¿Cómo crear una contraseña segura y protegerla con verificación en dos pasos?
Una contraseña segura es larga y única: cuatro o más palabras al azar, o al menos 16 caracteres, y solo para una cuenta. Un gestor de contraseñas las crea y las recuerda por ti. Después activa la autenticación multifactor (MFA), mejor con una passkey o una app de autenticación, para que una contraseña robada no baste para entrar en tu cuenta.
▶ Pruébalo
Por qué importa
Una contraseña repetida cae por credential stuffing en cuanto una sola web la filtra. Un gestor hace que cada contraseña sea larga y única. Un segundo factor o una passkey frenan la mayoría de robos de cuentas aunque se conozca la contraseña.
En 8 minutos sabrás
- La longitud gana a la complejidad: las frases largas son difíciles de romper y fáciles de recordar.
- Repetir contraseñas convierte una filtración en muchas intrusiones. Usa un gestor de contraseñas.
- Activa la MFA en todas partes. Las passkeys y las llaves de seguridad son la opción más fuerte.
Lo que vas a practicar
¿Cuánto tardarían en romperla?
Prueba los ejemplos y luego crea tu propia frase de contraseña. Nunca escribas aquí una contraseña real.
Una filtración, muchas puertas
Hackean un viejo foro de videojuegos que usabas hace años. Mira lo que hace un bot con tu contraseña filtrada.
Ordena los segundos factores
Toca las protecciones de acceso de la más débil a la más fuerte.
- Solo contraseña, sin segundo factor
- Código por SMS
- Código de una app de autenticación
- Aprobación push con coincidencia de números
- Passkey o llave de seguridad física
Hábitos con las contraseñas
Último repaso antes de que Ada te dé vía libre.
¿Cuál es la mejor forma de gestionar las contraseñas de 80 cuentas?
- Un gestor de contraseñas que crea una contraseña larga y única para cada cuenta (Respuesta)
- Una sola contraseña muy fuerte para todo
- Variaciones como Verano2025!, Verano2026!
¿Qué debería proteger tu propio gestor de contraseñas?
- Una frase de contraseña larga que solo sepas tú, más MFA (Respuesta)
- Tu fecha de cumpleaños, para no olvidarla nunca
Tu móvil muestra una solicitud de MFA que no has iniciado tú. ¿Qué haces?
- La deniego, cambio la contraseña y aviso a informática: alguien sabe mi contraseña (Respuesta)
- La apruebo para que paren las notificaciones
Recuerda
Una contraseña única para cada cuenta, un gestor que las recuerde y MFA en todas partes.
Una contraseña única por web, un gestor que las recuerde y MFA en cada cuenta que importe.
Datos clave
- Microsoft calculó que la MFA puede bloquear más del 99,9 % de los ataques para comprometer cuentas. · Fuente: Microsoft Security Blog, 2019
- CISA recomienda contraseñas largas (al menos 16 caracteres), aleatorias y únicas para cada cuenta, guardadas en un gestor de contraseñas. · Fuente: CISA, Secure Our World: Use Strong Passwords
- En un estudio de Google, un código por SMS bloqueó el 100 % de los bots automáticos, el 96 % del phishing masivo y el 76 % de los ataques dirigidos. Las llaves de seguridad bloquearon los tres. · Fuente: Google Security Blog, 2019 (con NYU y UC San Diego)
- El credential stuffing funciona porque la gente repite contraseñas: los atacantes prueban parejas de correo y contraseña filtradas en muchas otras webs, de forma automática.
Actualizado:
Preguntas frecuentes
¿Qué hace que una contraseña sea segura?
La longitud y que sea única. Una frase de cuatro o más palabras al azar, o una contraseña de al menos 16 caracteres aleatorios usada en una sola cuenta, es mucho más fuerte que una contraseña corta con símbolos.
¿Es seguro un gestor de contraseñas?
Un gestor de contraseñas de confianza es mucho más seguro que repetir contraseñas. Cifra tu almacén, así que protégelo con una frase de contraseña larga y MFA.
¿Cuál es el tipo de verificación en dos pasos más seguro?
Las passkeys y las llaves de seguridad físicas son las más fuertes, porque solo funcionan en la web real. Después vienen las apps de autenticación y las aprobaciones push con coincidencia de números. Los códigos por SMS son más débiles, pero mucho mejores que no tener segundo factor.
¿Qué es la fatiga de MFA?
Es cuando un atacante que ya sabe tu contraseña te manda una solicitud de aprobación tras otra, esperando que pulses Aprobar para que paren. Deniégala, cambia tu contraseña y avisa.
Términos relacionados