Cómo crear una contraseña segura (y recordarla)
Para quien está cansado de inventar claves con símbolos que luego olvida: qué dicen hoy las guías oficiales, con nuestro cálculo de cuánto vale cada carácter y cada palabra.
Para crear una contraseña segura, hazla larga, al azar y distinta en cada cuenta: el largo pesa más que los símbolos. La guía vigente del NIST, el instituto de normas de Estados Unidos, pide al menos 15 caracteres cuando la contraseña es lo único que protege la cuenta, y prohíbe a los sitios exigir mezclas de símbolos o cambios periódicos. Para recordarla, usa una frase de varias palabras al azar y deja el resto en un gestor de contraseñas.
Después, activa la verificación en dos pasos o, donde exista, las llaves de acceso (passkeys). Abajo están nuestras cuentas de 8 caracteres con símbolos frente a 4 palabras, y cómo saber si una contraseña tuya se filtró.
¿Qué hace segura a una contraseña?
Una contraseña es segura cuando es difícil de adivinar para un programa que prueba millones de opciones, no para una persona. Eso depende de tres cosas: que sea larga, que salga al azar y no de tu vida (nombres, fechas, tu equipo de fútbol) y que no la uses en ningún otro sitio. Los símbolos ayudan menos de lo que parece.
Por eso el NIST obliga a los sitios a rechazar toda contraseña nueva que esté en una lista de contraseñas comunes, esperables o ya filtradas. «Ecuador2026!» cumple las reglas viejas, pero es una palabra conocida, un año y un signo al final: lo primero que probaría cualquier programa.
¿Qué importa más en una contraseña: el largo o los símbolos?
El largo. Cada carácter que añades multiplica las combinaciones posibles, mientras que pasar de solo letras a letras con símbolos apenas amplía el «alfabeto» de cada posición. Por eso las guías oficiales hablan de longitud: el NIST pide 15 caracteres como mínimo si no hay segundo factor, y la CISA, la agencia de ciberseguridad de Estados Unidos, recomienda al menos 16.
Lo comprobamos con números. El 25 de octubre de 2026 calculamos con Node.js cuántas combinaciones tiene cada tipo de contraseña, suponiendo que cada carácter o palabra se elige al azar: se eleva el número de opciones al largo (94 caracteres del teclado, o 7.776 palabras de una lista como la del método de los dados de la EFF) y se pasa a bits.
| Contraseña | Combinaciones | Bits |
|---|---|---|
| 8 caracteres, solo minúsculas | ≈ 2,1 × 10¹¹ | 37,6 |
| 8 caracteres con mayúsculas, números y símbolos | ≈ 6,1 × 10¹⁵ | 52,4 |
| 4 palabras de una lista de 7.776 | ≈ 3,7 × 10¹⁵ | 51,7 |
| 5 palabras | ≈ 2,8 × 10¹⁹ | 64,6 |
| 6 palabras | ≈ 2,2 × 10²³ | 77,5 |
| 15 caracteres, solo minúsculas | ≈ 1,7 × 10²¹ | 70,5 |
| 16 caracteres con mayúsculas, números y símbolos | ≈ 3,7 × 10³¹ | 104,9 |
Los bits son una forma corta de contar: cada bit duplica las opciones, como sumar una moneda más que hay que adivinar. 52 bits equivalen a acertar 52 caras o cruces seguidas. Mira la tabla: 15 letras minúsculas al azar (70,5 bits) superan con holgura a 8 caracteres con símbolos (52,4), y 16 caracteres al azar llegan a casi 105.
Estas cuentas valen solo si la contraseña sale de verdad al azar, de un dado o de un generador; una que inventas tú tiene muchas menos opciones. Tampoco dicen cuánto se tarda en descifrarla, que depende de cómo guarda el sitio las contraseñas y del equipo de quien ataca: por eso no damos tiempos.
¿Cómo crear una frase de contraseña que puedas recordar?
Una frase de contraseña son varias palabras sin relación entre sí, elegidas al azar, como «tortuga lámpara cosecha vidrio»: se recuerda con una imagen mental y es larga sin esfuerzo. La CISA la propone de 4 a 7 palabras, y la EFF recomienda al menos 6. Así se arma:
- Elige las palabras al azar, con dados y una lista numerada o con el generador de tu gestor de contraseñas. Las que se te ocurren a ti no son al azar.
- Usa al menos 5 o 6 palabras si la frase protege algo importante, como tu correo o tu gestor.
- No uses refranes, letras de canciones ni frases célebres: ya son frases conocidas.
- Imagina una escena que junte las palabras en orden. Esa imagen es lo que vas a recordar.
Ahora, el dato honesto de nuestra tabla: 4 palabras al azar (51,7 bits) dan casi lo mismo que 8 caracteres al azar con símbolos (52,4). Cuatro palabras no son invencibles; su ventaja es que se recuerdan, y que cada palabra extra multiplica las opciones por 7.776. Con 6 llegas a 77,5 bits sin escribir un solo símbolo.
¿Hay que cambiar la contraseña cada 90 días?
No, salvo que haya indicios de que se filtró. La guía del NIST de 2025 prohíbe a los sitios exigir cambios periódicos y les obliga a forzar el cambio solo si hay pruebas de que la contraseña quedó expuesta. La CNIL, la autoridad francesa de datos personales, dejó de recomendarlo en 2022 para las cuentas normales.
La cuarta revisión de esa guía, publicada en julio de 2025, también prohíbe imponer reglas de composición, como exigir mayúsculas, números y símbolos, y pide aceptar contraseñas de al menos 64 caracteres, permitir pegarlas y dejar funcionar a los gestores. Tu banco o tu trabajo pueden seguir con las reglas viejas; dentro de sus sistemas, mandan ellos.
¿Por qué no hay que repetir la misma contraseña?
Porque basta con que se filtre un sitio para que se abran todos. Si un foro pequeño pierde su base de datos y tu correo usa la misma clave, quien la tenga puede probar esa pareja de correo y contraseña en tu correo, tu banco y tus redes. INCIBE, el instituto de ciberseguridad de España, advierte que una contraseña robusta no basta si se repite en varios servicios.
¿Es seguro usar un gestor de contraseñas?
Sí, y es lo que recomiendan las guías oficiales. Un gestor guarda tus contraseñas cifradas detrás de una sola contraseña maestra, las crea al azar y las rellena por ti, así que solo tienes que recordar una. Según INCIBE, además las organiza y te da acceso desde varios dispositivos. Probablemente ya tienes uno:
- Gestor de contraseñas de Google, en Chrome y en Android. Su Revisión de contraseñas avisa de las que están expuestas, son débiles o se usan en varias cuentas.
- Contraseñas, la app de Apple desde iOS 18 y macOS Sequoia, guarda contraseñas, llaves de acceso y códigos de verificación, y avisa si alguna aparece en una filtración conocida.
- Gestores independientes, gratuitos o de pago, para cuando mezclas marcas: un iPhone y una computadora (ordenador) con Windows, por ejemplo. INCIBE publicó en junio de 2026 una guía de KeePassXC, uno que funciona sin conexión.
No hay uno «mejor» para todo el mundo: el integrado basta si tus aparatos son de la misma marca. Sea cual sea, protégelo con una frase de contraseña larga y verificación en dos pasos, porque es la llave de todas las demás.
¿Qué es la verificación en dos pasos y qué método conviene?
Es pedir una segunda prueba además de la contraseña: un código, una aprobación en una app o una llave física. Así, aunque alguien robe tu contraseña, no entra sin ese segundo paso. INCIBE aconseja activarla siempre que el servicio lo permita; empieza por tu correo, porque ahí llegan los enlaces para recuperar casi todas tus cuentas.
No todos los métodos valen lo mismo. El NIST clasifica los códigos por SMS o llamada como un método «restringido», menos seguro, que los sitios deben acompañar de una alternativa. Nuestra recomendación: si puedes elegir, usa una app de códigos o una llave de seguridad, y guarda los códigos de respaldo fuera del celular. Aun así, el SMS es mejor que no tener segundo paso.
¿Qué son las llaves de acceso (passkeys)?
Una llave de acceso, o passkey, reemplaza la contraseña: entras con la huella, la cara o el PIN que ya usas para abrir el celular. Según la FIDO Alliance, que creó el estándar, son resistentes al phishing (el engaño con páginas falsas) y no dejan contraseñas que robar, porque tú y el sitio no comparten ningún secreto.
Tu huella no sale del aparato: Google explica que tus datos biométricos se quedan en tu dispositivo y no se comparten con Google. Y una llave de acceso no funciona en una página falsa, aunque copie el diseño y muestre candado; el candado solo cifra la conexión, como contamos en qué garantiza HTTPS y qué no. Actívalas donde el sitio te las ofrezca, normalmente en los ajustes de seguridad de la cuenta.
¿Cómo saber si una contraseña tuya se filtró?
Busca tu correo en Have I Been Pwned, un servicio que, al 25 de octubre de 2026, reúne más de 17.800 millones de cuentas filtradas de 1.047 sitios. Si aparece, cambia la contraseña de ese sitio y la de cualquier otro donde la hayas repetido. Tu gestor de contraseñas también puede avisarte.
- Para tu correo: escríbelo en Have I Been Pwned y mira en qué filtraciones salió.
- Para una contraseña concreta: su sección Pwned Passwords la revisa sin que salga de tu equipo: tu navegador calcula una huella (un hash) y solo envía sus 5 primeros caracteres.
- Para todas a la vez: la Revisión de contraseñas de Google o las recomendaciones de seguridad de la app Contraseñas de Apple.
Que tu correo aparezca no significa que alguien entró en tu cuenta, sino que tus datos de ese sitio circulan. Ahí sí toca cambiar la contraseña.
¿Qué cambia para ti y para tu negocio?
En un negocio pequeño, las cuentas que más importan suelen ser pocas: el correo, el banco, las redes, el WhatsApp del negocio y el panel de tu web. Para esas:
- Una persona, una cuenta. Una clave compartida por todo el equipo impide saber quién hizo qué.
- Verificación en dos pasos en el correo y las redes, con los códigos de respaldo guardados fuera del celular.
- Cuidado con los enlaces que piden tu clave, también los de un código QR: un QR solo guarda un enlace, y la trampa está en la página adonde lleva.
Lo que se exagera sobre las contraseñas
- «Con un símbolo ya es segura». Un símbolo al final de una palabra conocida apenas cambia nada; el largo y el azar, sí.
- «Una frase de 4 palabras es imposible de romper». En nuestra tabla, 4 palabras al azar valen casi lo mismo que 8 caracteres al azar. Para algo importante, usa 6 o más.
Lo esencial
Larga, al azar y una por cuenta: una frase de 6 palabras para las pocas que tengas que recordar y un gestor para el resto. Después, verificación en dos pasos o llaves de acceso, y una visita a Have I Been Pwned de vez en cuando.
Y si prefieres no crear otra cuenta más, varias de las herramientas gratis de Vertize Plus funcionan sin registro.
Preguntas frecuentes
¿Cuál es un ejemplo de contraseña segura?
Una frase de palabras al azar, como «tortuga lámpara cosecha vidrio grulla mapa», o una cadena de 16 caracteres creada por tu gestor. No copies ningún ejemplo publicado, este incluido: en cuanto sale en internet, deja de ser al azar.
¿Es seguro guardar las contraseñas en el navegador?
Sí, si tu cuenta de Google o de Apple tiene una contraseña fuerte y verificación en dos pasos, y nadie más usa tu computadora con tu sesión abierta. La CISA cita esos gestores integrados como una opción gratuita.
¿Cada cuánto hay que cambiar las contraseñas?
Solo cuando hay motivo: una filtración, un aviso de tu gestor o la sospecha de que alguien la vio. La guía vigente del NIST ya no permite a los sitios obligarte a cambiarla por calendario.