Contrasenyes: què fer
i què deixar de fer

Si cadascuna és diferent, llarga i la desa un gestor, no cal canviar-les per calendari: canvia-la quan hi hagi un motiu. És el que diu la guia d'identitat digital del NIST nord-americà (SP 800-63B), la referència que segueixen moltes organitzacions: prohibeix exigir canvis periòdics i obliga a forçar el canvi quan hi ha indicis que la contrasenya ha quedat compromesa. El motiu és pràctic: qui ha de canviar la clau cada mes acaba fent servir «Estiu2026!» i després «Tardor2026!», i això no protegeix de res. L'OSI d'INCIBE encara aconsella revisar-les com a mínim cada sis mesos, però ningú seriós no recomana fer-ho cada mes. Els motius per canviar-la ja: un avís que el servei ha patit una filtració, un inici de sessió que no reconeixes, haver-la escrit en una pàgina sospitosa o haver-la dit a algú per telèfon.

Sí, i és millor cistell que l'alternativa real, que és la mateixa contrasenya a vint llocs o una llibreta al costat de l'ordinador. El gestor desa les claus xifrades i només les obre amb una contrasenya mestra que no surt de les teves mans; si un servei qualsevol pateix una filtració, l'atacant s'emporta una clau que no serveix enlloc més. L'OSI d'INCIBE el recomana precisament per això, i la guia del NIST obliga els serveis a permetre els gestors i l'emplenament automàtic. El que sí que exigeix és cuidar el cistell: una contrasenya mestra llarga que no facis servir enlloc més, la verificació en dos passos activada al mateix gestor i un pla per si l'oblides, perquè sense ella no hi ha manera de recuperar el que hi ha desat. El que ve inclòs al navegador o al sistema del mòbil ja és molt millor que no fer-ne servir cap.

Una frase llarga que puguis recordar i que no tingui res a veure amb tu en públic: quatre o cinc paraules sense relació entre elles, amb espais si el servei els admet. La llargada pesa més que els símbols estranys: la guia del NIST demana un mínim de 15 caràcters quan la contrasenya és l'única protecció d'un compte, i desaconsella imposar regles de composició del tipus «una majúscula, un número i un símbol». Evita refranys, lletres de cançons, el nom del gos o la data del casament, que és el primer que es prova. Aquesta és l'única contrasenya que has de memoritzar, així que val la pena dedicar-hi cinc minuts i escriure-la un cop en paper, guardada en un lloc de casa que no sigui el calaix de l'escriptori, fins que te l'hagis après. I activa la verificació en dos passos al gestor.

Perquè és el que obre tots els altres. Gairebé qualsevol servei, des de la botiga en línia fins a la xarxa social o el programa de facturació, et deixa canviar la contrasenya amb un enllaç que envia al teu correu. Qui controla la bústia pot demanar aquest enllaç a cada lloc i quedar-se els comptes un a un, sense conèixer cap altra contrasenya. A més, des del teu correu pot escriure als teus clients o a la teva família fent-se passar per tu, que és com comencen moltes factures falses. Per això el correu es mereix la millor contrasenya que tinguis, diferent de totes, la verificació en dos passos amb el mètode més fort que admeti i una revisió de tant en tant de les sessions obertes i de les regles de reenviament. Si aquesta setmana només protegiràs bé un compte, que sigui aquest.

És molt millor que no tenir segon pas, i pitjor que les alternatives. L'SMS depèn de la teva línia de telèfon, i hi ha fraus que consisteixen a aconseguir un duplicat de la teva targeta SIM o a desviar els teus missatges; a més, el codi es pot llegir en veu alta a qui et truca fent-se passar pel banc. La guia del NIST qualifica l'SMS de mètode «restringit» i el considera no resistent al phishing. Una aplicació d'autenticació al mòbil genera el codi sense dependre de la línia, així que evita el duplicat de SIM, tot i que continua sense protegir-te si tu mateix tecleges el codi en una pàgina falsa. Les claus físiques i les claus d'accés (passkeys) van un pas més enllà: només funcionen al lloc autèntic. Fes servir el mètode més fort que t'ofereixi cada servei, i l'SMS només on no hi hagi cap altra opció.

Per això, quan l'actives, cada servei t'ofereix codis de recuperació: una llista de codis d'un sol ús que et deixen entrar sense el mòbil. Imprimeix-los o desa'ls fora del telèfon, al gestor de contrasenyes o en paper a casa, i no els deixis en una captura de pantalla dins del mateix mòbil que pots perdre. Si el servei ho permet, afegeix-hi un segon mètode: un altre dispositiu, una clau física de recanvi o un número de telèfon de reserva. Les aplicacions d'autenticació més habituals permeten a més fer còpia dels seus codis per passar-los a un mòbil nou; comprova-ho abans de canviar de telèfon, no després. Perdre el mòbil sense res d'això no sol ser definitiu, però converteix la recuperació de cada compte en un tràmit llarg amb el suport de cada servei, i algun no el resol mai.

Una llibreta a casa és més segura que la mateixa contrasenya repetida a tot arreu, perquè per llegir-la cal entrar a casa teva, i la majoria d'atacs vénen d'internet, no del menjador. El problema de la llibreta no és tant el robatori com la resta: no es pot portar a sobre amb comoditat, no genera contrasenyes llargues, convida a escriure claus curtes per no cansar-se copiant i en una oficina acaba en un pòsit enganxat al monitor, que és just on no ha de ser. Per a una persona gran que fa servir tres serveis pot ser una solució raonable. Per a qualsevol amb més de deu comptes, o per a un negoci amb dades de clients, el gestor de contrasenyes guanya de molt: recorda, genera i emplena per tu. El que mai no convé és un document sense protegir a l'escriptori de l'ordinador que es digui «contrasenyes».

Molts gestors de contrasenyes i els navegadors principals ja t'avisen sols: comparen les claus desades amb llistes de contrasenyes filtrades sense enviar-les en clar i et diuen quines estan exposades o repetides. Revisa aquest apartat de tant en tant, que sol dir-se alguna cosa com «revisió de seguretat» o «comprovació de contrasenyes». També te'n poden avisar els mateixos serveis per correu quan pateixen una filtració; en aquest cas, entra-hi escrivint tu l'adreça al navegador, no clicant l'enllaç del missatge, per si l'avís és fals. Si una contrasenya surt com a filtrada, canvia-la en aquell servei i en qualsevol altre on la fessis servir igual. I si notes alguna cosa estranya, com inicis de sessió que no reconeixes, missatges enviats que no vas escriure o regles al correu que no vas crear tu, no esperis l'avís: canvia la contrasenya i tanca les sessions obertes.