Contraseñas seguras y gestor de contraseñas: guía práctica para tu banca y tu correo

La contraseña perfecta no es la más rara, sino la larga y única: distinta para cada servicio. El problema es que nadie puede recordar veinte contraseñas largas, y por eso existe el gestor de contraseñas, una aplicación que las crea, las guarda cifradas y las rellena por ti. Tú solo tienes que recordar una: la contraseña maestra.

Por qué repetir contraseñas es el error más caro

Cuando una web sufre una filtración, las listas de correos y contraseñas acaban circulando. Los atacantes prueban esas combinaciones en otros servicios (correo, tiendas, redes sociales). Si usas la misma contraseña en todas partes, una filtración en una web pequeña abre la puerta a tu correo, y desde tu correo se pueden recuperar las demás cuentas.

Esta técnica se conoce como credential stuffing y está automatizada: no hace falta que nadie se interese por ti en concreto. Un programa prueba miles de pares de correo y contraseña en la página de inicio de sesión de un servicio y anota los que funcionan. Por eso una contraseña “buena” pero repetida es casi tan débil como una mala: su seguridad depende de la web menos protegida en la que la hayas usado.

El correo electrónico merece una atención especial. Casi todos los servicios, incluidos muchos de pagos, envían ahí el enlace de “he olvidado mi contraseña”. Quien controla tu correo puede restablecer el resto de tus cuentas sin conocer sus claves.

Puedes comprobar si tu correo aparece en filtraciones conocidas en Have I Been Pwned. Si aparece, cambia la contraseña de ese servicio y de cualquier otro donde la repitieras.

Cómo es una contraseña robusta

Débil	Robusta
`Maria1985`	`marea-tostada-ventana-41`
`Banco2024!`	Generada por el gestor: `q7#Vt2!mZp9@Lr4x`
La misma en todas partes	Una distinta para cada servicio

Dos formas buenas:

Frase de contraseña: cuatro o cinco palabras al azar que no formen una frase conocida, con algún número. Fácil de recordar y difícil de adivinar. Ideal para la contraseña maestra.
Contraseña aleatoria generada por el gestor: para todo lo demás. No tienes que memorizarla.

Evita nombres, fechas, el nombre del servicio y sustituciones previsibles (a por @).

Por qué la longitud pesa más que los símbolos

Se entiende mejor con números. Una contraseña de 8 letras minúsculas elegidas al azar tiene 26 elevado a 8 combinaciones posibles: unos 209.000 millones. Parece mucho, pero un equipo que prueba contraseñas contra una base de datos robada puede recorrer cantidades así en poco tiempo, sobre todo si la web guardaba las contraseñas con un método antiguo.

Si eliges al azar 4 palabras de una lista de 7.776 (el tamaño de las listas Diceware que usan muchos generadores), las combinaciones son 7.776 elevado a 4: unos 3.600 billones (3,6 × 10^15), es decir, más de diecisiete mil veces más que en el caso anterior. Con 5 palabras se pasa a unos 2,8 × 10^19. Cada palabra que añades multiplica las posibilidades por 7.776, mientras que cambiar una a por @ apenas añade nada, porque los programas de ataque ya prueban esas sustituciones.

La condición importante es “al azar”. Una frase que tiene sentido (“mi perro se llama Toby”) o una cita conocida es mucho más fácil de adivinar que cuatro palabras sin relación elegidas por un generador.

Qué gestor elegir

El del navegador o el móvil (Gestor de contraseñas de Google, Llavero de iCloud): ya lo tienes, es gratuito y suficiente para empezar si usas siempre el mismo ecosistema.
Un gestor independiente (por ejemplo, Bitwarden, 1Password o KeePassXC): funciona en cualquier navegador y sistema, y permite compartir contraseñas de forma segura con la familia.

Lo importante no es cuál eliges, sino usar uno y protegerlo bien.

Criterio	Gestor del navegador o del sistema	Gestor independiente en la nube	Gestor local (archivo cifrado)
Puesta en marcha	Inmediata, ya viene instalado	Crear cuenta e instalar extensión y app	Instalar programa y crear el archivo
Funciona entre Android, iPhone, Windows y Mac	Depende del ecosistema	Sí	Sí, pero tú sincronizas el archivo
Compartir con la familia	Limitado según el sistema	Normalmente sí	Manual
Quién guarda la copia	Google o Apple, cifrada	La empresa del gestor, cifrada	Tú
Riesgo principal	Que alguien acceda a tu cuenta de Google o Apple	Olvidar la contraseña maestra	Perder el archivo sin copia de seguridad

Si usas un gestor local, el archivo de contraseñas es uno de los documentos que más importa respaldar. Tienes cómo hacerlo en copias de seguridad de tus documentos.

Cómo empezar en 20 minutos

Elige el gestor e instálalo en el móvil y en el navegador del ordenador.
Crea la contraseña maestra como una frase de contraseña. Apúntala en papel y guárdala en casa en un lugar seguro hasta que te la sepas.
Activa la verificación en dos pasos en el propio gestor (explicada en esta guía).
Empieza por las cuentas críticas: correo electrónico, cuenta de Google o Apple, banca online, PayPal y Amazon. Cambia cada contraseña por una generada por el gestor.
Ve añadiendo el resto según vayas entrando en cada web. En unas semanas lo tendrás todo.

Dónde está el gestor que ya tienes

Si decides empezar con el que trae tu dispositivo:

Chrome (ordenador): menú de los tres puntos > Contraseñas y autocompletar > Gestor de contraseñas de Google. También puedes entrar desde cualquier navegador en passwords.google.com con tu cuenta. Dentro encontrarás la Revisión de contraseñas, que te avisa de claves repetidas, débiles o que han aparecido en filtraciones.
Android: el mismo Gestor de contraseñas de Google, accesible desde los ajustes de Google del teléfono o desde Chrome.
iPhone y Mac: en las versiones recientes (iOS 18 y macOS Sequoia en adelante) existe la app Contraseñas; en versiones anteriores está en Ajustes > Contraseñas. Incluye avisos de seguridad sobre claves reutilizadas o filtradas.

Los nombres de los menús cambian de vez en cuando con las actualizaciones, así que si no lo encuentras, busca “contraseñas” en el buscador de ajustes.

Y la contraseña del banco

Muchos bancos limitan la longitud o los caracteres de la clave de acceso. Usa la más larga que permitan, que no se parezca a ninguna otra que uses y guárdala en el gestor. Para las operaciones, el banco ya pide un segundo factor, pero recuerda: ese código no se le dicta a nadie.

Un detalle útil: el gestor solo rellena la contraseña cuando la dirección de la web coincide con la que tiene guardada. Si entras en una web falsa que imita a tu banco desde un SMS fraudulento, el gestor no propondrá la contraseña. Si eso te pasa en una página que “debería” ser la de tu banco, no la escribas a mano: es una señal de que algo no cuadra.

Llaves de acceso: lo que viene después de las contraseñas

Cada vez más servicios ofrecen llaves de acceso (passkeys): en lugar de escribir una contraseña, confirmas el acceso con la huella, la cara o el PIN del móvil. La clave secreta no sale de tu dispositivo y está ligada a la web real, así que no se puede “pescar” con una página falsa. Si tu correo o alguna tienda te la ofrece, merece la pena activarla. Los gestores principales ya pueden guardarlas junto con tus contraseñas.

Errores frecuentes al empezar

Guardar las contraseñas en una nota del móvil o en una hoja de cálculo sin cifrar. Si alguien accede al móvil o a la nube, lo tiene todo.
Usar como contraseña maestra una que ya usabas en otro sitio. Debe ser nueva y solo para el gestor.
No cambiar las contraseñas antiguas al pasarlas al gestor. Importarlas está bien, pero si estaban repetidas siguen siendo un riesgo hasta que las sustituyas.
Olvidar el correo de recuperación: si cambias de correo, actualízalo en las cuentas importantes.

Preguntas habituales

¿Y si hackean el gestor?

Los buenos gestores cifran tus datos con tu contraseña maestra antes de guardarlos, de modo que la empresa no puede leerlos. Con una maestra robusta y la verificación en dos pasos activada, el riesgo es mucho menor que el de repetir contraseñas.

¿Y si olvido la contraseña maestra?

En muchos gestores no hay forma de recuperarla. Por eso conviene guardarla en papel en un lugar seguro y, si el gestor lo ofrece, configurar un método de recuperación o un contacto de emergencia.

¿Cada cuánto tengo que cambiar las contraseñas?

Si son largas, únicas y no han aparecido en ninguna filtración, no hace falta cambiarlas de forma periódica. Los cambios obligatorios cada pocos meses suelen llevar a contraseñas más previsibles (Verano2025, Verano2026…). Cámbialas cuando haya un motivo: el servicio avisa de una filtración, el gestor te marca una como comprometida o sospechas que alguien la conoce.

¿Es seguro que el navegador recuerde las contraseñas?

Los gestores integrados de Chrome, Safari o Edge cifran las contraseñas y las protegen con tu cuenta y el bloqueo del dispositivo. Son una opción razonable siempre que la cuenta principal (Google, Apple o Microsoft) tenga una contraseña única y verificación en dos pasos. Lo que no conviene es guardarlas en un ordenador compartido con una sesión que usa más gente.

Qué hacer ahora

Comprueba tu correo en Have I Been Pwned.
Cambia hoy la contraseña de tu correo principal por una única y larga.
Instala un gestor y añade tus cinco cuentas más importantes.

Relacionado: Verificación en dos pasos · Cómo detectar un SMS falso de tu banco