Cómo crear una contraseña segura que sí puedas recordar

Casi todos hemos hecho lo mismo: el sitio pide “mínimo 8 caracteres, una mayúscula, un número y un símbolo”, escribimos el nombre de la mascota con la primera letra en mayúscula, el año y un signo de admiración al final, y listo. Firulais2024! cumple todas las reglas, pero es justo el tipo de clave que un atacante prueba primero.

La buena noticia es que una contraseña segura no tiene que ser una sopa de letras imposible de recordar. Las recomendaciones más recientes de seguridad apuntan a algo más simple: claves largas, únicas para cada cuenta y, cuando se pueda, acompañadas de un segundo paso de verificación.

Qué hace fuerte a una contraseña (y qué no)

Durante años se repitió que una buena clave debía mezclar mayúsculas, minúsculas, números y símbolos. Esa regla no estaba mal del todo, pero llevó a que la gente hiciera cambios predecibles: la a se vuelve @, la o se vuelve 0 y al final va un 1 o un !. Los programas que prueban contraseñas conocen esos trucos de memoria.

El NIST (el instituto de estándares de Estados Unidos, cuyas guías de identidad digital sirven de referencia en todo el mundo) actualizó su guía SP 800-63B en 2025 y dejó varias ideas claras:

• La longitud es lo que más importa. Cuando la contraseña es la única protección de una cuenta, la guía pide un mínimo de 15 caracteres. Si la cuenta además tiene verificación en dos pasos, el mínimo baja a 8.
• Los sitios deberían aceptar claves largas, de al menos 64 caracteres, y permitir pegar la contraseña (algo clave para usar un gestor).
• No se deben imponer reglas de composición como “obligatorio un símbolo”. La razón: esas reglas no hacen las claves mucho más difíciles de adivinar, pero sí más difíciles de recordar.
• No se debe obligar a cambiar la contraseña cada cierto tiempo, salvo que haya señales de que se filtró. Los cambios forzados cada 90 días terminan en Clave1, Clave2, Clave3.
• Las contraseñas nuevas se deben comparar con listas de claves comunes o filtradas, para rechazar cosas como 123456 o contraseña.

Esto no quiere decir que los símbolos sobren. Una clave larga y además variada es todavía mejor. Lo que cambia es la prioridad: primero largo y único, después lo demás.

Los errores que más se repiten

Antes de crear una clave nueva, vale la pena revisar si estás cayendo en alguno de estos:

• Datos personales: tu nombre, el de tus hijos o tu mascota, tu fecha de nacimiento, tu número de cédula o de celular. Muchos se pueden averiguar en redes sociales.
• Patrones de teclado: qwerty, asdfgh, 1qaz2wsx. Parecen al azar, pero están en todas las listas de contraseñas filtradas.
• Palabras con los cambios de siempre: P@ssw0rd, C0lomb1a.
• Usar la misma clave en varios sitios. Es el error más peligroso. Si una tienda en línea sufre una filtración y tu correo y contraseña quedan expuestos, alguien puede probar esa misma combinación en tu correo, tu banco o tus redes. Una clave buena repetida en diez sitios es tan fuerte como el sitio más débil de esos diez.

Cómo armar una frase de contraseña

Para las pocas claves que sí tienes que memorizar (la de tu computador, la de tu correo principal, la de tu gestor de contraseñas), la técnica más práctica es la frase de contraseña: varias palabras al azar unidas.

Por ejemplo: tornillo-mango-bufanda-lluvia-trompeta. Tiene más de 35 caracteres, no tiene sentido como frase y se puede imaginar como una escena absurda, lo que la hace fácil de recordar.

Para que funcione bien, sigue estas reglas:

1. Que las palabras sean al azar de verdad. Una frase conocida, un refrán o la letra de una canción no sirven, porque esas combinaciones también se prueban. Lo ideal es abrir un libro o un diccionario en páginas al azar y tomar una palabra de cada una, o usar el método de dados que propone la EFF (una organización de derechos digitales), que asigna una palabra a cada combinación de cinco dados.
2. Usa al menos cuatro o cinco palabras. Cada palabra extra multiplica las combinaciones posibles.
3. Sepáralas con algo: guiones, puntos o espacios si el sitio los acepta.
4. Si el sitio exige mayúscula, número o símbolo, agrégalos sin complicarte: Tornillo-mango-bufanda-lluvia-trompeta7.
5. No la reutilices. Una frase por cuenta importante.

Las tildes y la ñ le dan variedad a la clave, pero algunos sistemas viejos no las aceptan o las guardan mal. Si vas a usar la frase en un sitio que no conoces, es más seguro escribirla sin tildes.

Para todas las demás cuentas: un gestor de contraseñas

Nadie puede memorizar una frase distinta para 40 o 50 cuentas. Para eso existen los gestores de contraseñas: aplicaciones que guardan todas tus claves cifradas y las llenan por ti. Tú solo recuerdas una contraseña maestra (aquí es donde va tu mejor frase de contraseña).

Hay varias opciones:

• Los que vienen con el navegador o el celular, como el de Google (en Chrome y Android) o el de Apple (en iPhone, iPad y Mac). Son gratuitos y ya están ahí; su límite es que funcionan mejor dentro de su propio ecosistema.
• Gestores independientes, gratuitos o de pago, que funcionan en cualquier navegador y sistema.

Sea cual sea, revisa que tenga una función para generar contraseñas y otra que te avise si alguna de tus claves aparece en una filtración conocida.

Si prefieres crear las claves tú mismo antes de guardarlas, puedes usar el Generador de contraseñas de UtilixaFast: eliges una longitud de hasta 32 caracteres y qué tipos de caracteres incluir, y la clave se crea en tu navegador, sin enviarse a ningún servidor. Para cuentas que vas a guardar en un gestor, una clave aleatoria de 20 caracteres o más es una buena elección, porque no tienes que memorizarla.

La capa que más protege: la verificación en dos pasos

Incluso la mejor contraseña se puede robar con una página falsa que imita a tu banco o a tu correo. Por eso la verificación en dos pasos (también llamada 2FA o autenticación de dos factores) es tan importante: además de la clave, el servicio te pide algo que solo tú tienes, normalmente el celular.

Las formas más comunes, de menos a más seguras, son:

• Código por SMS. Es mejor que nada, pero los mensajes de texto se pueden interceptar o desviar si alguien logra duplicar tu línea.
• Aplicación de autenticación, que genera un código nuevo cada pocos segundos en tu celular, incluso sin señal.
• Llaves de acceso (passkeys) o llaves físicas de seguridad. Funcionan con la huella, el rostro o el PIN de tu dispositivo y no sirven en una página falsa, porque están ligadas al sitio real. Cada vez más servicios las ofrecen.

Empieza por activarla en tu correo principal: quien entra a tu correo puede recuperar la contraseña de casi todas tus otras cuentas. Después sigue con banca, redes sociales y almacenamiento en la nube. Y guarda los códigos de respaldo que te dan al activarla, por si pierdes el celular.

¿Cómo saber si tu contraseña ya se filtró?

El servicio gratuito Have I Been Pwned permite revisar si tu correo aparece en filtraciones conocidas. También tiene una búsqueda de contraseñas que, según explica su creador, no envía tu clave completa: tu navegador calcula una huella de la contraseña y solo manda los primeros cinco caracteres de esa huella. Muchos gestores de contraseñas hacen esta misma revisión de forma automática.

Si alguna de tus claves aparece en una filtración, cámbiala en todos los sitios donde la usabas, empezando por el correo.

Preguntas frecuentes

¿Cada cuánto debo cambiar mis contraseñas?

Si son largas, únicas y no hay señales de filtración, no hace falta cambiarlas por calendario. Sí debes cambiarlas de inmediato si un servicio avisa de una filtración, si notas actividad rara o si la escribiste en una página sospechosa.

¿Es seguro guardar las contraseñas en el navegador?

Es mucho más seguro que repetir la misma clave en todos lados. Lo importante es proteger bien la cuenta del navegador (Google o Apple) con una contraseña fuerte y verificación en dos pasos, y bloquear el computador y el celular.

¿Puedo anotar mis contraseñas en una libreta?

Para una o dos claves maestras, una libreta guardada en casa es menos riesgosa que una clave débil. Lo que no conviene es un papel pegado al monitor ni una nota sin protección en el celular.

¿Una contraseña de 8 caracteres ya no sirve?

Puede servir si la cuenta tiene verificación en dos pasos, pero como única protección es corta. La guía del NIST pide al menos 15 caracteres cuando la contraseña es lo único que protege la cuenta.