Cómo crear una contraseña segura que no tengas que recordar

¿Qué hace segura una contraseña?

Los atacantes rara vez adivinan contraseñas de una en una en una página de inicio de sesión. Lo más habitual es que roben una base de datos de contraseñas cifradas en una filtración y prueben miles de millones de combinaciones por segundo sin conexión, o que reutilicen contraseñas filtradas de otras webs. Una contraseña segura resiste ambas cosas:

1. Longitud. Cada carácter extra multiplica el número de contraseñas posibles.
2. Aleatoriedad. Patrones como Verano2026! o P@ssw0rd están en todos los diccionarios de descifrado.
3. Unicidad. Si hackean una web, una contraseña reutilizada abre todas tus demás cuentas.

La longitud gana a la complejidad

La fortaleza de una contraseña se mide en bits de entropía: más o menos, cuántos intentos necesita un atacante. Para una contraseña aleatoria es longitud × log₂(número de caracteres posibles).

Tipo de contraseña	Ejemplo	Entropía aprox.
8 caracteres aleatorios, de todo tipo	k#9Tq!2m	~52 bits
12 caracteres aleatorios, de todo tipo	Vb7$pLq2!xRw	~78 bits
16 caracteres aleatorios, de todo tipo	8f%Kd2!qZr#Lm9@T	~104 bits
20 minúsculas aleatorias	qmzvthkrpwlxbdfjsnye	~94 bits
6 palabras aleatorias (frase de contraseña)	orbita-vela-mosaico-rio-ciruela-tigre	~77 bits (con una lista de 7776 palabras)

Fíjate en que 20 letras minúsculas superan a 12 caracteres con símbolos. Añadir longitud es la forma más fácil de ganar seguridad. Cada bit duplica el trabajo del atacante, así que la diferencia entre 52 y 104 bits es astronómica.

Recomendaciones actuales: qué ha cambiado

El NIST, el organismo de normalización de EE. UU. cuyas directrices de identidad digital (SP 800-63B) influyen en las políticas de seguridad de todo el mundo, recomienda ahora:

• Priorizar la longitud y permitir contraseñas y frases largas.
• Eliminar las reglas de composición obligatorias como "debe incluir un símbolo", que generan patrones predecibles.
• Dejar de obligar a cambiarlas periódicamente. Cambia una contraseña cuando haya indicios de que está comprometida.
• Comparar las contraseñas nuevas con listas de contraseñas filtradas.

En España, el INCIBE (Instituto Nacional de Ciberseguridad) también ofrece guías sobre contraseñas que insisten en la longitud y en el uso de gestores.

Cómo generar una contraseña segura

1. Abre el generador de contraseñas seguras gratuito.
2. Ajusta la longitud a 16 o más (20 para el correo y el banco).
3. Mantén activados los cuatro tipos de caracteres, salvo que una web los limite.
4. Excluye los caracteres que se confunden (I, l, 1, O, 0) si alguna vez vas a escribirla a mano.
5. Revisa el indicador de fortaleza y copia la contraseña directamente en tu gestor.

El generador usa el generador de números aleatorios criptográficamente seguro de tu navegador (crypto.getRandomValues), y no se guarda ni se envía nada.

Usa un gestor de contraseñas

Nadie puede recordar 100 contraseñas aleatorias y únicas, y no deberías intentarlo. Un gestor de contraseñas las guarda cifradas, las rellena por ti y te avisa de las contraseñas reutilizadas o filtradas. Buenas opciones son Bitwarden, 1Password, Proton Pass y los gestores integrados en las cuentas y navegadores de Apple, Google y Microsoft.

Así solo tienes que recordar una contraseña maestra segura.

Contraseñas que debes recordar: usa una frase de contraseña

Para el gestor de contraseñas, el inicio de sesión del ordenador y el móvil, usa una frase de contraseña: varias palabras elegidas al azar, como orbita vela mosaico rio ciruela tigre. Es larga, segura y mucho más fácil de escribir y recordar que unos símbolos aleatorios.

• Elige las palabras al azar (dados y una lista de palabras, o un generador), no la letra de una canción ni una cita.
• Usa al menos 5 palabras, y 6 para una contraseña maestra.
• Añade separadores o una mayúscula si una web lo exige.

Activa la verificación en dos pasos (2FA)

Hasta una contraseña perfecta puede robarse con phishing. La 2FA añade un segundo paso, así que una contraseña robada no basta. De más a menos segura:

1. Llaves de acceso (passkeys) o llaves de seguridad físicas: resistentes al phishing.
2. Apps de autenticación (códigos de 6 dígitos): buenas y muy compatibles.
3. Códigos por SMS: mejor que nada, pero vulnerables al duplicado de SIM.

Empieza por tu cuenta de correo. Quien controla tu correo puede restablecer casi todas tus demás contraseñas.

Errores con las contraseñas que debes evitar

• Reutilizar una contraseña en más de una web.
• Datos personales: nombres, cumpleaños, mascotas, equipos de fútbol.
• Patrones del teclado: qwerty, 123456, 1q2w3e.
• Sustituciones predecibles: P@$$w0rd.
• Añadir un número a una contraseña antigua: Contrasena1 → Contrasena2.
• Compartir contraseñas por chat o correo. Usa en su lugar la función para compartir de tu gestor.

Preguntas frecuentes

¿Qué longitud debe tener una contraseña?

Al menos 16 caracteres para contraseñas aleatorias y 5 o 6 palabras para frases de contraseña. Más para tu correo y tu gestor de contraseñas.

¿Las llaves de acceso están sustituyendo a las contraseñas?

Cada vez más, sí. Las llaves de acceso te permiten iniciar sesión con la huella, la cara o el PIN de tu dispositivo, y no se pueden robar con phishing. Úsalas siempre que te las ofrezcan y mantén contraseñas seguras en el resto.

¿Cómo sé si mi contraseña se ha filtrado?

Servicios como Have I Been Pwned y las revisiones de seguridad de los gestores de contraseñas y navegadores te avisan cuando tu correo o tus contraseñas aparecen en filtraciones conocidas.

¿Es seguro usar un generador de contraseñas online?

Usa uno que genere las contraseñas en local con un generador aleatorio criptográficamente seguro y no las envíe a ningún sitio, como el nuestro.

En resumen

Larga, aleatoria y nunca reutilizada. Deja que un generador cree tus contraseñas, que un gestor las recuerde y que la verificación en dos pasos te proteja cuando algo falle.