Cómo crear una contraseña segura (y no olvidarla a los dos días)

Guía práctica · Lectura de 6 min

Durante años nos enseñaron que bastaba con tomar una palabra de 8 letras, cambiar la «a» por una @ y añadir 123! al final. Hoy ese consejo ha quedado obsoleto: los programas modernos de auditoría prueban esas sustituciones en segundos. Una contraseña verdaderamente segura en la actualidad se apoya en tres pilares: longitud mínima de 14 a 16 caracteres, ausencia de patrones previsibles y no repetirla jamás en dos servicios distintos.

Cómo se rompen realmente las contraseñas hoy

Salvo ataques muy dirigidos, nadie se sienta frente a tu perfil intentando adivinar a mano el nombre de tu perro. El robo de cuentas ocurre de forma industrial mediante tres técnicas automatizadas:

• Relleno de credenciales (credential stuffing): es la causa número uno de cuentas comprometidas. Cuando un foro antiguo, una tienda pequeña o una aplicación sufre una filtración de datos, los atacantes obtienen millones de pares de correo y clave, y lanzan robots que prueban esa misma combinación en bancos, redes sociales y servicios de correo. Si usas la misma contraseña en todas partes, una brecha ajena abre todas tus puertas.
• Ataques de diccionario con reglas inteligentes: herramientas especializadas cargan diccionarios en decenas de idiomas, nombres propios, ciudades, clubes deportivos y fechas, aplicando de golpe miles de mutaciones habituales (primera letra en mayúscula, a→@, e→3, o→0, año actual y signo ! o * al final). Por eso M@drid2026! es casi tan frágil como madrid.
• Fuerza bruta sobre hashes e ingeniería social (phishing): si una base de datos mal protegida se filtra, tarjetas gráficas de alto rendimiento pueden ensayar decenas de miles de millones de combinaciones por segundo contra las claves cortas. Y cuando la clave es fuerte, el atacante recurre a correos o SMS falsos para que seas tú quien la escriba en una web clonada.

Por qué la longitud pesa mucho más que los símbolos raros

En criptografía la fortaleza de una clave se mide por su entropía (la cantidad de combinaciones posibles que tendría que probar un atacante). Cada carácter nuevo que añades no suma dificultad: la multiplica exponencialmente.

Si usas un alfabeto completo de minúsculas, mayúsculas, cifras y signos (unos 90 símbolos posibles), pasar de 8 a 9 caracteres multiplica por 90 el trabajo del atacante; pasar de 8 a 16 caracteres lo multiplica por más de seis mil billones. Observa la diferencia orientativa de resistencia ante un ataque masivo fuera de línea (calculado sobre hashes rápidos modernos):

La estrategia práctica: 3 frases memorizadas y un gestor para el resto

Una persona media acumula entre 60 y 150 cuentas registradas. Intentar memorizar cien códigos distintos llenos de símbolos es humanamente imposible y siempre termina en reutilización. La solución recomendada por organismos de ciberseguridad divide tus claves en dos grupos:

1. Frases de paso (passphrases) para las 3 llaves maestras que sí debes recordar

Solo necesitas llevar en tu memoria tres claves críticas: el inicio de sesión de tu ordenador o teléfono, la contraseña de tu correo electrónico principal (porque desde él se pueden restablecer todas las demás cuentas) y la clave maestra de tu gestor de contraseñas.

Para esas tres, crea una frase de paso de 4 o 5 palabras cotidianas elegidas completamente al azar y unidas por guiones o espacios, añadiendo si quieres un par de dígitos: por ejemplo, cuchara-faro-terciopelo-cactus-64. Supera los 30 caracteres sin esfuerzo, resulta facilísima de teclear en el móvil y se fija en la memoria creando una imagen mental absurda. Regla vital: no utilices refranes, citas de películas ni versos de canciones (como EnAbrilAguasMil), porque ya están incluidos en los diccionarios de ataque.

2. Contraseñas aleatorias únicas en un gestor de contraseñas

Para tiendas online, plataformas de vídeo, trámites, foros, aerolíneas y banca, genera cadenas totalmente aleatorias de 16 a 20 caracteres con nuestro generador de contraseñas y guárdalas en un gestor fiable con cifrado de extremo a extremo (como Bitwarden, KeePassXC, 1Password o el gestor integrado de tu sistema operativo).

Además de ahorrarte recordar claves imposibles, un buen gestor aporta un escudo extra contra el phishing: como comprueba la dirección real del sitio web, si entras por error en una página fraudulenta que imita visualmente a tu banco, el gestor detectará que el dominio no coincide y no rellenará tus credenciales.

Activa siempre la verificación en dos pasos (2FA)

Incluso la mejor contraseña puede verse expuesta si introduces tus datos en un equipo infectado. La autenticación de doble factor añade una segunda barrera indispensable al iniciar sesión desde un dispositivo nuevo.

Errores frecuentes que conviene desterrar hoy mismo

• Usar un patrón fijo cambiando solo la web: claves como MiClave_Netflix! y MiClave_Amazon! quedan expuestas en cuanto se filtra cualquiera de ellas.
• Cambiar la clave cada 90 días sin motivo: organismos como el NIST e INCIBE desaconsejan la rotación periódica forzosa porque lleva a elegir variaciones previsibles (Mayo2026, Junio2026). Cámbiala solo ante sospecha de brecha.
• Anotarlas en notas sin cifrar, hojas de cálculo o chats: cualquier malware o acceso al equipo las leerá en texto plano.
• Dar respuestas reales en «preguntas de seguridad»: tu ciudad natal o primera escuela suelen ser públicos; introduce otra cadena aleatoria y guárdala en tu gestor.

Preguntas frecuentes