Por Haru · Actualizado · 2026-09-04
Contraseña Segura y Fácil de Recordar
Lo único que vuelve una contraseña difícil de adivinar de manera confiable es el largo, y casi todas las reglas que la gente recuerda hablan de otra cosa. Mayúsculas y minúsculas, un símbolo, un número al final: esos requisitos existen porque un formulario de registro puede verificarlos fácil, no porque ahí esté la dificultad.
La cuenta es directa. Cada carácter extra multiplica el trabajo por el tamaño del alfabeto que estés usando, así que cuatro letras minúsculas más lo multiplican por unos 457.000. Cambiar una a por una arroba lo multiplica por dos, porque esa sustitución es una de las primeras reglas que aplica cualquier programa de adivinanza.
Lo que sigue es cómo armar una que realmente vayas a recordar, qué datos tuyos dejar afuera, y por qué la cantidad de contraseñas que tienes que inventar es mucho menor de lo que parece.
El largo es la palanca; lo demás es redondeo
Una contraseña de doce caracteres hecha con minúsculas comunes es más difícil de adivinar que una de ocho que use todos los símbolos del teclado. La comparación sorprende, y no está peleada: la larga gana por un factor de miles.
El consejo es monótono porque la longitud hace todo el trabajo. Llega a dieciséis caracteres o más y casi todas las otras preguntas dejan de importar. Una frase de contraseña llega ahí sin esfuerzo, y esa es toda la razón para preferirla.
El medidor de fuerza de este sitio muestra la misma cuenta desde el otro lado: te dice por cuánto multiplicaría el tiempo un carácter más, y el número suele alcanzar para terminar la discusión.
Dos métodos que funcionan y dónde falla cada uno
El primero son cuatro o cinco palabras sin relación unidas por un separador. Lo importante es que no tengan relación: manzana-banana-naranja-uva es una categoría, y un programa que conoce la categoría tiene muchísimo menos que buscar. Elige palabras de rincones distintos de tu vida y no trates de armar una frase con sentido.
El segundo es la primera letra de cada palabra de una oración que solo tú dirías. Un verso que tu familia canta mal, una línea de una reseña pésima que te quedó grabada, algo raro que dijo un colega. Tomas las iniciales, dejas la puntuación y te queda algo denso que puedes reconstruir en vez de recordar.
El primero falla cuando las palabras salen de un mismo tema. El segundo falla cuando la oración es famosa, porque las citas publicadas ya están en las listas. Fuera de eso los dos alcanzan, y ninguno necesita las sustituciones que la gente agrega por costumbre.
Déjate a ti mismo afuera
Cualquier cosa que un desconocido pueda averiguar sobre ti en diez minutos no es azar, por más personal que se sienta. Tu nombre, tu cumpleaños, los nombres de tus hijos, el año en que te casaste, el equipo del que eres hincha y el perro que publicas están todos en la misma categoría, y una adivinanza dirigida empieza justo ahí.
El problema es que esos datos también hacen que una contraseña se sienta memorable, así que terminan usados donde la cuenta más importa. Si una frase significa algo concreto sobre tu vida, va en un diario y no en una contraseña.
Una prueba útil: ¿alguien podría reconstruirla mirando tus publicaciones públicas unos minutos? Si la respuesta es sí, cambiala, y empezá por las cuentas que te importan.
Repetirla anula la fuerza
Una contraseña excelente usada en diez sitios es un arreglo débil, porque su fuerza deja de importar en el momento en que cualquiera de esos sitios sufre una filtración. Los atacantes toman los pares filtrados y los prueban en todas partes de forma automática, que es la vía más común por la que caen las cuentas comunes.
Eso también explica por qué cambiarle un poco por sitio no ayuda demasiado. Agregar el nombre del sitio al final genera un patrón, y detectar y extender un patrón dentro de un conjunto filtrado es trivial.
Así que el objetivo no es una gran contraseña. Es una contraseña distinta por cuenta, que es otro problema y tiene otra solución.
Solo tienes que inventar tres o cuatro
Casi todas tus contraseñas deberían ser largas, aleatorias y no memorables, porque un gestor las va a escribirlas por ti. Las pocas que sí tienes que recordar son las que custodian al resto: la del gestor, la del equipo que desbloqueás y la de la cuenta de correo que puede restablecer todo lo demás.
Armá esas tres a mano con alguno de los métodos de arriba, que sean distintas entre sí, y no las guardes dentro del gestor que protegen. Todo lo demás se genera y se olvida.
Ahí está la parte que cambia el trabajo. Inventar cuarenta contraseñas memorables es imposible; inventar tres es una tarde.
Cambiarlas por calendario es un consejo viejo
La expiración forzada cada noventa días fue estándar durante años y la retiraron quienes la habían recomendado, incluido el NIST, el organismo de estándares estadounidense del que copiaron su regla la mayoría de las empresas. Su texto vigente, SP 800-63B-4, pide a los verificadores que no obliguen a cambiarlas por calendario y desaconseja también las reglas de composición. Empeoraba las contraseñas: la gente rotaba un dígito al final, y ese patrón era más previsible que la contraseña que reemplazaba.
Cambia una cuando haya un motivo. Un servicio anuncia una filtración, notas un inicio de sesión que no hiciste, la escribiste en una página que ahora te genera dudas, o se la compartiste a alguien. Esos son los momentos, y no llegan en una fecha fija.
Una excepción que conviene mantener es esa cuenta donde repetiste una contraseña hace años y nunca la arreglaste. Esa ya está vencida, diga lo que diga cualquier política.
Fuentes NIST SP 800-63B — Digital Identity Guidelines
Preguntas frecuentes
¿Una frase de contraseña es realmente más segura que una corta y compleja?
Sí, y no por poco. Cuatro palabras sin relación suman un poco más de tipeo, y el trabajo de adivinarlas crece con cada una. Una contraseña corta rellena de símbolos la resuelve un programa que ya espera símbolos. El único caso donde gana la corta es cuando el sitio limita el largo, algo que vale la pena mirar al registrarte.
¿Tengo que usar un gestor de contraseñas?
No estás obligado, pero la alternativa es recordar decenas de contraseñas sin relación, cosa que nadie hace, así que en la práctica la gente termina repitiendo. Si prefieres no instalar uno, la salida es una lista escrita guardada en un lugar físicamente seguro y separado del equipo: es un consejo poco de moda y aun así muchísimo mejor que repetir.
¿Las contraseñas que genera un gestor son mejores que las mías?
Para todo salvo las tres o cuatro que escribes de memoria, sí. Un generador produce cadenas sin ninguna estructura, que es exactamente lo que una persona no puede hacer de forma confiable. Guarda las hechas a mano para las cuentas donde no tienes opción.
¿Es seguro escribir mi contraseña en un medidor de fuerza?
Depende enteramente de la página, y por eso la respuesta honesta es probar una con la misma forma en vez de la real. El nuestro hace la cuenta en el navegador y no envía nada, y puedes confirmarlo en el panel de red, pero ese hábito conviene mantenerlo en todos lados.
¿Y las preguntas de seguridad de más abajo?
Suelen ser la parte más débil de una cuenta, porque las respuestas verdaderas son adivinables y muchas veces públicas. Trátalas como contraseñas extra: pon texto aleatorio y guarda ese texto junto con la contraseña, en lugar de responder con la verdad.
¿Cómo sé si alguna de las mías ya se filtró?
La mayoría de los gestores y algunos navegadores hacen esa verificación contra listas de filtraciones conocidas, y ese es el lugar correcto porque ya tienen tus contraseñas. Nosotros no ofrecemos esa consulta a propósito, porque implicaría mandar algo a un servidor que no hace falta involucrar.