Ideas de contraseñas seguras (con ejemplos)
Buscar ideas de contraseñas seguras suele significar una de dos cosas: necesitas una contraseña ahora mismo y no se te ocurre nada, o un formulario acaba de rechazar la de siempre. La respuesta honesta es que la mejor idea es no tener ninguna: cualquier sistema que inventa una persona es un patrón, y los patrones son lo primero que prueban los atacantes. A continuación tienes las cuatro ideas que de verdad aguantan, ordenadas de mayor a menor fortaleza, el método de INCIBE para las contraseñas que debes memorizar, los trucos populares que solo parecen ingeniosos y ejemplos que se generan en tu navegador mientras lees.
Idea 1: una contraseña aleatoria (la más fuerte)
Para cualquier cuenta que viva en un gestor de contraseñas, la “idea” correcta es una secuencia completamente aleatoria salida de un generador: 16 caracteres como estándar y 20 caracteres o más para el correo, el banco y cualquier cuenta desde la que se puedan restablecer otras. Una contraseña aleatoria de 16 caracteres que combine mayúsculas, minúsculas, números y caracteres especiales alcanza unos 103 bits de entropía (unos 95 si el servicio rechaza los caracteres especiales), y una de 20 caracteres llega a unos 129. Un atacante que probara sin conexión 10 000 millones de combinaciones por segundo necesitaría más tiempo que la edad del universo para agotar cualquiera de las dos. Ninguna contraseña inventada se acerca a esas cifras, porque las elecciones humanas se concentran en un rincón diminuto y muy bien cartografiado del espacio de posibilidades, y los ataques de diccionario y de patrones lo recorren en minutos.
Idea 2: varias palabras al azar (la más fácil de recordar)
Para las contraseñas que tienes que teclear de memoria, el mejor punto de partida es el método que popularizó el NCSC, el centro nacional de ciberseguridad del Reino Unido: combinar tres palabras elegidas al azar, unidas sin espacios como en CestaTruenoLima o separadas por guiones. Es la forma más sencilla de una frase de contraseña. Lo decisivo es que las palabras salgan de un generador y no de tu cabeza: tres palabras que se te ocurran a ti estarán relacionadas entre sí, y las palabras relacionadas reducen drásticamente el espacio de búsqueda. Tres palabras tomadas al azar de una lista de 7776 aportan unos 39 bits de entropía, suficiente para una cuenta protegida por un límite de intentos fallidos; añade una cuarta o una quinta para las cuentas que importan. El generador de tres palabras al azar (en inglés) elige las palabras por ti.
Idea 3: palabras memorables con un número y un símbolo
Cuando un sitio exige “complejidad” (una mayúscula, un número, un símbolo) pero necesitas recordar la contraseña, una contraseña memorable resuelve el problema: varias palabras al azar con la inicial en mayúscula, seguidas de un número y un símbolo, por ejemplo RobleMapaRio72$ con tres palabras, un número de dos cifras y un signo final. Cumple las reglas de composición del formulario sin renunciar al azar, que es lo que la hace fuerte; el número y el símbolo del final aportan poco por sí mismos, así que la fortaleza sigue viniendo de las palabras. El generador de contraseñas memorables (en inglés) produce exactamente este formato.
Idea 4: una frase de contraseña para la contraseña maestra
La única contraseña que no puedes guardar en el gestor es la contraseña maestra del propio gestor. Para eso sirve una frase de contraseña: cinco o seis palabras elegidas al azar de una lista de 7776 y separadas por guiones, como ferry-farol-oxido-ciruela-vivido con cinco. Cinco palabras aportan unos 65 bits de entropía y seis, unos 78. Es larga, tiene mucha entropía y, tras unos días de uso, se teclea de memoria sin esfuerzo. INCIBE recomienda precisamente esta combinación: utilizar un gestor de contraseñas y recordar solo la contraseña maestra que lo abre. El generador de frases de contraseña (en inglés) usa una lista de palabras en inglés: la entropía es la misma en cualquier idioma, aunque tardarás un poco más en memorizarla si no lo hablas.
El método de INCIBE para las contraseñas que tienes que memorizar
El material formativo de INCIBE propone unas reglas mnemotécnicas para construir una contraseña que puedas recordar sin anotarla. Su ejemplo parte de una frase conocida, en un lugar de la mancha, escrita en minúsculas; se le añaden el servicio, el año y un signo de exclamación, con lo que queda En un lugar de la Mancha Correo de 2019! como frase completa, que se comprime tomando la inicial de cada palabra: EuldlMCd2019! son 13 caracteres que mezclan los cuatro tipos y se reconstruyen mentalmente con facilidad.
Es una buena idea de reserva para los pocos secretos que debes saber de memoria, y funciona mucho mejor que cualquier contraseña inventada sin método. Pero conviene ser claro sobre sus límites, y el propio INCIBE lo es en ese mismo documento: “La forma más segura de obtener una contraseña robusta es utilizar un generador de contraseñas”. Una cita célebre está entre lo primero que prueban los atacantes, la estructura de cualquier oración es previsible y la cadena comprimida hereda ese patrón, con el nombre del servicio y un año como los añadidos más predecibles que existen. Si además solo cambias la parte del servicio en cada cuenta, tus contraseñas forman un sistema y una sola filtración deja el esquema a la vista. Úsalo cuando no haya alternativa, con una frase que no esté en ningún libro, y no lo confundas con una contraseña aleatoria: 13 caracteres elegidos al azar están muy por encima. Para todo lo demás, un generador y un gestor.
Ideas para situaciones concretas
- Para el trabajo: cumple la longitud que marque la política y supérala. Una contraseña aleatoria de 12 caracteres (unos 78 bits) satisface casi cualquier norma corporativa y una de 16 te da margen de sobra. Nunca recicles una contraseña personal en una cuenta de trabajo, ni al revés.
- Para el Wi-Fi: una clave Wi-Fi aleatoria de 20 caracteres que se teclea una sola vez por dispositivo y se comparte con las visitas mediante un código QR (en inglés) en lugar de dictarla. Cambia sobre todo la clave que viene impresa en el router.
- Para el correo: desde tu cuenta de correo se restablecen todas las demás contraseñas, así que trátala como la más valiosa que tienes: 20 caracteres como mínimo, única, guardada en el gestor y con el doble factor de autenticación activado siempre que sea posible, como pide INCIBE.
- Para un código PIN: aquí no hace falta ninguna idea. Usa dígitos al azar y tantos como admita el dispositivo: un PIN de 4 dígitos solo tiene 10 000 valores posibles y uno de 6, 1 000 000. Un PIN protege porque el dispositivo se bloquea tras unos pocos intentos fallidos, y uno elegido al azar evita las fechas y las secuencias que un atacante prueba primero.
Ideas populares que no funcionan
- Cambiar letras por símbolos:
P@ssw0rd!y todas sus variantes son la primera regla de cualquier herramienta de descifrado; no añaden prácticamente nada. - Secuencias del teclado:
qwerty123y1qaz2wsxfiguran, con todas sus variaciones, en los diccionarios estándar de los atacantes. - Datos personales: mascotas, fechas de nacimiento, equipos de fútbol y nombres de calles se pueden investigar, y a menudo ya son públicos en tus redes sociales.
- Un “sistema” por sitio:
Base!FacebookyBase!Gmailparecen contraseñas distintas, pero una sola filtración revela el patrón de todas tus cuentas. - Reutilizar una contraseña excelente: la fortaleza no arregla la reutilización; una filtración en el sitio más débil abre todos los demás. INCIBE lo dice sin rodeos: “Cada servicio debe tener su propia contraseña de acceso”.
Ejemplos de contraseñas seguras, generados ahora mismo
Muchas búsquedas piden “10 ejemplos de contraseñas seguras” o “5 ejemplos de contraseñas”, así que aquí tienes la lista, con una diferencia decisiva: estos ejemplos se acaban de generar en tu navegador con crypto.getRandomValues(), no se guardan en ningún sitio y nadie más los ve, de modo que puedes quedarte con cualquiera de ellos. Un ejemplo impreso en un artículo no vale nada, por muy aleatorio que parezca: todo lo que se publica acaba en los diccionarios con los que los atacantes alimentan sus herramientas, y una contraseña que figura en un diccionario cae en el primer segundo. Haz clic en “Nuevos ejemplos” tantas veces como necesites.
Estos ejemplos se acaban de generar en tu navegador: no se guardan ni se muestran a nadie, así que puedes usarlos sin riesgo. En cambio, nunca uses un ejemplo tomado de un artículo o de una captura de pantalla: todo lo que se ha publicado ya figura en las listas de los atacantes.
Fíjate en que no hay ninguna palabra, fecha ni secuencia del teclado: cada posición es una elección al azar, independiente de las demás. Esa es la forma que debes aprender a reconocer. Sea cual sea la idea que mejor se adapte a ti, la constante es la misma: el azar viene de un generador, no de tu imaginación, y cada cuenta tiene su propia contraseña. Empieza por el generador de contraseñas y deja que el gestor recuerde el resto.
Preguntas frecuentes
¿Cuáles son 10 ejemplos de contraseñas seguras?
Los tienes en el bloque de ejemplos de esta página: se generan en tu navegador al cargarla, cambian en cada visita y nadie más los ve, así que puedes usar cualquiera tal cual. Haz clic en “Nuevos ejemplos” tantas veces como necesites hasta reunir diez. No publicamos una lista fija a propósito: cualquier contraseña publicada en un artículo pasa a los diccionarios que los atacantes prueban primero y deja de ser segura en el mismo instante en que se publica. Un ejemplo sirve para reconocer la forma de una contraseña fuerte (16 caracteres o más, elegidos al azar, sin palabras ni fechas), no para copiarlo.
¿Qué sugerencias de contraseñas son seguras?
Las que salen de un generador. Una sugerencia es segura cuando cada carácter, o cada palabra, se ha elegido al azar y con independencia de los demás: una contraseña aleatoria de 16 caracteres, una frase de tres o más palabras tomadas al azar de una lista o una contraseña memorable de palabras aleatorias con un número y un símbolo. Las sugerencias que se te ocurren a ti (una fecha, el nombre de la mascota, una palabra con algunas letras cambiadas por símbolos) siguen patrones conocidos y caen en los primeros segundos de un ataque de diccionario, por muy ingeniosas que parezcan.
¿Es segura la contraseña que sugiere el navegador?
Sí. Chrome, Safari, Firefox y Edge generan sus sugerencias al azar con el generador criptográfico del sistema, igual que este sitio, y las guardan en su gestor integrado para que no tengas que memorizarlas. Acéptalas siempre que la alternativa sea inventar una contraseña. Sus límites están en otra parte: la contraseña queda ligada a ese navegador y a la cuenta con la que has iniciado sesión, no siempre puedes ajustar la longitud ni los tipos de caracteres, y quien use tu dispositivo con la sesión abierta tiene acceso a todas. Para tus cuentas más valiosas, un gestor de contraseñas independiente con doble factor de autenticación te da más control.
¿Qué longitud debe tener una contraseña?
Para todo lo que guardes en un gestor, 16 caracteres son un buen estándar y 20 un margen cómodo para el correo, el banco y cualquier cuenta desde la que se puedan restablecer otras. INCIBE pide al menos entre 8 y 10 caracteres y recuerda que cuanto más larga sea la contraseña, mejor; su material formativo eleva el mínimo a 12 caracteres, y NIST SP 800-63B recomienda 15 cuando la contraseña es la única protección, con un mínimo obligatorio de 8 y la exigencia de que los servicios acepten al menos 64. Toma los mínimos como lo que son: una contraseña aleatoria de 8 caracteres apenas alcanza unos 52 bits y cae en unos días ante un ataque sin conexión. Si tienes que memorizarla, cambia longitud en caracteres por longitud en palabras: una frase de cinco o seis palabras elegidas al azar.
¿Hay que cambiar la contraseña periódicamente?
No por calendario. NIST SP 800-63B desaconseja los cambios periódicos obligatorios: cuando alguien se ve forzado a cambiar la contraseña cada pocos meses, la vuelve más predecible (una cifra que sube, una estación del año que cambia) y los atacantes lo saben. Cambia una contraseña cuando haya un motivo: una filtración en el servicio, un aviso de tu gestor de que figura en una lista de contraseñas comprometidas, un dispositivo que has compartido o la sospecha de que alguien la conoce. Una contraseña larga, aleatoria y única no gana nada con un cambio a fecha fija.
¿Una contraseña memorizable puede ser tan fuerte como una aleatoria?
Sí, si lo memorizable son palabras elegidas al azar y no una frase que se te ocurre a ti. Una frase de contraseña de seis palabras tomadas al azar de una lista de 7776 alcanza unos 78 bits de entropía, la misma cifra que 12 caracteres aleatorios con los cuatro tipos de caracteres, y se recuerda con mucha menos dificultad. Una frase inventada, una cita famosa o el método de las iniciales que propone INCIBE quedan por debajo: la estructura del lenguaje y las citas conocidas son previsibles, y una cadena que hereda ese patrón resiste menos que una del mismo tamaño elegida al azar. Reserva lo memorizable para los dos o tres secretos que de verdad tienes que teclear y deja el resto a un generador y un gestor de contraseñas.