Contraseñas: qué hacer
y qué dejar de hacer

Si cada una es distinta, larga y la guarda un gestor, no hace falta cambiarlas por calendario: cámbiala cuando haya un motivo. Es lo que dice la guía de identidad digital del NIST estadounidense (SP 800-63B), la referencia que siguen muchas organizaciones: prohíbe exigir cambios periódicos y obliga a forzar el cambio cuando hay indicios de que la contraseña se ha visto comprometida. El motivo es práctico: quien tiene que cambiar la clave cada mes acaba usando «Verano2026!» y luego «Otoño2026!», y eso no protege de nada. La OSI de INCIBE todavía aconseja revisarlas al menos cada seis meses, pero nadie serio recomienda hacerlo cada mes. Los motivos para cambiarla ya: un aviso de que el servicio ha sufrido una filtración, un inicio de sesión que no reconoces, haberla escrito en una página sospechosa o haberla dicho a alguien por teléfono.

Sí, y es mejor cesta que la alternativa real, que es la misma contraseña en veinte sitios o una libreta junto al ordenador. El gestor guarda las claves cifradas y solo las abre con una contraseña maestra que no sale de tus manos; si un servicio cualquiera sufre una filtración, el atacante se lleva una clave que no sirve en ningún otro sitio. La OSI de INCIBE lo recomienda precisamente por eso, y la guía del NIST obliga a los servicios a permitir los gestores y el autorrelleno. Lo que sí exige es cuidar la cesta: una contraseña maestra larga que no uses en ningún otro sitio, la verificación en dos pasos activada en el propio gestor y un plan por si la olvidas, porque sin ella no hay forma de recuperar lo que guarda. El que viene incluido en el navegador o el sistema del móvil ya es mucho mejor que no usar ninguno.

Una frase larga que puedas recordar y que no tenga nada que ver contigo en público: cuatro o cinco palabras sin relación entre sí, con espacios si el servicio los admite. La longitud pesa más que los símbolos raros: la guía del NIST pide un mínimo de 15 caracteres cuando la contraseña es la única protección de una cuenta, y desaconseja imponer reglas de composición del tipo «una mayúscula, un número y un símbolo». Evita refranes, letras de canciones, el nombre del perro o la fecha de la boda, que es lo primero que se prueba. Esta es la única contraseña que tienes que memorizar, así que vale la pena dedicarle cinco minutos y escribirla una vez en papel, guardada en un sitio de casa que no sea el cajón del escritorio, hasta que la tengas aprendida. Y activa la verificación en dos pasos en el gestor.

Porque es la que abre todas las demás. Casi cualquier servicio, desde la tienda online hasta la red social o el programa de facturación, te deja cambiar la contraseña con un enlace que envía a tu correo. Quien controla el buzón puede pedir ese enlace en cada sitio y quedarse con las cuentas una a una, sin conocer ninguna contraseña más. Además, desde tu correo puede escribir a tus clientes o a tu familia haciéndose pasar por ti, que es como empiezan muchas facturas falsas. Por eso el correo merece la mejor contraseña que tengas, distinta de todas, la verificación en dos pasos con el método más fuerte que admita y una revisión de vez en cuando de las sesiones abiertas y de las reglas de reenvío. Si solo vas a proteger bien una cuenta esta semana, que sea esta.

Es mucho mejor que no tener segundo paso, y peor que las alternativas. El SMS depende de tu línea de teléfono, y hay fraudes que consisten en conseguir un duplicado de tu tarjeta SIM o en desviar tus mensajes; además, el código se puede leer en voz alta a quien te llama haciéndose pasar por el banco. La guía del NIST califica el SMS como método «restringido» y lo considera no resistente al phishing. Una aplicación de autenticación en el móvil genera el código sin depender de la línea, así que evita el duplicado de SIM, aunque sigue sin protegerte si tú mismo tecleas el código en una página falsa. Las llaves físicas y las llaves de acceso (passkeys) van un paso más allá: solo funcionan en el sitio auténtico. Usa el método más fuerte que te ofrezca cada servicio, y el SMS solo donde no haya otra opción.

Por eso, al activarla, cada servicio te ofrece códigos de recuperación: una lista de códigos de un solo uso que te dejan entrar sin el móvil. Imprímelos o guárdalos fuera del teléfono, en el gestor de contraseñas o en papel en casa, y no los dejes en una captura de pantalla dentro del mismo móvil que puedes perder. Si el servicio lo permite, añade un segundo método: otro dispositivo, una llave física de repuesto o un número de teléfono de respaldo. Las aplicaciones de autenticación más comunes permiten además hacer copia de sus códigos para pasarlos a un móvil nuevo; compruébalo antes de cambiar de teléfono, no después. Perder el móvil sin nada de esto no suele ser definitivo, pero convierte la recuperación de cada cuenta en un trámite largo con el soporte de cada servicio, y alguno no lo resuelve nunca.

Una libreta en casa es más segura que la misma contraseña repetida en todos los sitios, porque para leerla hay que entrar en tu casa, y la mayoría de ataques vienen de internet, no del salón. El problema de la libreta no es tanto el robo como el resto: no se puede llevar encima con comodidad, no genera contraseñas largas, invita a escribir claves cortas para no cansarse copiando y en una oficina acaba en un pósit pegado al monitor, que es justo donde no debe estar. Para una persona mayor que usa tres servicios puede ser una solución razonable. Para cualquiera con más de diez cuentas, o para un negocio con datos de clientes, el gestor de contraseñas gana por mucho: recuerda, genera y rellena por ti. Lo que nunca conviene es un documento sin proteger en el escritorio del ordenador llamado «contraseñas».

Muchos gestores de contraseñas y los navegadores principales ya te avisan solos: comparan tus claves guardadas con listas de contraseñas filtradas sin enviarlas en claro y te dicen cuáles están expuestas o repetidas. Revisa ese apartado de vez en cuando, que suele llamarse algo como «revisión de seguridad» o «comprobación de contraseñas». También te pueden avisar los propios servicios por correo cuando sufren una filtración; en ese caso, entra escribiendo tú la dirección en el navegador, no pinchando el enlace del mensaje, por si el aviso es falso. Si una contraseña aparece como filtrada, cámbiala en ese servicio y en cualquier otro donde la usaras igual. Y si notas algo raro, como inicios de sesión que no reconoces, mensajes enviados que no escribiste o reglas en el correo que no creaste tú, no esperes al aviso: cambia la contraseña y cierra las sesiones abiertas.