🔑 Contraseñas seguras: 3 métodos probados para proteger tus cuentas
hace 4 meses
Contraseñas seguras: 3 métodos probados para que ningún atacante pueda entrar en tus cuentas
El 80% de las brechas de seguridad tienen su origen en contraseñas débiles o reutilizadas, y la mayoría de los usuarios siguen usando combinaciones que un atacante puede descifrar en segundos.
En esta autoridad técnica en ciberseguridad documentamos cómo crear contraseñas seguras no es complicado: tres métodos probados y un gestor de contraseñas eliminan de raíz el problema más frecuente en ciberseguridad.
Consulta el catálogo completo de guías preventivas en la biblioteca de ciberdefensa práctica: recursos sobre contraseñas, autenticación, gestores y protección de la identidad digital en 2026, donde encontrarás todas las medidas complementarias para reforzar tus cuentas frente a ataques de fuerza bruta paralelizada, credential stuffing y password spraying.
💡 Resumen rápido
🔑 Cómo crear contraseñas seguras y proteger tus cuentas en 2026
Crear contraseñas seguras consiste en generar claves de al menos 12 caracteres que combinen letras mayúsculas y minúsculas, números y símbolos, y que sean únicas para cada servicio. El NIST recomienda priorizar la longitud sobre la complejidad. Una contraseña débil o reutilizada es la puerta de entrada más explotada por los ciberatacantes.
- ✅ 3 métodos probados para crear contraseñas seguras: frase de contraseña, sustitución estructurada y generación aleatoria con gestor
- ✅ Por qué las contraseñas cortas son inútiles: tabla de tiempos de descifrado reales con hardware moderno
- ✅ Los 5 errores más comunes que convierten una clave en vulnerable
- ✅ Cómo comprobar si tu contraseña ha sido filtrada: Have I Been Pwned
- ✅ Por qué necesitas un gestor de contraseñas y cuál usar en 2026
📅 2026 · 🕐 7 minutos de lectura
💡 Definición rápida
Contraseñas seguras: Combinaciones de caracteres suficientemente largas, complejas y únicas para resistir ataques de fuerza bruta, diccionario y credential stuffing. El NIST SP 800-63B define como contraseña robusta aquella de al menos 8 caracteres, aunque recomienda 15 o más para cuentas críticas. La longitud es el factor más determinante en la resistencia de una contraseña.
Crear contraseñas seguras es la primera barrera entre tus cuentas y un atacante. Aunque el doble factor de autenticación añade una capa adicional imprescindible, una contraseña débil facilita los ataques de fuerza bruta, de diccionario y de credential stuffing que comprometen millones de cuentas cada día. Para una protección completa, combina esta guía con el análisis técnico de autenticación de dos factores (2FA): qué es, tipos y cómo activarla paso a paso y con el análisis técnico de gestores de contraseñas: comparativa y cómo elegir el mejor en 2026.
📌 ¿Qué hace segura a una contraseña?
La seguridad de una contraseña depende de cuatro factores combinados:
- Longitud: cada carácter adicional multiplica exponencialmente el tiempo de descifrado — mínimo 12 caracteres, idealmente 20+
- Complejidad: mezcla de mayúsculas, minúsculas, números y símbolos amplia el espacio de búsqueda del atacante
- Unicidad: una contraseña diferente para cada servicio — una filtración no compromete el resto
- No filtrada: que no aparezca en ninguna base de datos de contraseñas comprometidas (Have I Been Pwned)
La longitud es el factor más determinante: el NIST SP 800-63B lo confirma y desaconseja los cambios periódicos obligatorios salvo en caso de filtración confirmada.
- 📏 Longitud: cada carácter adicional multiplica exponencialmente el tiempo de descifrado.
- 🔤 Complejidad: mezcla de mayúsculas, minúsculas, números y símbolos.
- 🔁 Unicidad: una contraseña diferente para cada servicio, sin reutilización.
- 🕵️ No filtrada: que no aparezca en ninguna base de datos de contraseñas comprometidas.
📐 Entropía de Shannon: longitud vs alfabeto
log₂(tamaño_alfabeto^longitud). Con 60 bits una contraseña resiste ataques offline contra hashing moderno; con 80+ bits es prácticamente inviolable con el hardware actual. El método más eficiente para alcanzar alta entropía es Diceware: 5 palabras aleatorias de la lista EFF equivalen a 64 bits.| Alfabeto | Tamaño | Bits por carácter | Longitud para 60 bits | Longitud para 80 bits |
|---|---|---|---|---|
| Solo dígitos (0-9) | 10 | 3,32 | 19 | 25 |
| Solo minúsculas (a-z) | 26 | 4,70 | 13 | 18 |
| Letras mixtas (a-z, A-Z) | 52 | 5,70 | 11 | 15 |
| Alfanumérico (a-z, A-Z, 0-9) | 62 | 5,95 | 11 | 14 |
| Completo (con símbolos) | ~94 | 6,55 | 10 | 13 |
| Diceware (lista EFF, 7.776 palabras) | 7.776 | 12,9 | 5 palabras | 7 palabras |
⏱️ Cuánto tarda un atacante en descifrar tu contraseña
Con hardware moderno de ataque por GPU (ej. clúster de RTX 4090) los tiempos estimados son:
- 6 caracteres, solo números: instantáneo
- "password" (8 chars, diccionario): instantáneo — está en todas las wordlists
- "Password1" (9 chars, mixto): menos de 1 hora
- "P@ssw0rd!" (9 chars, patrón predecible): horas
- 11 chars aleatorio con símbolos: días
- Frase de 25 chars (solo minúsculas): siglos
- 21 chars totalmente aleatorio: miles de años
Conclusión: la diferencia entre una contraseña de 8 y una de 20 caracteres no es doble: es la diferencia entre segundos y miles de años.
| Contraseña | Longitud | Tipo de caracteres | Tiempo estimado de descifrado |
|---|---|---|---|
| 123456 | 6 | Solo números | 🔴 Instantáneo |
| password | 8 | Solo minúsculas | 🔴 Instantáneo (está en diccionarios) |
| Password1 | 9 | Minúsculas + mayúscula + número | 🔴 Menos de 1 hora |
| P@ssw0rd! | 9 | Mixto + símbolo | 🟠 Horas (patrón predecible) |
| Tr0ub4dor&3 | 11 | Mixto complejo | 🟡 Días |
| correcthorsebatterystaple | 25 | Solo minúsculas (frase) | 🟢 Siglos |
| xQ!7@kP#2mLz$9wR%nY&5 | 21 | Totalmente aleatorio | 🟢 Miles de años |
⚔️ Tipos de ataques contra contraseñas y cómo defenderse
| Tipo de ataque | Cómo funciona | Herramienta típica | Defensa |
|---|---|---|---|
| Fuerza bruta pura | Prueba todas las combinaciones posibles | Hashcat, John the Ripper | Longitud 16+ caracteres |
| Ataque de diccionario | Prueba palabras comunes y filtraciones | RockYou, Hashcat con wordlists | Evitar palabras del diccionario |
| Ataque híbrido (mask) | Combina diccionario + variaciones (P@ssw0rd1!) | Hashcat masked attacks | Sin patrones predecibles |
| Credential stuffing | Prueba combinaciones email:pass de brechas | Sentry MBA, OpenBullet | Una clave única por servicio |
| Password spraying | Mismas contraseñas comunes contra muchas cuentas | SprayingToolkit, MailSniper | Claves no comunes + 2FA |
| Rainbow tables | Tablas precalculadas de hashes | RainbowCrack | Hashing con salt (responsabilidad del servicio) |
| Phishing dirigido | Captura la contraseña directamente | Evilginx2, Modlishka | 2FA con FIDO2 o passkey |
| Keylogger / Infostealer | Roba la clave al teclearla o desde el navegador | RedLine, Lumma Stealer | Antivirus + autocomplete de gestor |
🛠️ 3 métodos probados para crear contraseñas seguras
Tres métodos probados para crear contraseñas seguras ordenados de más fácil a más robusto:
- Frase de contraseña (passphrase): 4 palabras aleatorias sin relación + separador + número — ej. caballo-Nube!tijera-Faro7 (26 chars, memorable, imposible de adivinar) — recomendado por el NIST y la EFF para claves que necesitas memorizar
- Sustitución estructurada: primera letra de cada palabra de una frase personal con sustituciones no estándar — útil para cuentas de uso frecuente donde no puedes usar un gestor
- Generación aleatoria con gestor: 20+ caracteres completamente aleatorios generados por Bitwarden o 1Password — el más seguro, recomendado para la mayoría de cuentas
🔤 Método 1: Frase de contraseña (passphrase)
Consiste en unir cuatro o más palabras aleatorias sin relación entre sí. El resultado es largo, fácil de recordar y extremadamente difícil de descifrar por fuerza bruta. Es el método recomendado por el NIST y la EFF para contraseñas que el usuario necesita memorizar.
- Elige 4 palabras completamente aleatorias y sin relación: caballo · nube · tijera · faro.
- Únelas con un separador o símbolo: caballo-Nube!tijera-Faro.
- Añade al menos un número en alguna posición: caballo-Nube!tijera-Faro7.
- Resultado: 26 caracteres, memorable, imposible de adivinar.
🔢 Método 2: Sustitución estructurada
Parte de una frase que el usuario pueda recordar y la transforma en un código aplicando sustituciones sistemáticas. Es útil para cuentas donde el usuario debe escribir la contraseña manualmente con frecuencia.
- Elige una frase significativa: "En 2026 protejo mis cuentas con 2FA".
- Toma la primera letra de cada palabra: E2026pmcc2FA.
- Sustituye algunas letras por símbolos: E2026pm©c2F@.
- Añade un prefijo o sufijo según el servicio: E2026pm©c2F@_GMail.
🎲 Método 3: Generación aleatoria con gestor de contraseñas
Es el método más seguro y el recomendado para la mayoría de cuentas. Un gestor de contraseñas genera una cadena completamente aleatoria de 20 o más caracteres, la almacena cifrada y la autocompleta automáticamente. El usuario solo necesita recordar la contraseña maestra del gestor.
- Instala un gestor de contraseñas (Bitwarden es gratuito y de código abierto).
- Configura el generador para producir contraseñas de 20+ caracteres con todos los tipos de caracteres.
- Genera una contraseña única para cada cuenta: xQ!7@kP#2mLz$9wR%nY&5j.
- El gestor la almacena y autocompleta, no necesitas recordarla.
🔐 Algoritmos de hashing: por qué importa cómo el servicio guarda tu clave
| Algoritmo | Año | Velocidad de ataque (GPU) | Seguridad | Recomendado |
|---|---|---|---|---|
| MD5 | 1992 | 🔴 Miles de millones h/s | 🔴 Roto | ❌ Nunca |
| SHA-1 | 1995 | 🔴 Miles de millones h/s | 🔴 Obsoleto | ❌ Nunca |
| SHA-256 sin salt | 2001 | 🔴 Cientos de millones h/s | 🟠 Insuficiente | ❌ No |
| PBKDF2 | 2000 | 🟡 Millones h/s | 🟡 Aceptable | ⚠️ Mínimo legacy |
| bcrypt | 1999 | 🟢 Miles h/s | 🟢 Buena | ✅ Sí (legacy) |
| scrypt | 2009 | 🟢 Cientos h/s | 🟢 Muy buena | ✅ Sí |
| Argon2id | 2015 (PHC winner) | 🟢 Decenas h/s | 🟢 Excelente | ✅ Recomendado actual |
🚫 Los 5 errores más comunes al crear contraseñas
Los 5 errores que hacen que una contraseña sea vulnerable aunque parezca compleja:
- Usar datos personales (nombre, fecha de nacimiento, mascota) — son los primeros que prueba un atacante
- Reutilizar la misma contraseña en varios servicios — una filtración compromete todas las cuentas
- Sustituciones obvias (a→@, e→3, o→0) — están incluidas en todos los diccionarios de ataque modernos
- Contraseñas de menos de 12 caracteres — vulnerables a fuerza bruta en minutos u horas con GPU moderna
- Guardarlas en texto plano (archivo Word, nota en el móvil) — si alguien accede al archivo, tiene todas las claves
| Error | Ejemplo | Por qué es peligroso | Solución |
|---|---|---|---|
| Usar datos personales | Juan1985, Maria#Madrid | Son los primeros que prueba un atacante que te conoce | Usa palabras sin relación contigo |
| Reutilizar contraseñas | Misma clave en 10 servicios | Una sola filtración compromete todas las cuentas | Contraseña única por servicio |
| Sustituciones obvias | P@ssw0rd, S3gur1d@d | Incluidas en todos los diccionarios de ataque | Sustituciones no estándar o método aleatorio |
| Contraseñas cortas | Menos de 10 caracteres | Vulnerables a fuerza bruta en minutos u horas | Mínimo 12 caracteres, idealmente 20+ |
| Guardarlas en texto plano | Archivo Word, nota en el móvil | Si alguien accede al archivo, tiene todas las claves | Usar un gestor de contraseñas cifrado |
📋 Top 25 de contraseñas más usadas (y peligrosas) en el mundo
- 🔴 123456 — La más usada del mundo, se rompe en milisegundos.
- 🔴 123456789 — Solo añade tres dígitos predecibles.
- 🔴 password — Literalmente la palabra "contraseña" en inglés.
- 🔴 qwerty — Patrón visual de teclado.
- 🔴 12345 — Cinco dígitos consecutivos.
- 🔴 admin — Por defecto en routers y paneles.
- 🔴 letmein — "Déjame entrar" en inglés.
- 🔴 welcome — Comodín de bienvenida corporativa.
- 🔴 iloveyou — Top permanente de filtraciones.
- 🔴 abc123 — Patrón básico abecedario + números.
- 🔴 password1 — Variación con número que no engaña a nadie.
- 🔴 monkey — Top histórico de RockYou.
- 🔴 football — Deportes y aficiones.
- 🔴 1234567890 — Diez dígitos consecutivos.
- 🔴 qwerty123 — Patrón visual + dígitos.
- 🔴 dragon — Persiste desde los años 90.
- 🔴 master — Habitual en cuentas de administrador.
- 🔴 sunshine — Top femenino persistente.
- 🔴 princess — Variación frecuente en cuentas infantiles.
- 🔴 shadow — Clásico de gamers.
- 🔴 baseball — Deportes EE. UU. en top.
- 🔴 superman — Cultura pop persistente.
- 🔴 trustno1 — Irónico, aparece en todos los diccionarios.
- 🔴 hello — Saludo elemental.
- 🔴 freedom — Concepto abstracto, fácilmente listado.
🔍 Cómo comprobar si tu contraseña ha sido filtrada
Pasos para comprobar si tu contraseña ha sido comprometida:
- Visita haveibeenpwned.com/Passwords
- Introduce tu contraseña — el sitio usa k-Anonymity: solo envía los primeros 5 caracteres del hash SHA-1, nunca la clave completa
- Si aparece en la base de datos, cámbiala inmediatamente aunque parezca robusta
- Comprueba también tu correo electrónico en haveibeenpwned.com para ver en qué filtraciones aparece
Si tu contraseña no aparece en ninguna filtración conocida, es la primera señal de que cumple el criterio de unicidad.
- Visita Have I Been Pwned — Passwords.
- Introduce tu contraseña (el sitio usa k-anonymity: nunca envía tu contraseña completa).
- Si aparece en la base de datos, cámbiala inmediatamente aunque parezca robusta.
- Comprueba también tu correo electrónico en haveibeenpwned.com para ver en qué filtraciones aparece.
🚦 Señales de que tu cuenta ya ha sido comprometida
- 📨 Códigos 2FA por SMS que tú no has solicitado llegan a tu móvil.
- 📧 Notificaciones de "Inicio de sesión desde un nuevo dispositivo" desde IPs desconocidas.
- 🚫 Tu contraseña habitual deja de funcionar sin haberla cambiado.
- 📤 Correos enviados desde tu cuenta que tú no has redactado.
- 🔔 Cambios en la configuración de tu cuenta (reglas de reenvío, nombre, foto).
- 💳 Cargos sospechosos en tarjetas vinculadas a servicios donde tienes cuenta.
- 📱 Sesiones activas en dispositivos que no reconoces.
- 🎯 Emails de servicios en los que no recuerdas haberte registrado pidiéndote verificar.
🆚 Contraseña débil vs contraseña segura: comparativa
| Característica | Contraseña débil | Contraseña segura |
|---|---|---|
| Longitud | 🔴 Menos de 10 caracteres | 🟢 12 caracteres mínimo, 20+ ideal |
| Complejidad | 🔴 Solo letras o números | 🟢 Mayúsculas, minúsculas, números y símbolos |
| Unicidad | 🔴 Reutilizada en varios servicios | 🟢 Única para cada cuenta |
| Datos personales | 🔴 Nombre, fecha de nacimiento, mascota | 🟢 Sin relación con el usuario |
| Filtrada | 🔴 Aparece en bases de datos de ataques | 🟢 No aparece en ninguna filtración conocida |
| Almacenamiento | 🔴 Anotada en papel o archivo de texto | 🟢 En un gestor de contraseñas cifrado |
| Segunda capa | 🔴 Sin 2FA activo | 🟢 2FA activado en todas las cuentas críticas |
🧩 Checklist para crear contraseñas seguras
Antes de usar una nueva contraseña, verifica que cumple estos 6 criterios:
- ☑ Tiene 12 caracteres como mínimo (idealmente 20 o más)
- ☑ Combina letras mayúsculas, minúsculas, números y símbolos
- ☑ No contiene palabras del diccionario completas ni datos personales
- ☑ Es única: no la usas en ningún otro servicio
- ☑ No aparece en Have I Been Pwned
- ☑ Está almacenada en un gestor de contraseñas, no en texto plano
✔ 6/6 = contraseña segura · ✘ menos de 5 = revisa antes de usarla
📅 Checklist trimestral de auditoría de contraseñas
Cada 3 meses revisa estos 10 puntos en tu gestor de contraseñas:
- ☑ Watchtower / Vault Health: ejecuta el escaneo de salud del gestor
- ☑ Contraseñas filtradas: cambia las que aparezcan en HIBP
- ☑ Contraseñas reutilizadas: identifica duplicadas y genera nuevas
- ☑ Contraseñas débiles (menos de 12 caracteres): cámbialas
- ☑ Contraseñas antiguas (>2 años) en cuentas críticas: rótalas
- ☑ Cuentas sin 2FA: activa el segundo factor en correo, banca y redes
- ☑ Códigos de respaldo 2FA: imprime nuevos y guárdalos en lugar físico
- ☑ Cuentas inactivas: elimina las que ya no uses (reduce superficie de ataque)
- ☑ Contraseña maestra del gestor: verifica que sigue siendo fuerte
- ☑ Backup cifrado del vault del gestor en almacenamiento offline
✔ 10/10 = higiene digital completa · ✘ menos de 7 = revisión urgente
❓ Preguntas frecuentes sobre contraseñas seguras
¿Cuántos caracteres debe tener una contraseña segura?
👉 El mínimo recomendado por el NIST es 8 caracteres, pero en la práctica las contraseñas de menos de 12 caracteres son vulnerables con hardware moderno. Para cuentas críticas como correo o banca, usa 20 caracteres o más generados de forma aleatoria.
¿Debo cambiar mis contraseñas periódicamente?
👉 El NIST ya no recomienda los cambios periódicos obligatorios, ya que suelen llevar a contraseñas más débiles. Sí debes cambiarla inmediatamente si detectas que ha sido filtrada, si sospechas que alguien ha accedido a tu cuenta o si el servicio notifica una brecha de seguridad.
¿Es seguro guardar contraseñas en el navegador?
👉 Es mejor que nada, pero los gestores dedicados como Bitwarden o 1Password ofrecen cifrado más robusto, arquitectura zero-knowledge y funcionan en todos los dispositivos y navegadores. Los navegadores pueden verse comprometidos si el equipo se infecta con un infostealer.
¿Una contraseña larga pero simple es mejor que una corta y compleja?
👉 Sí, en general. Una frase de 25 caracteres compuesta solo de letras minúsculas es más resistente a fuerza bruta que una contraseña de 8 caracteres con símbolos. La longitud multiplica exponencialmente el espacio de búsqueda. Las mejores contraseñas combinan ambas características: larga y con variedad de caracteres.
¿Cómo sé si mi contraseña ha sido filtrada?
👉 Compruébala en Have I Been Pwned Passwords. El servicio usa k-anonymity: solo envía los primeros 5 caracteres de su hash SHA-1, por lo que es seguro usarlo sin comprometer tu contraseña.
¿Necesito una contraseña diferente para cada servicio?
👉 Sí, es imprescindible. Si reutilizas la misma contraseña y un servicio sufre una brecha, los atacantes prueban automáticamente esa combinación en cientos de otros servicios mediante credential stuffing. Con contraseñas únicas, el daño de una filtración queda completamente aislado.
¿Cuál es la forma más rápida de crear contraseñas seguras?
👉 Usar un gestor como Bitwarden o 1Password con su generador integrado configurado para producir 20 caracteres aleatorios mezclando mayúsculas, minúsculas, números y símbolos. En menos de 5 segundos por cuenta puedes generar contraseñas únicas para todos tus servicios sin necesidad de recordarlas.
¿Qué son los passkeys y van a sustituir a las contraseñas?
👉 Los passkeys (estándar FIDO2/WebAuthn) son el sucesor de las contraseñas: usan criptografía asimétrica con una clave pública (que el servicio guarda) y una privada (que nunca sale de tu dispositivo). Son inmunes a phishing, credential stuffing y filtraciones. Gmail, Microsoft, Apple, GitHub y Amazon ya los soportan en 2026. Mantén tus contraseñas seguras como fallback mientras adoptas passkeys en los servicios que las soporten.
¿Qué es el "salt" en una contraseña y por qué importa?
👉 El salt criptográfico es un valor aleatorio único que un servicio añade a tu contraseña antes de calcular su hash. Impide rainbow tables y garantiza que dos usuarios con la misma contraseña tengan hashes distintos. Si un servicio te envía tu contraseña en texto plano por email, no usa hashing: es una señal grave de mala seguridad.
¿Es mejor escribir la contraseña maestra del gestor en papel?
👉 Para usuarios domésticos, sí es buena práctica tener la contraseña maestra escrita en papel y guardada en un lugar seguro (caja fuerte, archivador con llave). El riesgo de olvidarla y perder todo el vault es mayor que el riesgo de que alguien la encuentre. Lo que nunca debes hacer es guardarla en un archivo digital, foto del móvil o nota sin cifrar en la nube.
🏁 Conclusión
Crear contraseñas seguras no requiere ser un experto en ciberseguridad: los tres métodos de esta guía están al alcance de cualquier usuario y todos generan contraseñas robustas en menos de un minuto. La frase de contraseña es la más fácil de recordar, la sustitución estructurada es útil para cuentas frecuentes y la generación aleatoria con gestor es la más robusta para el resto.
Consulta la guía maestra para blindar tu identidad digital en 2026 para cubrir todos los frentes: alias de correo por contexto, 2FA con app autenticadora, alertas de brechas y separación de cuentas críticas — la capa que convierte este ejercicio en una defensa realmente completa.
- 🔒 Usa el método de frase de contraseña para las claves que necesitas memorizar: largo, robusto y recordable.
- 🔒 Usa un gestor de contraseñas para el resto: genera claves de 20+ caracteres aleatorios por cuenta.
- 🔒 Comprueba tus contraseñas en Have I Been Pwned: una clave filtrada es inútil aunque parezca compleja.
- 🔒 Activa el 2FA en todas tus cuentas importantes: es la segunda barrera si la contraseña cae.
- 🔒 Nunca reutilices contraseñas: una sola filtración no debe comprometer todas tus cuentas.
- 🔒 Migra a passkeys (FIDO2/WebAuthn) en los servicios que los soporten para eliminar el secreto compartido.
- 🔒 Aplica la auditoría trimestral del gestor para limpiar duplicadas, débiles y filtradas.
Deja una respuesta