Cómo Crear una Contraseña Segura que Sí Vas a Recordar
La contraseña que sí recuerdas y la contraseña que sí es segura no tienen por qué ser dos cosas distintas.
La mayoría de los consejos sobre contraseñas apuntan a lo que no importa. Te dicen que le pegues una mayúscula, un número y un símbolo, y ya, listo, "segura" — y así es como millones de cuentas terminaron protegidas por "Verano2024!". Pero segura y fácil de recordar no son opuestos. Solo necesitas un método que resuelva las dos cosas al mismo tiempo.
Por qué las contraseñas "complejas" siguen fallando
Una contraseña como Tr0ub4dor&3 se ve intimidante, pero falla de una forma aburrida y predecible: nadie la puede retener en la cabeza. Así que termina anotada en una notita pegada al monitor, guardada en un navegador en el que se te olvida que sigues con la sesión abierta en una computadora compartida, o repetida en una decena de cuentas porque inventar una nueva cada vez se siente como un martirio. La contraseña en sí puede resistir un ataque de fuerza bruta, pero los hábitos que te obliga a adoptar no.
También hay un problema mecánico. Cambiar letras por símbolos — la a por @, la o por 0 — se siente ingenioso, pero es un patrón, y las herramientas que usan los atacantes para descifrar contraseñas lo tienen incorporado desde hace años. Una contraseña corta disfrazada con esas sustituciones casi siempre es apenas un poco más fuerte que la misma contraseña en letras normales. Las reglas de complejidad nacieron para dificultar el adivinar una contraseña; en la práctica, sobre todo logran que sea más difícil de escribir bien y más fácil de olvidar.
El método de la frase de contraseña (y cuándo usar caracteres aleatorios en su lugar)
La solución que sí ha funcionado con el tiempo es engañosamente simple: encadena varias palabras aleatorias y sin relación entre sí. Algo como cohete-mango-llave-ventana es más largo que casi cualquier contraseña que escribirías a mano, fácil de decir en voz alta, fácil de recordar una semana después y — porque las palabras no tienen relación entre sí y se eligen al azar, no sacadas de una frase que te gusta — realmente difícil de adivinar. Cuatro o cinco palabras es un buen punto de partida para cualquier cosa que vayas a escribir de memoria con frecuencia, como el código de tu celular o la contraseña maestra de tu gestor de contraseñas.
Pero una frase de contraseña no es la herramienta correcta para todo. Muchas cuentas ni siquiera necesitan que te las aprendas — solo necesitan ser fuertes y únicas, y quedar guardadas en algún lugar donde puedas recuperarlas, como un gestor de contraseñas. Para esas, una cadena totalmente aleatoria de mayúsculas, minúsculas, números y símbolos es la mejor opción, porque ahí lo único que importa es lo impredecible que sea, sin pagar el costo de tener que memorizarla. La meta no es que la escribas a mano; es generarla una sola vez y no volver a verla nunca. Justo para eso está nuestro Generador de Contraseñas — defines la longitud, eliges qué tipos de caracteres permitir, y obtienes un resultado sin ninguno de los patrones en los que cae una persona cuando le piden que "se invente algo".
Qué significa "entropía", en términos sencillos
La entropía es solo una forma de medir cuántos intentos haría falta para dar con tu contraseña por pura casualidad. Cada carácter adicional multiplica el número de combinaciones posibles, por eso la longitud importa mucho más de lo que la mayoría cree. Una frase de cuatro palabras sacada de una lista amplia tiene, más o menos, tantas combinaciones posibles como una cadena aleatoria de más de una docena de caracteres — porque en cada posición no estás eligiendo entre 26 letras, sino entre miles de palabras, y esas opciones se van multiplicando entre sí.
Por eso las reglas de complejidad obligatoria pueden ser engañosas. Agregar un símbolo obligatorio a una contraseña corta apenas mueve la aguja, porque solo estás ampliando el conjunto de caracteres en una sola posición. Agregar cuatro caracteres aleatorios más — o una palabra más — casi siempre hace muchísimo más, porque amplía el número de posibilidades en cada posición que sigue. Si de este artículo solo te llevas una cosa, que sea esta: en caso de duda, hazla más larga, no más rebuscada.
El estándar moderno (y con menos esfuerzo)
Las recomendaciones de seguridad han cambiado bastante en los últimos años, y el cambio va hacia menos trabajo innecesario, no hacia más. Los cambios forzados de contraseña cada 90 días están quedando atrás, porque sobre todo entrenan a la gente para hacer ediciones chicas y predecibles a una contraseña que ya conocen, en lugar de adoptar una realmente nueva. Las reglas obligatorias de símbolos y números se están relajando por la misma razón — empujan a la gente hacia patrones en lugar de aleatoriedad. Lo que las está reemplazando es un estándar mucho más simple: que sea larga, que sea única para esa cuenta, y que solo la cambies si tienes una razón real para pensar que se filtró. (Profundizamos en qué reglas viejas puedes dejar de seguir en Mitos de Seguridad en Contraseñas, si quieres el desglose completo.)
En la práctica, eso significa una frase de contraseña para el puñado de contraseñas que necesitas escribir de memoria, una cadena generada al azar para todo lo demás, y un gestor de contraseñas que guarde las que no vas a memorizar. Esa combinación cubre prácticamente todas tus cuentas sin pedirte que recuerdes más de cuatro o cinco cosas en total.
Una vez que tus contraseñas ya están blindadas
Una buena contraseña es solo una pieza de mantener tus cuentas e información bajo control. Si alguna vez le has dado a una visita un papelito con la contraseña del WiFi escrita a mano, un Generador de QR para WiFi reemplaza eso con un código que se escanea y conecta al instante, sin escribir nada y sin dejar la contraseña tirada por ahí. Si te descubres repitiendo tu número y tu correo en voz alta en cada evento al que vas, un Generador de QR vCard comparte tus datos de contacto de forma limpia, sin riesgo de que un error de dedo termine guardado como un número equivocado en el celular de alguien. Y para todo lo que quieras que la gente pueda encontrar de forma confiable a largo plazo — instrucciones de recuperación de cuenta, un contacto de soporte, un enlace de referencia que podría cambiar algún día — un Generador de QR Permanente sigue funcionando aunque el destino cambie, así que el código en sí nunca se queda obsoleto.
Nada de esto exige adoptar hábitos nuevos, solo un poco mejores. Elige una frase para lo que necesitas recordar, genera el resto, y deja de reutilizar la misma contraseña de siempre solo por flojera.
Preguntas frecuentes
- ¿Una frase de contraseña es realmente más segura que una combinación aleatoria de caracteres?
- Para la mayoría de las personas, sí — porque de verdad la vas a usar. Una frase de cuatro o cinco palabras puede tener más entropía real que una combinación corta y retorcida como Tr0ub4dor&3, y la vas a escribir bien a la primera en lugar de adivinar qué letra cambiaste por un símbolo hace seis meses.
- ¿De qué tamaño debe ser mi contraseña?
- La longitud es el factor que más pesa en qué tan segura es una contraseña. Para cuentas del día a día, apunta a mínimo 12-16 caracteres, y 20 o más para algo sensible, como tu correo o la contraseña maestra de tu gestor de contraseñas. Una contraseña más larga casi siempre le gana a una "compleja" pero corta.
- ¿Sigo teniendo que cambiar mis contraseñas cada 90 días?
- No — las recomendaciones actuales de los expertos en seguridad ya se alejaron de los cambios forzados y periódicos, porque en la práctica solo empujan a la gente a hacer ajustes pequeños y predecibles (Contraseña1, Contraseña2). Una contraseña larga y única solo necesita cambiarse si de verdad se filtró en alguna brecha de seguridad.
- ¿Cuál es la forma más fácil de obtener una contraseña verdaderamente aleatoria cuando una frase no funciona?
- Usa una herramienta hecha para eso en vez de inventarla tú mismo — nuestro Generador de Contraseñas usa el generador de números aleatorios criptográficamente seguro de tu navegador, así que el resultado es impredecible de una forma en que una cadena elegida por una persona nunca lo es del todo.