Crear una contraseña segura: fuerte de verdad y fácil de recordar

Crear una contraseña segura suena a deber pesado: teclear un galimatías de letras, cifras y símbolos que cinco minutos después ya no recuerdas. No sorprende que la mayoría acabe en Verano2026! o en el nombre del perro. Se puede hacer de otra manera. Este artículo te muestra qué hace realmente segura a una contraseña en 2026, qué errores se cometen más a menudo y cómo construir con un método sencillo contraseñas fuertes que se te queden en la cabeza.

Qué hace realmente segura a una contraseña en 2026

Durante mucho tiempo valió la regla de mezclar todos los tipos de caracteres posibles, a poder ser con sustituciones como la a por @ o la o por 0. Esa regla está superada, y organismos oficiales como el NIST estadounidense y el BSI alemán ajustaron hace tiempo sus recomendaciones. El motivo: una sustitución como P@ssw0rd! no es seguridad, es un patrón conocido. Justo esos trucos figuran en cada lista de ataque que los delincuentes prueban al descifrar contraseñas.

Lo que de verdad cuenta cabe en tres palabras:

Longitud. Cada carácter adicional multiplica el número de posibilidades que un atacante tendría que probar. Una contraseña de 16 a 20 caracteres es prácticamente indescifrable con la capacidad de cálculo actual, aunque esté formada solo por letras y cifras. Una contraseña corta con ocho símbolos crípticos es, en cambio, bastante más débil de lo que aparenta.

Azar. Una contraseña es tan segura como el azar que contiene. Las personas somos malos generadores de azar: elegimos sin querer patrones que conocemos, nombres, años, filas del teclado. Una contraseña realmente aleatoria no se adivina porque no sigue ningún sistema reconocible, tampoco el tuyo.

Unicidad. Cada servicio necesita su propia contraseña. En cuanto reutilizas una, basta con una sola filtración en cualquier proveedor para que los delincuentes la prueben de forma automatizada en todas tus demás cuentas, algo conocido como credential stuffing que ocurre millones de veces al día.

Quien cumple esas tres reglas ha resuelto el problema de las contraseñas en su núcleo. El reto real es otro: cómo recordar algo largo y aleatorio.

Los 5 errores más frecuentes con las contraseñas

Antes de la solución conviene mirar qué falla más a menudo en la práctica. Estos cinco patrones aparecen arriba del todo en prácticamente cualquier estadística de filtraciones:

1. Patrones de teclado. qwerty, 123456 o asdfgh parecen aleatorios a ojos propios, pero encabezan todas las listas que los atacantes prueban primero. Son de los primeros candidatos en cualquier ataque automatizado justamente por lo extendidos que están.

2. Nombre más año. Lucia1987 o Garcia2026 parecen personales y por tanto seguros, y por eso mismo resultan fáciles de adivinar. Los años de nacimiento, los nombres de hijos o mascotas y el año en curso se deducen a menudo de los perfiles en redes sociales, sin ningún conocimiento técnico.

3. Reutilizar la misma contraseña. Probablemente el error más caro: una contraseña para el correo, la tienda online y las redes sociales a la vez. Una sola filtración en cualquiera de esos servicios abre entonces todas las puertas de golpe.

4. Palabras de diccionario a secas. Palabras sueltas como Primavera o Contrasena123 caen en segundos ante un ataque de diccionario, por largas que sean, mientras estén hechas de bloques de lenguaje previsibles.

5. Reglas de sustitución previsibles. Quien convierte Verano en V3r4n0! piensa en seguridad, pero sigue un patrón que cualquier software de ataque tiene guardado desde hace mucho. Sustituir un carácter no hace fuerte a una contraseña débil, solo hace que tarde un poquito más en caer.

Los cinco errores comparten una raíz: nacen porque las personas se inventan las contraseñas en lugar de sortearlas. Ahí entra el método que viene ahora.

El método de la historia, paso a paso

Nuestro cerebro es malo memorizando cadenas de caracteres y excelente memorizando imágenes e historias, sobre todo si son absurdas. Los psicólogos lo llaman efecto de superioridad de la imagen. El método de la historia aprovecha justo eso: en lugar de grabarte una cadena, te grabas una imagen rara, y de esa imagen se deriva una contraseña fuerte con una receta fija y sencilla.

Un ejemplo lo hace tangible. La historia 😢🦄💡🚿, "El unicornio triste tiene una idea en la ducha", se convierte con la receta en:

Tr1st3=Un1c0rn10!Id34%Duch4-2284A1C1379617

Así funciona la derivación: se toman las cuatro palabras clave de la historia (estado de ánimo, personaje, acción, lugar), se sustituyen algunas letras por cifras de aspecto parecido (la a pasa a 4, la e a 3, la i a 1, la o a 0), se separan las palabras con símbolos y al final se añade una secuencia aleatoria de cifras. El resultado es largo, parece aleatorio porque lo es, y aun así se puede reconstruir a partir de la imagen que recuerdas.

El punto flaco de las historias inventadas por uno mismo: las personas piensan historias previsibles, el animal favorito, la afición, el último viaje. Con eso desaparece el azar y con él la seguridad. La historia hay que sortearla, no elegirla. Para eso hemos construido una herramienta gratuita.

El método de la historia está pensado a propósito para las pocas contraseñas que de verdad tienes que llevar en la cabeza, empezando por la contraseña maestra de tu gestor de contraseñas. Para todo lo demás hay una solución mejor.

Un gestor de contraseñas para las demás cuentas

Una persona tiene de media bastante más de cien cuentas en línea, desde el correo y el servicio de streaming hasta la tienda online. Inventar una historia distinta para cada una no es necesario ni practicable. Aquí toma el relevo un gestor de contraseñas: genera para cada servicio una contraseña larga, aleatoria y única, y la recuerda por ti, de modo que tú solo necesitas una contraseña maestra.

Tres opciones contrastadas y recomendables:

Bitwarden es gratuito, de código abierto y auditable de forma independiente, un factor de confianza importante en una herramienta que administra todas tus contraseñas. Para la mayoría de usos privados, la versión gratuita basta de sobra.

Proton Pass viene del proveedor detrás de Proton Mail y da un peso especial a la protección de datos y al cifrado de extremo a extremo, con una buena entrada gratuita y buena integración con el resto del ecosistema Proton.

1Password es de pago, a cambio resulta especialmente cómodo de usar y es un clásico, sobre todo para familias y equipos que quieren compartir contraseñas de forma segura.

El reparto de tareas queda claro: una contraseña maestra fuerte construida con el método de la historia protege el gestor de contraseñas, y el gestor protege todo lo demás. Siempre que se pueda, se suma la autenticación en dos pasos, que deja sin valor una contraseña robada. Si además llevas un sitio WordPress, merece la pena leer nuestro artículo sobre la seguridad de las contraseñas en WordPress, donde tratamos la protección contra fuerza bruta, las políticas de contraseñas para todos los roles y la autenticación en dos pasos desde el lado de quien administra el sitio.

La lista de comprobación final

• Al menos 16 caracteres, azar real en lugar de patrones inventados.
• Una contraseña propia y única para cada servicio.
• Construye con el método de la historia las pocas contraseñas que deben quedarse en la cabeza, por ejemplo con el generador de contraseñas con emojis.
• Confía las demás cuentas a un gestor de contraseñas.
• Donde esté disponible, activa además la autenticación en dos pasos.

Preguntas frecuentes