Cómo crear una contraseña que de verdad resista
La mayoría aprendimos la lección equivocada sobre las contraseñas. Nos dijeron que cambiáramos una "a" por una "@", añadiéramos un signo de exclamación y pusiéramos la primera letra en mayúscula, y que ya estaba segura. El problema es que los atacantes también aprendieron esos trucos. Una contraseña como "P@ssw0rd!" parece complicada para un humano y resulta trivial para un programa de descifrado. Lo que de verdad protege una cuenta no es el ingenio. Es la longitud, la aleatoriedad y la sencilla disciplina de no reutilizar nunca la misma contraseña.
Esta página genera contraseñas directamente en tu navegador. Eliges la longitud y qué tipos de caracteres incluir, y la herramienta crea una cadena aleatoria nueva al instante. Nada de lo que generas se envía a ningún sitio, ni se registra ni se almacena. A continuación tienes el razonamiento detrás de por qué los valores predeterminados están configurados así, y cómo sacarles el máximo partido.
La longitud y la entropía superan a las reglas de complejidad
Cada contraseña tiene una cantidad medible de imprevisibilidad, que los expertos en seguridad llaman entropía. Cuanta más entropía, más intentos tiene que hacer un atacante antes de dar con la tuya. Dos factores elevan la entropía: cuántos caracteres posibles utilizas y cuántos de ellos encadenas. La longitud hace el trabajo pesado. Añadir un carácter más multiplica el número de combinaciones posibles, mientras que añadir un tipo de símbolo más apenas la mueve.
Por eso una contraseña aleatoria de 16 caracteres formada por letras minúsculas y números es mucho más resistente que una de 8 caracteres repleta de símbolos. Las recomendaciones actuales de organismos como CISA y la National Cybersecurity Alliance llegan una y otra vez a la misma cifra: apunta a al menos 16 caracteres. Cuanto más larga, mejor. Si un sitio te permite llegar a 20 o más para cuentas importantes, hazlo. Esos pocos segundos extra de escritura te compran años de resistencia frente a la fuerza bruta.
Las reglas de complejidad, esas que exigen "una mayúscula, un número, un símbolo", existen sobre todo para impedir que la gente elija "password123". No hacen que una cadena verdaderamente aleatoria sea más fuerte de forma significativa. Una contraseña realmente aleatoria ya supera esas reglas sin esfuerzo. Así que activa aquí unos cuantos tipos de caracteres por compatibilidad con formularios de inicio de sesión exigentes, y deja que la longitud lleve el peso.
Frases de contraseña: largas, aleatorias y memorables
Hay un caso en el que sí necesitas recordar una contraseña tú mismo: la contraseña maestra de tu gestor de contraseñas, o el inicio de sesión de tu ordenador. Para esas, una frase de contraseña funciona de maravilla. Elige al azar de cuatro a seis palabras sin relación, cuanto más absurdas mejor, y encadénalas: algo como "cobre-farol-llovizna-nuez". Es larga, tiene entropía de sobra y tu cerebro puede retenerla de verdad.
La palabra clave es aleatoria. "Correct horse battery staple" es famosa precisamente porque las palabras no tienen ninguna conexión lógica. Una frase sacada de la letra de una canción o de una cita no es nada aleatoria, ya que los atacantes introducen exactamente esas fuentes en sus herramientas de adivinación. Para todo lo demás, las cuentas en las que entras unas pocas veces al año, no deberías memorizar nada. Esa es tarea para el software.
Por qué reutilizar contraseñas es el verdadero peligro
Aquí está el dato que debería cambiar tu forma de pensar: una gran proporción de las filtraciones de datos se remonta a credenciales reutilizadas o débiles. El mecanismo es brutalmente simple. Un sitio web en el que te registraste hace años sufre una brecha y filtra su base de datos de contraseñas. Los atacantes toman esos pares de correo y contraseña y los prueban en bancos, proveedores de correo y tiendas, de forma automática, por millones. Esto se llama relleno de credenciales, y funciona porque muchísima gente usa una sola contraseña en todas partes.
La solución es una contraseña única para cada cuenta. Haz eso, y una brecha en un servicio queda contenida en ese servicio. El inconveniente, claro, es que nadie puede recordar cien cadenas aleatorias distintas. Que es exactamente el problema que resuelven los gestores de contraseñas.
Gestores de contraseñas y un segundo candado
Un gestor de contraseñas genera y almacena una contraseña aleatoria única para cada una de tus cuentas, las rellena por ti y te pide recordar solo una contraseña maestra. Herramientas como Bitwarden, 1Password, Proton Pass y otras cifran tu bóveda para que ni siquiera la empresa que la gestiona pueda leer tus credenciales. Obtienes la seguridad de contraseñas largas y aleatorias sin la carga de memorizarlas. Para la mayoría de la gente, adoptar uno es la mayor mejora que pueden hacer en su seguridad en línea.
Combínalo con la autenticación en dos pasos, a menudo mostrada como 2FA, en cada cuenta que la admita. Con la 2FA activada, una contraseña robada por sí sola no basta para entrar, porque el atacante también necesita un código de tu teléfono o una llave física. Los códigos basados en aplicación y las llaves de seguridad físicas son más fuertes que los códigos por mensaje de texto, pero cualquier segundo factor es mejor que ninguno. Contraseña más 2FA es una combinación genuinamente difícil de vencer.
Por qué generar en el navegador la mantiene privada
Cuando esta herramienta crea una contraseña, se ejecuta por completo en tu dispositivo usando el generador de números aleatorios criptográfico integrado en tu navegador, el mismo tipo de fuente segura que usan los sistemas operativos para las claves. El resultado nunca sale de tu máquina. No hay llamada a un servidor, ni ping de analítica que transporte el valor, ni nada escrito en un registro. Puedes comprobarlo abriendo la página, apagando tu red y generando sin parar. Sigue funcionando, porque todo ocurre localmente.
Eso importa porque una contraseña que dependes de un servidor remoto para crear es una contraseña que existió brevemente en algún lugar que no controlas. Generarla localmente elimina ese paso por completo. Copia tu nueva contraseña directamente en tu gestor de contraseñas y listo. Ya que estás aquí, echa un vistazo a nuestra colección de todos los generadores, o consigue un identificador aleatorio del generador de UUID si necesitas uno para trabajo de desarrollo.
Preguntas frecuentes
¿Cuánto debe medir mi contraseña?
Apunta a al menos 16 caracteres, y hazla más larga para cuentas importantes como el correo y la banca. La longitud aporta más seguridad que cualquier mezcla de símbolos, así que en caso de duda, hazla más larga antes que más complicada.
¿Las contraseñas que crea esta herramienta son realmente aleatorias?
Sí. Se construyen usando el generador de números aleatorios criptográficamente seguro de tu navegador, la misma fuente en la que confían los sistemas operativos para las claves. Cada clic produce un resultado nuevo e independiente, sin ningún patrón predecible.
¿Es seguro generar contraseñas en un navegador web?
Lo es, siempre que la generación ocurra localmente. Esta herramienta se ejecuta por completo en tu dispositivo y nunca envía la contraseña a un servidor. Puedes desconectarte de internet y sigue funcionando, lo que demuestra que no se transmite nada.
¿Debo usar una frase de contraseña o una contraseña aleatoria?
Usa una contraseña aleatoria larga para las cuentas que guardas en un gestor de contraseñas, ya que no necesitas memorizarlas. Usa una frase de contraseña memorable de varias palabras aleatorias sin relación para los pocos inicios de sesión que debes teclear de memoria, como tu contraseña maestra.
¿Por qué reutilizar la misma contraseña es tan arriesgado?
Si un sitio sufre una brecha, los atacantes toman la contraseña filtrada y la prueban en tus otras cuentas de forma automática. Una contraseña única por cuenta evita que una sola brecha se propague. Esta es la razón principal por la que existen los gestores de contraseñas.
¿Sigo necesitando la autenticación en dos pasos?
Sí. Una contraseña única y fuerte protege contra la adivinación y el relleno de credenciales, pero la 2FA añade un segundo candado para que una contraseña robada por sí sola no pueda abrir tu cuenta. Actívala en todas partes donde se ofrezca, idealmente con una aplicación o una llave física en lugar de mensajes de texto.