Contraseñas, gestores de contraseñas y doble factor (2FA)

Una contraseña protege bien solo si cumple tres condiciones: es larga, es única (no la usas en ningún otro sitio) y no es la única barrera, porque la acompaña un segundo factor. Casi nadie puede recordar decenas de contraseñas largas y distintas, y por eso existen los gestores de contraseñas. En esta lección verás cómo medir la fuerza de una clave con números, qué dicen las recomendaciones actuales y cómo dejar tus cuentas importantes bien protegidas en una tarde.

1. Por qué fallan
2. Medir la fuerza
3. Reglas actuales
4. Gestor de contraseñas
5. Doble factor

Por qué fallan las contraseñas

La mayoría de las cuentas no se pierden porque alguien "adivine" una clave compleja, sino por hábitos predecibles:

• Reutilización: cuando un sitio sufre una filtración, las listas de correos y contraseñas circulan entre delincuentes. Luego prueban esas mismas combinaciones, de forma automática, en bancos, correos y redes sociales. A esto se le llama relleno de credenciales. Si usas la misma clave en una tienda online y en tu correo, la filtración de la tienda abre tu correo.
• Patrones humanos: nombre de la mascota + año + signo de exclamación. Las herramientas de ataque prueban primero justamente esos patrones, por eso "Lima2026!" es débil aunque tenga mayúscula, número y símbolo.
• Contraseñas por defecto: routers, cámaras e impresoras que siguen con "admin/admin".
• Phishing: la contraseña más fuerte del mundo no sirve si la escribes en una página falsa.

Cómo se mide la fuerza de una contraseña: la entropía

La entropía mide cuántas combinaciones posibles tendría que probar alguien para dar con tu contraseña, expresada en bits. Cada bit adicional duplica el número de combinaciones. Para una contraseña generada al azar se calcula así:

H = L × log2(N)
L = longitud (número de caracteres o de palabras)
N = tamaño del conjunto del que se elige cada elemento
    26 = solo minúsculas · 36 = minúsculas + números
    94 = todos los caracteres imprimibles del teclado
    7.776 = palabras de una lista tipo Diceware

Esta tabla compara varias opciones. El tiempo es ilustrativo: supone un atacante que prueba 10.000 millones de combinaciones por segundo contra una copia robada de la base de datos, y que acierta, en promedio, tras recorrer la mitad de las posibilidades.

Dos lecciones salen de esta tabla. Primero, la longitud pesa más que la complejidad: 16 minúsculas aleatorias superan a 8 caracteres con símbolos. Segundo, la fórmula solo vale si la contraseña es realmente aleatoria. "Lima2026!" tiene 9 caracteres y, según la fórmula, unos 59 bits; pero como sigue un patrón muy usado (ciudad + año + símbolo), aparece entre los primeros intentos de cualquier herramienta. La entropía real de una contraseña inventada por una persona es mucho menor que la teórica.

Frases de contraseña: largas y fáciles de recordar

Para las pocas contraseñas que sí debes memorizar (la del gestor, la de tu computadora), una buena opción es una frase de contraseña: 5 o 6 palabras elegidas al azar, por ejemplo con dados y una lista de palabras. Algo como cactus-violin-lunes-tamal-brujula (no uses esta, ya es pública). Con 5 palabras de una lista de 7.776 tienes 64,6 bits; con 6 palabras, 77,5 bits. La clave es que las palabras las elija el azar, no tú: una frase de una canción famosa es fácil de adivinar.

Lo que recomienda hoy NIST

La guía NIST SP 800-63B del Instituto Nacional de Estándares y Tecnología de EE. UU. es una referencia mundial sobre autenticación. Su revisión 4, publicada en agosto de 2025, cambió varias costumbres que todavía ves en muchas empresas:

La razón de eliminar los cambios cada 90 días es práctica: cuando obligas a cambiar, la gente pasa de "Clave2026-1" a "Clave2026-2". Es mejor una contraseña larga y única que solo se cambia cuando hay un problema.

Gestores de contraseñas: una clave para recordar, cientos protegidas

Un gestor de contraseñas es una bóveda cifrada que genera, guarda y rellena contraseñas largas y únicas por ti. Solo necesitas recordar una contraseña maestra (una buena frase de contraseña) y proteger la bóveda con doble factor. Tiene una ventaja extra contra el phishing: el gestor solo autocompleta la clave en el dominio correcto. Si estás en una página falsa y el gestor no te ofrece la contraseña, es una señal de alerta.

Hay dos grandes opciones: el gestor integrado en tu navegador o sistema operativo (cómodo y gratuito, ideal para empezar) y los gestores dedicados (funcionan en todos tus dispositivos y navegadores, permiten compartir de forma segura con familia o equipo y suelen dar alertas de filtraciones). Antes de elegir, revisa que use cifrado de extremo a extremo, que ofrezca doble factor y que tenga una forma de recuperar el acceso.

1. Día 1 · 15 minInstala y crea la contraseña maestraUsa una frase de 5 o 6 palabras al azar y activa el doble factor en el gestor. Guarda el kit de recuperación en papel, en un lugar seguro.
2. Día 1 · 30 minCambia primero las cuentas críticasCorreo principal, banca, redes sociales y cuentas de trabajo, generando claves nuevas de 16 o más caracteres.
3. Semana 1Migra el resto al usarlasCada vez que entres a un sitio, deja que el gestor guarde o cambie la clave. No hace falta hacerlo todo el mismo día.
4. Mes 1Revisa el informe de saludEl gestor te muestra claves repetidas, débiles o filtradas. Corrígelas y borra las que guardabas en el navegador sin protección.

Doble factor: que una clave robada no baste

La autenticación de múltiples factores (MFA, o 2FA cuando son dos) combina factores de tipos distintos: algo que sabes (contraseña o PIN), algo que tienes (tu teléfono o una llave física) y algo que eres (huella o rostro). Aunque roben tu contraseña, sin el segundo factor no pueden entrar. No todos los métodos protegen igual:

Las passkeys (llaves de acceso) reemplazan la contraseña por una credencial guardada en tu teléfono, computadora o gestor, que se desbloquea con tu huella, tu rostro o tu PIN. Como están ligadas al dominio real del sitio, una página falsa no puede usarlas. Si un servicio importante te las ofrece, actívalas.

Errores comunes

Resumen

• Las cuentas se pierden sobre todo por reutilizar contraseñas, patrones predecibles y phishing.
• La entropía (H = L × log2(N)) muestra que la longitud pesa más que los símbolos, siempre que la clave sea aleatoria.
• NIST SP 800-63B (revisión 4, 2025): claves largas, listas de bloqueo, sin reglas de composición ni cambios periódicos forzados.
• Un gestor de contraseñas te permite tener una clave única por sitio y te avisa de las filtradas.
• Activa el doble factor empezando por el correo; las passkeys y llaves FIDO2 son las que mejor resisten el phishing.

En la próxima lección: Seguridad en Wi-Fi y redes domésticas. Configurarás tu router paso a paso, separarás los dispositivos inteligentes y aprenderás a usar redes Wi-Fi públicas sin exponerte.