Cómo crear una contraseña segura: longitud, gestor de contraseñas y verificación en dos pasos

Una contraseña segura se reconoce por tres cosas: es larga, aleatoria y se usa en un solo sitio. La complejidad que piden los formularios (una mayúscula, un dígito, un símbolo) es solo la cuarta y la menos importante. A continuación se explica por qué, qué recomiendan el INCIBE y el NIST estadounidense y qué puede hacer hoy mismo.

¿Cuánto se tarda en adivinar una contraseña?

Las contraseñas se rompen más deprisa tras una filtración de datos. El atacante no tiene que engañar a nadie: toma las huellas (hashes) guardadas de las contraseñas y prueba posibilidades una tras otra. La velocidad depende de cómo las guarde el servicio. Con un hash rápido (MD5), una tarjeta gráfica NVIDIA RTX 5090 alcanza 215,8 mil millones de intentos por segundo según las pruebas publicadas de hashcat; con el lento bcrypt, solo 255,3 mil.

Contraseña	Fortaleza	Hash lento (bcrypt)	Hash rápido (MD5)
8 caracteres, solo minúsculas	38 bits	5 días	menos de un segundo
8 caracteres, todos los tipos	50 bits	57 años	35 minutos
12 caracteres, todos los tipos	76 bits	más de mil millones de años	4300 años
16 caracteres, todos los tipos	101 bits	más de mil millones de años	más de mil millones de años
20 caracteres, todos los tipos	127 bits	más de mil millones de años	más de mil millones de años

De la tabla se desprenden tres cosas:

• Ocho caracteres no bastan ni con todos los tipos de caracteres. Con un hash rápido, una contraseña así cae en 35 minutos; con uno lento, en 57 años. Ocho minúsculas con un hash rápido: menos de un segundo.
• Doce caracteres son otra liga. La contraseña tiene 76 bits y un hash rápido necesitaría de media 4300 años.
• A partir de dieciséis caracteres queda fuera de alcance. 101 bits significan, con un hash rápido: más de mil millones de años. Cada carácter más multiplica el tiempo.

Las cifras valen solo para una contraseña aleatoria. Una inventada es mucho más débil: las personas eligen palabras, nombres y fechas previsibles y un dígito al final, y los atacantes prueban justo eso primero.

Por qué la longitud gana a la complejidad

Con 81 caracteres distintos (letras minúsculas y mayúsculas, dígitos y símbolos), cada carácter más multiplica por 81 el número de posibilidades. Por eso añadir cuatro caracteres a una contraseña de doce suma 26 bits, mientras que activar los símbolos en una contraseña de doce de letras y dígitos suma solo 4,4.

El INCIBE, el instituto español de ciberseguridad, aconseja una contraseña de al menos 8 a 10 caracteres («cuanto más larga, mejor») con letras mayúsculas y minúsculas, números y caracteres especiales, distinta para cada cuenta, y recomienda un gestor de contraseñas y la autenticación de dos factores siempre que el servicio la ofrezca. Aconseja también cambiar las contraseñas periódicamente, al menos cada 6 meses.

El NIST estadounidense, en su versión actual (SP 800-63B-4, apartado sobre contraseñas), pone el acento en la longitud y opina distinto sobre el cambio periódico:

• una contraseña que es el único modo de acceso debe tener al menos 15 caracteres; si es solo una parte de una autenticación multifactor, al menos 8;
• los servicios deben aceptar contraseñas de al menos 64 caracteres y permitir pegar, para que funcionen los gestores de contraseñas;
• los servicios no deben imponer reglas de composición ni exigir cambios periódicos; el cambio se fuerza solo si hay indicios de que la contraseña está comprometida;
• una contraseña nueva se compara con una lista de contraseñas comunes y filtradas.

Las fuentes coinciden en que cuenta la longitud y en que no se deben repetir contraseñas. Difieren en las reglas de composición y en el cambio periódico: con contraseñas largas, aleatorias y únicas guardadas en un gestor, cambiarlas sin motivo aporta poco, y conviene cambiar una en cuanto haya sospecha de filtración.

Aleatoria, no inventada

Una persona no puede inventar el azar; un generador sí. El generador de contraseñas elige cada carácter de la fuente de aleatoriedad criptográfica de su navegador y no envía ni guarda la contraseña. El resultado no tiene relación con usted, así que no se puede deducir de su nombre, su fecha de nacimiento ni de nada que un atacante sepa de usted.

Una contraseña por servicio

Cuando se filtra la base de datos de un servicio, los atacantes prueban las contraseñas robadas en otros. Si usa la misma contraseña, o una parecida, en todas partes, una filtración abre todas las cuentas. Una contraseña distinta para cada cuenta limita el daño a una sola.

Gestor de contraseñas

Nadie recuerda decenas de contraseñas largas y aleatorias. Para eso está el gestor: las guarda, las rellena por usted y usted solo recuerda la contraseña maestra. Para la maestra sirve una frase larga o varias palabras que pueda recordar pero que nadie adivine. Lo mejor son palabras sorteadas al azar, por ejemplo con el generador de frases de contraseña. No la use en ningún otro sitio y guarde un código de recuperación en un lugar seguro.

Verificación en dos pasos y claves de acceso

La autenticación de dos factores añade a la contraseña un segundo paso, como un código de una aplicación o una llave física, de modo que una contraseña robada no basta por sí sola. El INCIBE aconseja configurarla siempre que el servicio lo permita.

Las claves de acceso (passkeys) van más lejos. Según la FIDO Alliance se inicia sesión igual que se desbloquea el dispositivo (biometría, PIN o patrón) y, como usan criptografía de clave pública, no hay ninguna contraseña que robar de una base de datos ni nada que una página falsa pueda sonsacarle. Úselas donde el servicio las ofrezca.

Qué hacer tras una filtración

Cambie de inmediato la contraseña filtrada y también en todos los sitios donde la haya repetido. Active la autenticación de dos factores. Puede comprobar si su correo aparece en bases de datos filtradas en Have I Been Pwned.

Qué hacer hoy

1. Instale un gestor de contraseñas (o active el del navegador o del móvil) y póngale una contraseña maestra larga.
2. Empiece por las contraseñas del correo, del banco y del propio gestor: genérelas con al menos 16 caracteres.
3. Active la autenticación de dos factores en el correo y en el banco.
4. Sustituya poco a poco las contraseñas que repite por otras únicas.
5. Guarde en un lugar seguro los códigos de recuperación de sus cuentas.

Esto no es asesoramiento de seguridad para su situación concreta. La contraseña es solo una parte de la protección de una cuenta y por sí sola no protege del phishing ni del software malicioso.