Una contraseña segura tiene tres cosas: es larga (12 caracteres como mínimo, y 16 o más para el correo y el banco), es aleatoria (nada de nombres, fechas ni palabras con una «o» cambiada por un «0») y es única (no la usas en ninguna otra cuenta). La forma más sencilla de conseguir las tres a la vez es dejar que la cree un generador de contraseñas y guardarla en un gestor, para no tener que memorizarla.
El resto de esta guía explica por qué la longitud pesa más que los símbolos raros, cuántos caracteres conviene usar según la cuenta, cómo generar una contraseña paso a paso y qué errores hacen que una clave «complicada» sea en realidad fácil de adivinar.
Nota: esto es información general sobre buenas prácticas, no asesoramiento de seguridad para un caso concreto. Si gestionas cuentas de una empresa, sigue también la política de tu organización.
Qué hace que una contraseña sea segura de verdad
Los ataques a contraseñas no consisten en alguien probando claves a mano. Son programas que prueban millones de combinaciones, empezando por las más probables: contraseñas filtradas en otros servicios, palabras del diccionario, nombres, fechas y las variaciones típicas de todo eso. De ahí salen las tres reglas:
- Longitud. Cada carácter que añades multiplica el número de combinaciones posibles. Es el factor que más pesa.
- Aleatoriedad. «Verano2024!» tiene once caracteres, mayúsculas, números y un símbolo, y aun así es débil: sigue un patrón que cualquier programa de ataque prueba muy pronto.
- Unicidad. Si repites la misma contraseña y un servicio sufre una filtración, esa clave sirve para entrar en todas las demás cuentas donde la usas. Es el error más común y el más caro.
¿Cuántos caracteres debe tener una contraseña?
Las recomendaciones varían según la fuente. El INCIBE habla de un mínimo de 8 caracteres combinando mayúsculas, minúsculas, números y símbolos, y muchas guías actuales suben ese mínimo a 12. Como regla práctica:
- 12 caracteres: mínimo razonable para cuentas sin importancia.
- 16 o más: correo electrónico, banca, redes sociales y cualquier cuenta que sirva para recuperar otras.
- Lo máximo que permita el servicio si la vas a guardar en un gestor: no tienes que recordarla, así que no hay motivo para quedarse corto.
Para ver por qué la longitud importa tanto, basta con las matemáticas. Con un alfabeto de 62 caracteres (26 minúsculas, 26 mayúsculas y 10 dígitos), estas son las combinaciones posibles de una contraseña totalmente aleatoria:
| Longitud | Combinaciones posibles (62 caracteres) | Uso razonable |
|---|---|---|
| 8 caracteres | unos 2 × 1014 | Insuficiente hoy para cuentas importantes |
| 12 caracteres | unos 3 × 1021 | Mínimo recomendable |
| 16 caracteres | unos 5 × 1028 | Correo, banco, cuentas principales |
| 20 caracteres | unos 7 × 1035 | Cuentas críticas guardadas en un gestor |
Cada cuatro caracteres extra multiplican las combinaciones por más de diez millones. Añadir símbolos amplía el alfabeto y ayuda, pero ninguna mezcla de símbolos compensa una contraseña corta. Ojo: estas cifras solo valen si la contraseña es aleatoria de verdad. Si sigue un patrón, el número real de intentos necesarios es muchísimo menor.
Cómo crear una contraseña segura paso a paso
Con el generador de contraseñas de Toolyfied se tarda menos de un minuto:
- Elige la longitud. El generador admite de 4 a 20 caracteres. Para una cuenta importante, ve directamente a 16 o 20.
- Activa los cuatro tipos de caracteres: minúsculas, mayúsculas, números y caracteres especiales. Desactiva alguno solo si el servicio no lo acepta.
- Marca «Excluir caracteres similares» si vas a tener que teclear la contraseña a mano, por ejemplo en una televisión o en otro ordenador. Así evitas confundir la «l» con el «1» o la «O» con el «0».
- Pulsa «Generar contraseña», cópiala y pégala en el formulario de registro o de cambio de contraseña.
- Guárdala en tu gestor antes de cerrar la página. Si no la guardas, tendrás que restablecerla.
La contraseña se genera dentro de tu navegador con la API Web Crypto (crypto.getRandomValues), un generador aleatorio pensado para usos criptográficos. No se envía a ningún servidor ni se guarda en ningún sitio, y no hace falta crear una cuenta.
Si tienes que memorizarla: usa una frase de contraseña
Hay unas pocas claves que sí debes recordar: la del gestor de contraseñas, la de inicio de sesión del ordenador y, quizá, la del correo principal. Para esas, una frase de contraseña funciona mejor que una cadena imposible de recordar: cuatro o cinco palabras sin relación entre sí, elegidas al azar, por ejemplo «tetera ancla viernes oruga cobre».
La clave está en que las palabras no formen una frase con sentido ni salgan de una canción o una cita conocida, porque esas combinaciones también se prueban. Nuestro generador crea cadenas aleatorias de caracteres, no frases, así que para esto elige tú las palabras al azar, por ejemplo abriendo un diccionario por páginas al azar.
Errores que hacen débil una contraseña «complicada»
- Sustituciones previsibles. Cambiar la «a» por «4» o la «o» por «0» («P4ssw0rd») no engaña a nadie: los programas de ataque prueban esas variaciones de forma automática.
- Datos personales. Nombres de hijos o mascotas, fechas de nacimiento, el equipo de fútbol o la matrícula del coche se encuentran en redes sociales en minutos.
- Patrones de teclado. «qwerty», «123456» o «asdfgh» están en todas las listas de contraseñas filtradas.
- La misma base con un número que cambia. «Madrid2023», «Madrid2024», «Madrid2025»: si se filtra una, las demás se deducen.
- Compartirla por mensaje. Una contraseña enviada por WhatsApp o correo queda guardada en el historial de ambos teléfonos.
Dónde guardar las contraseñas
Nadie puede recordar veinte contraseñas aleatorias distintas, y no hace falta. Un gestor de contraseñas las guarda cifradas y las rellena por ti; solo tienes que recordar la clave maestra. El propio INCIBE recomienda este enfoque. Los gestores integrados en el navegador o en el sistema (los de Chrome, Firefox o el llavero de iCloud en Apple) son una buena opción para empezar, y también existen gestores independientes.
Además, activa la verificación en dos pasos en el correo, el banco y las redes sociales. Aunque alguien consiga tu contraseña, necesitará también el código de tu móvil o de tu aplicación de autenticación.
Contraseñas fuera de las cuentas online
Una contraseña aleatoria también es útil en otros sitios:
- Documentos confidenciales. Si envías una nómina o un contrato en PDF, puedes proteger el PDF con contraseña (cifrado AES-256) y mandar la clave por un canal distinto al del archivo.
- La red wifi de casa. Una clave wifi larga y aleatoria es más segura, y para que las visitas no tengan que teclearla puedes crear un código QR con los datos del wifi y dejarlo a la vista. Marca «Excluir caracteres similares» al generarla por si alguien tiene que escribirla a mano.
Cuándo cambiar una contraseña
Las recomendaciones actuales tienden a pedir que cambies una contraseña cuando hay motivos, no por calendario: si un servicio anuncia una filtración, si recibes un aviso de inicio de sesión que no reconoces o si tu navegador te avisa de que la clave aparece en una lista filtrada. Cambiarla cada pocos meses por obligación suele llevar justo al error de antes: la misma base con un número distinto.
Preguntas frecuentes
¿Cuántos caracteres debe tener una contraseña segura?
Como mínimo 12 caracteres, y 16 o más para el correo, el banco y las cuentas que sirven para recuperar otras. Si la guardas en un gestor, usa la longitud máxima que permita el servicio, porque no tendrás que recordarla.
¿Es seguro usar un generador de contraseñas online?
Depende de cómo funcione. El generador de Toolyfied crea la contraseña dentro de tu navegador con la API Web Crypto y no la envía a ningún servidor ni la guarda. Aun así, cópiala directamente a tu gestor y no la compartas por mensaje.
¿Qué es mejor, una contraseña aleatoria o una frase de contraseña?
Para cuentas que guardas en un gestor, una contraseña aleatoria larga. Para las pocas claves que tienes que memorizar, como la del propio gestor, una frase de cuatro o cinco palabras sin relación entre sí es más fácil de recordar y sigue siendo robusta.
¿Sirve cambiar letras por números, como «P4ssw0rd»?
No mucho. Los programas que intentan adivinar contraseñas prueban automáticamente esas sustituciones típicas. Es más eficaz una contraseña larga y aleatoria que una palabra conocida disfrazada con números.
¿Cada cuánto tiempo hay que cambiar la contraseña?
Las recomendaciones actuales tienden a cambiarla cuando hay un motivo: una filtración del servicio, un inicio de sesión que no reconoces o un aviso de tu navegador. Cambiarla por calendario suele acabar en variaciones previsibles de la misma clave.
¿Dónde guardo mis contraseñas de forma segura?
En un gestor de contraseñas, ya sea el integrado en tu navegador o sistema o uno independiente. Las guarda cifradas y las rellena por ti, así que solo tienes que recordar la clave maestra. Evita las notas del móvil sin cifrar y los mensajes.
