Cómo crear una contraseña segura y no tener que recordarlas todas

Una contraseña segura es larga, es única para cada servicio y, a poder ser, no te la inventas tú. Apunta a un mínimo de 15 caracteres, que es lo que exige la guía del NIST estadounidense cuando la contraseña es lo único que protege la cuenta. Usa una distinta en cada sitio y deja que un gestor de contraseñas la genere y la recuerde por ti. Y donde el servicio lo permita, mejor todavía una llave de acceso, que ni siquiera es una contraseña.

Cuando escribí esta entrada en 2009 decía que la longitud importaba menos que mezclar números, mayúsculas, minúsculas y símbolos, y ponía de ejemplo algo parecido a LinWind-1234. Hoy lo diría al revés. Una palabra conocida con una secuencia de números detrás es justo lo que prueban primero los programas que adivinan contraseñas.

Lo que más cuenta es la longitud

La versión actual de la guía de identidad digital del NIST (SP 800-63B-4, de julio de 2025) pide a los servicios un mínimo de 15 caracteres para las contraseñas que se usan como único factor, y 8 cuando van acompañadas de un segundo factor. Y prohíbe que te obliguen a mezclar tipos de caracteres. El motivo que da es que la gente responde a esas reglas de forma muy previsible. Quien habría puesto «password» acaba poniendo «Password1», y eso no protege nada.

También recomienda que los servicios admitan contraseñas de al menos 64 caracteres, espacios incluidos, y que comprueben la que eliges contra listas de contraseñas comunes o filtradas.

Si tienes que recordarla, usa una frase

Habrá dos o tres contraseñas que sí tendrás que saberte: la del ordenador, la del correo y la maestra del gestor. Para esas, lo más cómodo es una frase hecha con palabras escogidas al azar, no una cita ni una canción. La EFF propone un método con dados y una lista de palabras y sugiere seis palabras para la mayoría de usos. Un ejemplo de la forma, que no debes usar porque ya está publicado: tejado ancla brócoli farola mudo cuarzo. Es larga, se recuerda con un poco de práctica y no sale de ninguna lista.

Una distinta para cada sitio

Repetir contraseña es muy común, y sale caro. Cuando una web sufre una filtración, los atacantes prueban esa misma combinación de correo y contraseña en otros servicios, y si la repites caen todas. Para saber si una contraseña tuya ya ha aparecido en alguna filtración puedes usar Pwned Passwords, de Have I Been Pwned. La comprobación no envía la contraseña. Tu navegador calcula un resumen (hash) y solo manda sus cinco primeros caracteres. Si aparece, cámbiala en todos los sitios donde la uses.

Pon a prueba una contraseña parecida a la tuya

Para ver en qué falla una contraseña, escribe abajo una parecida a la que usas, nunca la de verdad. El comprobador funciona en tu navegador y no guarda nada.

Cuenta los caracteres y los compara con los 15 que el NIST exige cuando la contraseña va sola y los 8 que admite si hay un segundo factor. La busca en una lista de 272 contraseñas muy usadas, sacada de la que publicó el NCSC británico con las 100.000 más comunes de Have I Been Pwned y de otra de contraseñas en español del proyecto Pwdb, las dos recogidas en SecLists con licencia MIT. Y avisa si es una palabra conocida con números o símbolos alrededor, si repite letras o trozos, si lleva secuencias como 1234, abcd o qwerty y si contiene un año o una fecha. INCIBE desaconseja meter datos como el cumpleaños, porque los puede adivinar quien te conozca.

Con eso te da una valoración en llano (floja, mejorable o buena) y el motivo de cada aviso. No calcula cuánto se tardaría en adivinarla, porque esa cifra depende, entre otras cosas, de cómo guarde la contraseña cada servicio, como explica el propio NIST. Tampoco puede saber si la repites en otros sitios.

Debajo tienes un botón aparte que consulta Pwned Passwords, el mismo servicio de filtraciones de antes. Solo funciona si lo pulsas, y de tu equipo salen únicamente los cinco primeros caracteres del resumen SHA-1. El servicio responde con todos los resúmenes conocidos que empiezan igual y la comparación se hace en tu navegador. Si dice que aparece, no la uses en ningún sitio.

Un gestor de contraseñas

Con una contraseña distinta y larga en cada sitio, nadie se acuerda de todas. Para eso están los gestores, y el propio NIST dice que se ha comprobado que ayudan a elegir contraseñas más fuertes. Estas son las opciones que yo miraría:

• Bitwarden tiene un plan gratuito con contraseñas y dispositivos ilimitados, y apps para navegador, móvil y escritorio.
• KeePassXC es libre, funciona en Windows, macOS y Linux y guarda todo en un archivo cifrado en tu equipo, sin nube.
• El Gestor de contraseñas de Google, si ya usas Chrome o Android. Su Revisión de contraseñas te avisa de las que han aparecido en filtraciones.
• La app Contraseñas de Apple, en iPhone, iPad y Mac desde iOS 18 y macOS Sequoia, que genera contraseñas y te avisa si alguna puede no ser segura.

Cuando te registres en un sitio, deja que el gestor te proponga una contraseña larga y aleatoria, que para eso la guarda él. La maestra, la única que te tienes que saber, hazla con el método de la frase.

Llaves de acceso: mejor que cualquier contraseña

Cada vez más servicios, entre ellos Google, permiten entrar con una llave de acceso (passkey). Inicias sesión con el mismo método con el que desbloqueas el móvil o el ordenador, sea la huella, la cara o el PIN. Google explica que, a diferencia de las contraseñas, no se pueden compartir, copiar ni dar por error a otra persona, y que por eso protegen mejor contra el phishing. Si un servicio te ofrece crear una, acepta.

Verificación en dos pasos y cuándo cambiarla

En las cuentas que importan, como el correo, el banco o las redes, activa la verificación en dos pasos. Si alguien consigue tu contraseña, le seguirá faltando el segundo paso.

Cambiar la contraseña cada pocos meses porque sí es un consejo que ha caducado. El NIST pide a los servicios que no lo exijan y que fuercen el cambio solo cuando haya indicios de que la contraseña se ha visto comprometida. Así que cámbiala cuando aparezca en una filtración o sospeches algo raro, no por calendario.

Si estás repasando tu seguridad, échale un ojo también a la guía de seguridad wifi, porque la contraseña del router y la de la red de casa siguen las mismas reglas, y a la de cómo comprar en internet de forma segura.

Revisado y actualizado en octubre de 2026.