuperación que te dé el servicio.
• Ten un segundo factor de reserva (otro dispositivo o tu número de teléfono verificado).

Si te preocupa perder el acceso físico, revisa también qué hacer si te roban el móvil.

Verificación en dos pasos: el escudo que sí marca la diferencia

Aunque alguien consiga tu contraseña, con la verificación en dos pasos (2FA) no entra: necesita además un código temporal o tu aprobación en el móvil.

Actívala al menos en: correo electrónico, cuenta de Google o Apple, banca online, WhatsApp, Instagram/Facebook y el propio gestor de contraseñas.

Qué método elegir, de mejor a peor:

1. Llave física de seguridad (USB o NFC): lo más resistente al phishing, útil si manejas datos sensibles.
2. App de autenticación que genera códigos de 6 dígitos: muy recomendable y gratis.
3. Notificación push del propio servicio: cómoda y segura.
4. SMS: mejor que nada, pero vulnerable al robo de línea (duplicado de SIM). Úsalo solo si no hay otra opción.

En WhatsApp, además, activa el PIN: Ajustes > Cuenta > Verificación en dos pasos. Evita que alguien registre tu número en otro teléfono.

Y recuerda: ningún banco, ni Correos, ni Hacienda te pedirá nunca tu contraseña o tu código por SMS, correo o llamada. Si te lo piden, es fraude. Ahí te conviene saber también cómo bloquear llamadas spam.

Comprueba si tus contraseñas ya están filtradas (y qué hacer)

Las filtraciones de bases de datos son habituales y no dependen de ti. Lo que sí depende de ti es enterarte y reaccionar.

Cómo comprobarlo sin instalar nada raro:

• iPhone: app Contraseñas > Seguridad. Te lista las claves comprometidas, reutilizadas o fáciles de adivinar.
• Android / Chrome: Gestor de contraseñas de Google > Revisión de contraseñas.
• Windows: en Chrome, Configuración > Autocompletar y contraseñas > Gestor de contraseñas > Revisión; en Edge, el apartado Monitor de contraseñas.

Si aparece una cuenta comprometida, por este orden:

1. Cambia esa contraseña por una generada y única.
2. Cambia la misma contraseña en cualquier otro sitio donde la hubieras repetido.
3. Activa la verificación en dos pasos en esa cuenta.
4. Revisa las sesiones activas y cierra las que no reconozcas (en Google: Gestionar cuenta > Seguridad > Tus dispositivos).
5. Mira si han metido reglas de reenvío en tu correo o cambiado el teléfono de recuperación.

Si notas comportamientos extraños en el teléfono, complementa esta revisión con la guía de señales de que alguien espía tu móvil.

Errores frecuentes y rutina de mantenimiento

Errores que cometemos casi todos

• Guardar las claves en las notas del móvil o en un WhatsApp "a mí mismo": sin cifrado específico y visible para cualquiera que desbloquee tu pantalla.
• Enviar contraseñas por chat o correo. Si tienes que compartir una, usa la función de compartir del gestor o dísela en persona.
• Usar la misma clave en el trabajo y en lo personal.
• Responder con la verdad a las preguntas de seguridad. El nombre de tu primera mascota está en Facebook. Responde con una frase inventada y guárdala en el gestor.
• Iniciar sesión en webs sensibles desde wifi públicas sin cuidado. Si lo haces, asegúrate de que la dirección es la correcta y de que no has llegado desde un enlace de un correo.
• Cambiar contraseñas cada mes "por si acaso". Ya no se recomienda: lleva a claves peores. Cámbialas cuando haya un motivo (filtración, sospecha, dispositivo perdido).

Tu rutina en 20 minutos

1. Hoy: cambia la contraseña del correo principal por una frase de paso larga y activa 2FA.
2. Hoy: activa el gestor del móvil o instala uno y pon una contraseña maestra que memorices.
3. Esta semana: pasa la revisión de contraseñas y arregla las 10 cuentas más importantes.
4. Cada registro nuevo: deja que el gestor genere la contraseña; no la inventes tú.
5. Dos veces al año: repite la revisión y comprueba que tus datos de recuperación (teléfono y correo alternativo) siguen siendo correctos.

Con esto habrás pasado de "una clave para todo" a un sistema que aguanta de verdad, y lo único que tendrás que recordar será una frase sobre una tortuga y un telescopio.

Preguntas frecuentes