Crear contraseñas seguras y gestor de contraseñas
Le mostramos formas prácticas de proteger las cuentas de correo, de banco y de paneles de administración con frases de contraseña largas, un gestor de contraseñas y la comprobación de filtraciones.
Aurora YazılımEquipo editorial
6 min de lectura
Para crear contraseñas seguras, céntrese más en la longitud que en la complejidad: elija una frase de contraseña de al menos 12–16 caracteres formada por palabras aleatorias. Use una contraseña distinta para cada cuenta, guárdelas en un gestor de contraseñas, active la verificación en dos pasos en las cuentas importantes y compruebe con regularidad si su dirección aparece en filtraciones.
¿Por qué es tan arriesgada una contraseña débil?
Los atacantes no adivinan las contraseñas una a una; con herramientas automáticas hacen muchísimos intentos por segundo y usan listas con millones de contraseñas ya filtradas. Contraseñas como «123456», el año de nacimiento, el nombre del equipo o el de la empresa están a la cabeza de esas listas.
El problema mayor es la reutilización de contraseñas. La pareja de correo y contraseña filtrada de una tienda online se prueba automáticamente en cuentas de correo, de banco y de redes sociales. Esto se llama relleno de credenciales (credential stuffing), y un solo eslabón débil puede abrir todas las cuentas.
Para las empresas el riesgo es aún mayor. Si se toma el control del panel de administración del sitio web, de la gestión de la tienda online, de la cuenta del dominio o del correo corporativo, los datos de los clientes, la reputación y las ventas sufren daño a la vez.
Otra debilidad frecuente son las contraseñas predeterminadas. Si no se cambia la contraseña de fábrica del módem, de la cámara, de la impresora o del panel de un software recién instalado, el dispositivo se controla fácilmente porque esas contraseñas están listadas abiertamente en internet. Lo primero al poner en marcha un dispositivo o una cuenta nuevos debe ser cambiar la contraseña predeterminada por una única y larga.
Características de una contraseña segura
Las guías de seguridad actuales, por ejemplo las directrices de autenticación del NIST, el organismo de normas de Estados Unidos, dan más importancia a la longitud de la contraseña que a las reglas de complejidad. Una contraseña corta pero llena de símbolos suele ser más débil que una frase de contraseña larga y aleatoria.
Las mismas directrices tampoco recomiendan forzar el cambio periódico de la contraseña sin que haya indicios, porque esa práctica empuja al usuario a patrones previsibles como «Contrasena2024!» y «Contrasena2025!». La contraseña debe cambiarse cuando hay sospecha de filtración.
- Al menos 12–16 caracteres; más larga en las cuentas de administrador
- No contiene datos personales (nombre, fecha de nacimiento, matrícula, teléfono)
- No es una palabra del diccionario, ni una secuencia consecutiva, ni una secuencia de teclado (qwerty, 123456)
- No se usa en ninguna otra cuenta
- Se ha generado de forma aleatoria; los patrones que a las personas les parecen «inteligentes» suelen ser previsibles
¿Cómo se crea una frase de contraseña?
Para las pocas contraseñas que tiene que memorizar, el mejor método es la frase de contraseña: combinar cuatro o cinco palabras sin relación entre sí, elegidas al azar. Por ejemplo, una serie como «lapiz-aceituna-nube-brujula-azul» es larga y a la vez fácil de recordar. No use este ejemplo, use sus propias palabras aleatorias.
Las contraseñas que no necesita memorizar, haga que las genere directamente el gestor de contraseñas. Quienes usan la línea de comandos también pueden generar una contraseña aleatoria con los comandos siguientes.
openssl rand -base64 24
python3 -c 'import secrets; print(secrets.token_urlsafe(20))'¿Qué es un gestor de contraseñas?
Un gestor de contraseñas es una aplicación que guarda todas sus contraseñas en una caja fuerte cifrada, las rellena automáticamente al entrar en un sitio y genera contraseñas seguras para las cuentas nuevas. La llave de la caja fuerte es una única contraseña maestra; por eso esta debe ser larga, única y estar protegida con verificación en dos pasos.
Los gestores también ofrecen una protección indirecta contra el phishing: el autorrelleno solo propone la contraseña en el dominio registrado. Que en un sitio falso no se proponga la contraseña es un aviso temprano de que la dirección es incorrecta.
En qué fijarse al elegir
- Cifrado de extremo a extremo y descifrado de los datos solo en su dispositivo
- Aplicación para todos los sistemas operativos y navegadores que usted utilice
- Compatibilidad con la verificación en dos pasos y con llaves de seguridad físicas
- Uso compartido seguro en el equipo y gestión de permisos
- Avisos de filtraciones y de contraseñas repetidas
¿Navegador o aplicación independiente?
Los gestores de contraseñas integrados en los navegadores y en los sistemas operativos son mucho mejores que no usar ninguno. Si necesita varios navegadores, sistemas operativos distintos y uso compartido en equipo, un gestor de contraseñas independiente ofrece una estructura más flexible.
Comprobación de filtraciones de contraseñas
Puede que su contraseña haya aparecido en una filtración de datos sin que usted se haya dado cuenta. Servicios como Have I Been Pwned indican si su dirección de correo ha aparecido en filtraciones conocidas. Muchos gestores de contraseñas y navegadores también comparan sus contraseñas guardadas con listas de filtraciones.
Si su nombre aparece en una filtración, no entre en pánico y avance por orden: cambie primero la contraseña de esa cuenta y después la de las demás cuentas en las que usara la misma. Desconfíe también de los correos de tipo «su cuenta ha sido bloqueada» que llegan después de una filtración; los atacantes aprovechan esos momentos. Para distinguir los mensajes falsos, puede consultar nuestro artículo sobre qué es el phishing.
¿Basta con la contraseña?
Ni la contraseña más fuerte sirve si se escribe en una página de phishing o si la registra un programa malicioso del dispositivo. Por eso hay que respaldar la contraseña con una segunda capa de verificación. La verificación en dos pasos pide, además de la contraseña, un código de una aplicación en su teléfono o una llave de seguridad física.
Entre los métodos de verificación también hay diferencias. El código por SMS es mejor que nada, pero es vulnerable a ataques como la clonación de la línea; la aplicación de verificación y la llave de seguridad física son opciones más robustas. Para los pasos de configuración, consulte nuestra guía sobre cómo activar la verificación en dos pasos.
No olvide los códigos de recuperación. Guardar los códigos de respaldo que se dan al activar la verificación en dos pasos en el gestor de contraseñas o en un lugar seguro puede ser la única forma de recuperar el acceso a su cuenta si pierde el teléfono.
Política de contraseñas para empresas
En una empresa, la seguridad de las contraseñas no puede dejarse a los hábitos individuales. Una política de contraseñas escrita y breve hace que todos trabajen con las mismas reglas. Esta política es también parte de las medidas técnicas y administrativas que se esperan en el marco de la KVKK (la ley turca de protección de datos, comparable al RGPD).
- Dé a cada persona su propia cuenta de usuario; no use cuentas compartidas ni contraseñas comunes
- Elija un gestor de contraseñas para toda la empresa y guarde las contraseñas compartidas en la caja fuerte
- Haga obligatoria la verificación en dos pasos en las cuentas de correo, de paneles de administración y de banco
- Cierre los accesos del empleado que deja la empresa el mismo día y cambie las contraseñas compartidas
- Prohíba compartir contraseñas por correo, aplicaciones de mensajería o en un papel
- Haga al menos una vez al año una breve formación de concienciación en seguridad
Seguridad del sitio web y del panel
La seguridad de las contraseñas no es solo responsabilidad de los usuarios; el propio sitio también debe estar bien diseñado. Un buen software no guarda las contraseñas en texto plano, sino con algoritmos de hash robustos, limita los intentos de acceso fallidos consecutivos y ofrece verificación en dos pasos para el panel de administración. En las soluciones de software desarrolladas a medida para una empresa, estas reglas se diseñan al comienzo del proyecto junto con la autorización por roles.
Al elegir una plataforma e-commerce o una web corporativa, preguntar por estas características evita en el futuro un incidente de robo de cuenta. El futuro de la seguridad de acceso, por su parte, se está configurando en la tecnología passkey, que elimina por completo las contraseñas.
El tema de las contraseñas forma parte de un cuadro de seguridad más amplio; cobra sentido cuando se aborda junto con las copias de seguridad, las actualizaciones y la concienciación de los empleados. Para este marco, puede leer nuestro artículo sobre qué es la ciberseguridad.
Preguntas frecuentes
01¿Qué pasa si hackean un gestor de contraseñas?
En los gestores bien diseñados, la caja fuerte se descifra solo con la contraseña maestra que usted conoce; los datos robados del servidor del proveedor no se pueden leer por sí solos. Por eso es crucial que la contraseña maestra sea larga y única y que la verificación en dos pasos esté activada.
02¿Es seguro apuntar las contraseñas en una libreta?
Una libreta guardada en casa, en un lugar cerrado con llave, puede ser más segura frente a ataques remotos que un archivo digital de notas. Pero una lista de contraseñas que está en la oficina, junto a la pantalla o en la cartera queda expuesta al acceso físico y no sirve para compartir en equipo.
03¿Con qué frecuencia debo cambiar mi contraseña?
La recomendación actual es cambiar una contraseña fuerte y única no según un calendario, sino cuando hay un indicio como una filtración o un acceso sospechoso. Si su organización o su sector tienen reglas propias, cúmplalas.
Las contraseñas largas y únicas, un buen gestor de contraseñas y la verificación en dos pasos detienen la mayor parte de los ataques de toma de cuentas antes incluso de que empiecen. En las soluciones de software a medida para su empresa, Aurora Yazılım diseña desde el principio el acceso seguro y la gestión de permisos; además, se encarga de la gestión de velocidad y rendimiento y del mantenimiento de su sitio actual. Si tiene preguntas, puede escribirnos desde nuestra página de contacto.
