Por Haru · Actualizado · 2026-09-21
Contraseña Segura y Fácil de Recordar
Lo único que vuelve una contraseña difícil de adivinar de manera confiable es el largo, y casi todas las reglas que la gente recuerda hablan de otra cosa. Mayúsculas y minúsculas, un símbolo, un número al final: esos requisitos existen porque un formulario de registro puede verificarlos fácil, no porque ahí esté la dificultad.
La cuenta es directa. Cada carácter extra multiplica el trabajo por el tamaño del alfabeto que estés usando, así que cuatro letras minúsculas más lo multiplican por unos 457 000. Cambiar una a por una arroba lo multiplica por dos, porque esa sustitución es una de las primeras reglas que aplica cualquier programa de adivinanza.
Lo que sigue es cómo armar una que realmente vayas a recordar, qué datos tuyos dejar afuera, y por qué la cantidad de contraseñas que tienes que inventar es mucho menor de lo que parece.
El largo es la palanca; lo demás es redondeo
Una contraseña de doce caracteres hecha con minúsculas comunes es más difícil de adivinar que una de ocho que use todos los símbolos del teclado. La comparación sorprende, y no está peleada: la larga gana por un factor de miles.
El consejo es monótono porque la longitud hace todo el trabajo. Llega a dieciséis caracteres o más y casi todas las otras preguntas dejan de importar. Una frase de contraseña llega ahí sin esfuerzo, y esa es toda la razón para preferirla.
El medidor de fuerza de este sitio muestra la misma cuenta desde el otro lado: te dice por cuánto multiplicaría el tiempo un carácter más, y el número suele alcanzar para terminar la discusión.
Dos métodos que funcionan y dónde falla cada uno
El primero son cuatro o cinco palabras sin relación unidas por un separador. Lo importante es que no tengan relación: manzana-banana-naranja-uva es una categoría, y un programa que conoce la categoría tiene muchísimo menos que buscar. Elige palabras de rincones distintos de tu vida y no trates de armar una frase con sentido.
El segundo es la primera letra de cada palabra de una oración que solo tú dirías. Un verso que tu familia canta mal, una línea de una reseña pésima que te quedó grabada, algo raro que dijo un colega. Tomas las iniciales, dejas la puntuación y te queda algo denso que puedes reconstruir en vez de recordar.
El primero falla cuando las palabras salen de un mismo tema. El segundo falla cuando la oración es famosa, porque las citas publicadas ya están en las listas. Fuera de eso los dos alcanzan, y ninguno necesita las sustituciones que la gente agrega por costumbre.
Un tercer método es no inventar nada. Un generador de contraseñas produce una cadena sin historia detrás, que es justo la propiedad que ninguno de los dos métodos anteriores puede garantizar, porque todo lo que inventas lleva una huella de cómo piensas. Úsalo para todo lo que el gestor vaya a escribir por ti, y reserva los dos métodos de arriba para la lista corta que tienes que sostener en la cabeza: de cuáles son tratan las secciones siguientes.
Déjate a ti mismo afuera
Cualquier cosa que un desconocido pueda averiguar sobre ti en diez minutos no es azar, por más personal que se sienta. Tu nombre, tu cumpleaños, los nombres de tus hijos, el año en que te casaste, el equipo del que eres hincha y el perro que publicas están todos en la misma categoría, y una adivinanza dirigida empieza justo ahí.
El problema es que esos datos también hacen que una contraseña se sienta memorable, así que terminan usados donde la cuenta más importa. Si una frase significa algo concreto sobre tu vida, va en un diario y no en una contraseña.
Una prueba útil: ¿alguien podría reconstruirla mirando tus publicaciones públicas unos minutos? Si la respuesta es sí, cámbiala, y empieza por las cuentas que te importan.
Repetirla anula la fuerza
Una contraseña excelente usada en diez sitios es un arreglo débil, porque su fuerza deja de importar en el momento en que cualquiera de esos sitios sufre una filtración. Los atacantes toman los pares filtrados y los prueban en todas partes de forma automática — un ataque llamado credential stuffing, o relleno de credenciales, y la vía más común por la que caen las cuentas comunes.
Eso también explica por qué cambiarle un poco por sitio no ayuda demasiado. Agregar el nombre del sitio al final genera un patrón, y detectar y extender un patrón dentro de un conjunto filtrado es trivial.
Así que el objetivo no es una gran contraseña. Es una contraseña distinta por cuenta, que es otro problema y tiene otra solución.
Solo tienes que inventar tres o cuatro
Casi todas tus contraseñas deberían ser largas, aleatorias y no memorables, porque un gestor las va a escribir por ti. Las pocas que sí tienes que recordar son las que custodian al resto: la del gestor, la del equipo que desbloqueas y la de la cuenta de correo que puede restablecer todo lo demás.
Arma esas tres a mano con alguno de los métodos de arriba, que sean distintas entre sí, y no las guardes dentro del gestor que protegen. Todo lo demás se genera y se olvida.
Ahí está la parte que cambia el trabajo. Inventar cuarenta contraseñas memorables es imposible; inventar tres es una tarde.
Dos cosas chicas hacen que esas tres se peguen. La primera es el agrupamiento: una frase de cuatro palabras son cuatro ítems y no veintitantos caracteres, y si quieres ver tu propio techo, un ejercicio de memoria de dígitos muestra qué pocos ítems sostiene de verdad la memoria a corto plazo, que es el argumento de tres contraseñas en vez de cuarenta metido en una sola medición. La segunda es teclear. Una frase que vas a escribir varias veces al día debería ser una que tus manos puedan aprender, así que si una candidata te rompe el ritmo una y otra vez en un test de mecanografía, elige otras palabras ahora en lugar de convivir con ella dos años.
Cambiarlas por calendario es un consejo viejo
La expiración forzada cada noventa días fue estándar durante años y la retiraron quienes la habían recomendado, incluido el NIST, el organismo de estándares estadounidense del que copiaron su regla la mayoría de las empresas. Su texto vigente, SP 800-63B-4, pide a los verificadores que no obliguen a cambiarlas por calendario y prohíbe también las reglas de composición. Empeoraba las contraseñas: la gente rotaba un dígito al final, y ese patrón era más previsible que la contraseña que reemplazaba.
Cambia una cuando haya un motivo. Un servicio anuncia una filtración, notas un inicio de sesión que no hiciste, la escribiste en una página que ahora te genera dudas, o se la compartiste a alguien. Esos son los momentos, y no llegan en una fecha fija.
Una excepción que conviene mantener es esa cuenta donde repetiste una contraseña hace años y nunca la arreglaste. Esa ya está vencida, diga lo que diga cualquier política.
Hay un fallo que nada de esto evita. Una contraseña que nunca repetiste y nunca anotaste queda entregada en el momento en que la escribes en una página que solo parece la verdadera, y esa página no se va a ver sospechosa: no verse sospechosa es todo el oficio. Un test de phishing es una forma barata de averiguar cuáles de las señales notas de verdad cuando vas con prisa.
Fuentes NIST SP 800-63B — Digital Identity Guidelines
Preguntas frecuentes
¿Una frase de contraseña es realmente más segura que una corta y compleja?
Sí, y no por poco. Cuatro palabras sin relación suman un poco más de tecleo, y el trabajo de adivinarlas crece con cada una. Una contraseña corta rellena de símbolos la resuelve un programa que ya espera símbolos. El único caso donde gana la corta es cuando el sitio limita el largo, algo que vale la pena mirar al registrarte.
¿Tengo que usar un gestor de contraseñas?
No estás obligado, pero la alternativa es recordar decenas de contraseñas sin relación, cosa que nadie hace, así que en la práctica la gente termina repitiendo. Si prefieres no instalar uno, la salida es una lista escrita guardada en un lugar físicamente seguro y separado del equipo: es un consejo poco de moda y aun así muchísimo mejor que repetir.
¿Las contraseñas que genera un gestor son mejores que las mías?
Para todo salvo las tres o cuatro que escribes de memoria, sí. Un generador produce cadenas sin ninguna estructura, que es exactamente lo que una persona no puede hacer de forma confiable. Guarda las hechas a mano para las cuentas donde no tienes opción.
¿Es seguro escribir mi contraseña en un medidor de fuerza?
Depende enteramente de la página, y por eso la respuesta honesta es probar una con la misma forma en vez de la real. El nuestro hace la cuenta en el navegador y no envía nada, y puedes confirmarlo en el panel de red, pero ese hábito conviene mantenerlo en todos lados.
¿Y las preguntas de seguridad de más abajo?
Suelen ser la parte más débil de una cuenta, porque las respuestas verdaderas son adivinables y muchas veces públicas. Trátalas como contraseñas extra: pon texto aleatorio y guarda ese texto junto con la contraseña, en lugar de responder con la verdad.
¿Cómo sé si alguna de las mías ya se filtró?
La mayoría de los gestores y algunos navegadores hacen esa verificación contra listas de filtraciones conocidas, y ese es el lugar correcto porque ya tienen tus contraseñas. Nosotros no ofrecemos esa consulta a propósito, porque implicaría mandar algo a un servidor que no hace falta involucrar.