Cómo crear contraseñas fuertes y administrarlas sin reutilizarlas
Una contraseña difícil de recordar no es necesariamente más segura. Lo importante es que sea larga, única para cada servicio y que no dependa de trucos previsibles como cambiar una letra por un número.
Qué hace fuerte a una contraseña
La longitud y la unicidad importan más que una regla estética de símbolos. Una frase larga de palabras no relacionadas o una clave aleatoria creada por un gestor suele ser mejor que una palabra corta con «@» al final. La guía NIST SP 800-63B actualiza criterios para verificadores de identidad y desaconseja imponer cambios periódicos arbitrarios cuando no hay evidencia de compromiso.
No uses datos públicos o fáciles de deducir: fecha de nacimiento, club, nombre de mascotas, empresa o una secuencia del teclado. Evitá variantes de una misma contraseña entre servicios. Si una plataforma se filtra, los atacantes suelen probar la misma combinación en correo, banca, redes y administración web.
Un método práctico para cuentas distintas
- Elegí un gestor de contraseñas confiable y protegé su acceso con una frase larga y única.
- Generá una contraseña aleatoria diferente para cada servicio; no hace falta memorizar todas.
- Activá MFA en correo, gestor, cuentas financieras y paneles de administración.
- Guardá códigos de recuperación fuera de la cuenta que protegen, en un lugar controlado.
- Revisá si el gestor avisa de claves repetidas o comprometidas y reemplazá las afectadas.
Para la frase maestra, usá varias palabras elegidas al azar, no una cita conocida ni una oración sobre vos. No publiques la frase ni la compartas con soporte técnico. Si el gestor ofrece acceso familiar o de equipo, usá las funciones de compartición con permisos en vez de enviar contraseñas por chat.
La autenticación multifactor ayuda, pero no es magia
MFA agrega una segunda comprobación. Una aplicación autenticadora o una llave física suele resistir mejor ciertos ataques que un código por SMS, aunque la opción disponible depende del servicio. No apruebes solicitudes de inicio de sesión que no empezaste vos; una avalancha de avisos puede ser un intento de lograr un clic por cansancio.
Si usás una llave física, registrá una alternativa de recuperación. Si perdés el teléfono o la llave y no guardaste códigos, podrías perder acceso. En una empresa, evitá que todo dependa de una sola persona: documentá cuentas propietarias, permisos y recuperación sin compartir claves maestras.
¿Cuándo cambiar una contraseña?
Cambiala cuando exista una razón: filtración confirmada, uso en otro servicio comprometido, acceso sospechoso, compartición indebida o salida de alguien que la conocía. Cambiarla cada mes sin motivo puede fomentar patrones como agregar un número correlativo. Tras un incidente, revisá sesiones abiertas, métodos de recuperación y dispositivos conectados; cambiar la clave sin cerrar una sesión robada puede no ser suficiente.
Si recibís un correo que exige un cambio urgente, no sigas el enlace sin verificar. Entrá al servicio escribiendo la dirección habitual o desde una app conocida. El phishing puede robar la nueva contraseña y también el código MFA. Revisá el dominio y la solicitud, pero recordá que una página puede imitar visualmente a la auténtica.
Ejemplo: proteger el acceso a un WordPress
El administrador de WordPress debe tener una contraseña única generada por gestor y MFA. Cada colaborador necesita su propia cuenta y el rol mínimo para trabajar; compartir la cuenta «admin» impide saber quién hizo qué. Quitá accesos de proveedores cuando termina el trabajo. Protegé también el correo asociado al administrador y el panel del hosting: quien controla esas cuentas podría restablecer el acceso al sitio.
Combiná estas medidas con actualizaciones, copias probadas y revisión de extensiones. Una contraseña fuerte no corrige una vulnerabilidad en un plugin, ni impide que alguien autorizado descargue datos indebidamente. Es una capa del sistema, no una promesa de seguridad absoluta.
Plan de migración desde claves reutilizadas
Si hoy usás la misma clave en muchos sitios, no hace falta cambiar todo de golpe sin orden. Empezá por el correo principal: suele permitir restablecer contraseñas de otros servicios. Después seguí con gestor, bancos y medios de pago, cuentas laborales, redes sociales y tiendas. En cada servicio, generá una clave única, guardá el método de recuperación y comprobá que podés volver a iniciar sesión antes de cerrar la sesión anterior.
Si una cuenta es compartida por un equipo, creá usuarios individuales cuando el servicio lo permita. Compartir credenciales por mensajería deja copias difíciles de revocar y borra la trazabilidad. Si no hay usuarios separados, usá una función de compartición del gestor y rotá el acceso al cambiar integrantes. Documentá quién es propietario de cada cuenta y qué pasa si pierde su dispositivo.
Una revisión cada pocos meses puede centrarse en cuentas que ya no usás, accesos de antiguos colaboradores, avisos de filtración y métodos de recuperación desactualizados. Eso es distinto de obligar a todo el equipo a cambiar claves sanas cada 30 días. También revisá las sesiones abiertas en equipos públicos o viejos teléfonos: una contraseña nueva no siempre invalida todas las sesiones existentes.
Preguntas frecuentes
¿Es seguro guardar claves en el navegador?
Puede ser mejor que reutilizar una sola clave, pero compará la protección del dispositivo, sincronización, acceso compartido y recuperación con un gestor dedicado. Bloqueá el equipo y protegé la cuenta que sincroniza las claves.
¿Una frase de palabras es mejor que caracteres raros?
Puede serlo si es suficientemente larga, aleatoria y única. Una frase conocida o una sucesión previsible de palabras no ofrece la misma protección. Un gestor puede generar ambas opciones y evitar que debas inventarlas.
¿MFA reemplaza una buena contraseña?
No. Ambas capas se complementan; una clave reutilizada facilita ataques y puede exponer servicios que no tienen MFA.
Alcance: esta guía es informativa. La configuración y respuesta a incidentes dependen del sitio, el proveedor y sus registros. Revisá la documentación y probá los cambios antes de aplicarlos en producción.