Gestor de contraseñas y llaves de acceso: guía sencilla

Un gestor de contraseñas es una app que crea, guarda y rellena una contraseña fuerte y distinta para cada cuenta, así que solo tienes que recordar una. Si lo combinas con las llaves de acceso (passkeys), que te permiten iniciar sesión con la cara, la huella o el bloqueo de pantalla en lugar de una contraseña, eliminas el mayor riesgo del día a día: usar la misma contraseña en muchos sitios.

Tu correo, tu banco y tus redes sociales están protegidos sobre todo por contraseñas. Si te roban una, un delincuente puede leer tus mensajes, restablecer otras cuentas o gastar tu dinero. Ponerle remedio lleva menos tiempo del que crees y no requiere conocimientos técnicos.

Por qué reutilizar contraseñas es el verdadero peligro

A la mayoría de la gente le preocupa que alguien adivine su contraseña. El problema más grave es reutilizarla.

Cuando una web sufre una filtración, las listas de correos y contraseñas suelen acabar compartidas en internet. Los atacantes usan herramientas automáticas para probar esas mismas combinaciones en muchas otras webs, como servicios de correo, banca y compras. Esto se llama relleno de credenciales (credential stuffing).

Si tu contraseña se filtró desde una pequeña tienda online y también la usabas para el correo, el atacante puede entrar en tu correo y, desde ahí, restablecer casi todo lo demás.

Por eso cada cuenta necesita su propia contraseña, y como nadie puede recordar docenas de ellas, para eso están los gestores de contraseñas.

Qué hace que una contraseña sea segura hoy

La longitud importa más que la complejidad. Una contraseña larga es mucho más difícil de adivinar que una corta llena de símbolos.

• Usa al menos de 12 a 16 caracteres, y más en las cuentas importantes.
• Prueba con una frase de contraseña: cuatro o más palabras al azar sin relación entre sí, como río-vela-órbita-pimienta. Es larga, fácil de escribir y fácil de recordar.
• Evita los datos personales, como nombres, cumpleaños o números de teléfono.
• Evita los patrones típicos, como «Contraseña1!» o añadir el año a una contraseña antigua.
• No la reutilices nunca. Una contraseña fuerte usada en diez webs es tan segura como la más débil de ellas.

Solo necesitas memorizar unas pocas: el código de desbloqueo del móvil, la contraseña de tu correo principal y la contraseña maestra del gestor de contraseñas.

Cómo funciona un gestor de contraseñas y cómo empezar

Un gestor de contraseñas guarda tus contraseñas en una bóveda cifrada. La bóveda se bloquea con una contraseña maestra y, a menudo, también con tu huella o tu cara. Te sugiere contraseñas nuevas aleatorias y rellena las guardadas, pero solo en la web real para la que las guardó, lo que te ayuda a protegerte de las páginas de inicio de sesión falsas.

Elige un gestor de contraseñas

• El gestor integrado de tu móvil o navegador. iPhone, Android, Windows, macOS y los principales navegadores incluyen uno que puede generar, guardar y sincronizar contraseñas. Es la forma más fácil de empezar.
• Un gestor de contraseñas independiente de confianza. Funcionan en distintas plataformas y navegadores, algo útil si mezclas dispositivos. Instálalo solo desde la App Store, Google Play o la web oficial del desarrollador.

Configúralo paso a paso

1. Crea una contraseña maestra fuerte: una frase de contraseña larga que no hayas usado nunca en ningún otro sitio.
2. Activa la verificación en dos pasos en la cuenta que guarda tus contraseñas. Nuestra guía de verificación en dos pasos explica cómo.
3. Configura las opciones de recuperación, como una clave o un contacto de recuperación, y guárdalas en un lugar seguro.
4. Deja que el gestor guarde las contraseñas a medida que inicias sesión durante los próximos días.
5. Cambia primero las contraseñas de tus cuentas más importantes (correo, banca, operador móvil, redes sociales) con la opción «generar contraseña» del gestor. Unas pocas cuentas por semana está bien.

Las llaves de acceso explicadas de forma sencilla

Entonces, ¿qué es una llave de acceso? Es una forma más nueva de iniciar sesión que sustituye por completo a la contraseña. Confirmas que eres tú igual que cuando desbloqueas el móvil o el ordenador: con la cara, la huella o el PIN.

Por detrás, tu dispositivo crea un par de claves digitales. La web solo guarda la parte pública. La parte privada se queda protegida en tu dispositivo o en tu gestor de contraseñas y nunca se envía a la web. Esto significa que:

• No hay nada que robar en la web. Una filtración no expone ninguna contraseña que se pueda reutilizar.
• Resisten el phishing. Una llave de acceso solo funciona en la web real para la que se creó, así que una página de inicio de sesión falsa no puede engañarte para que la entregues.
• Se sincronizan entre tus dispositivos. Las llaves de acceso guardadas en un gestor integrado o independiente se sincronizan con tus otros dispositivos que tengan la sesión iniciada en él.

Para iniciar sesión en un ordenador que no tiene tu llave de acceso, la web puede mostrarte un código QR. Lo escaneas con el móvil y confirmas; el móvil tiene que estar físicamente cerca.

Cómo pasar una cuenta a llave de acceso

1. Inicia sesión en la cuenta como siempre y abre sus ajustes de seguridad o de inicio de sesión.
2. Busca una opción como «Llaves de acceso» o «Crear una llave de acceso».
3. Confirma con la cara, la huella o el bloqueo de pantalla y elige dónde guardarla.
4. Pruébala cerrando sesión y volviendo a entrar con la llave de acceso.
5. Algunos servicios mantienen tu contraseña como respaldo, así que asegúrate de que siga siendo fuerte y única.

No todas las webs admiten todavía llaves de acceso, así que úsalas donde te las ofrezcan y el gestor de contraseñas para el resto.

Comprueba si tus contraseñas se han filtrado

Los gestores integrados de iPhone, Android y los principales navegadores, y la mayoría de los independientes, incluyen una función de revisión de contraseñas o de recomendaciones de seguridad. Te avisa cuando una contraseña guardada:

• ha aparecido en una filtración de datos conocida,
• se repite en varias cuentas, o
• es débil o fácil de adivinar.

Abre esta sección cada pocos meses y corrige los avisos, empezando por tus cuentas más importantes.

Qué hacer después de una filtración de datos

Si un servicio anuncia una filtración o la revisión de contraseñas te avisa, actúa en este orden:

1. Cambia la contraseña de esa cuenta por una nueva generada con el gestor.
2. Cámbiala en cualquier otro sitio donde la reutilizaras. Aquí es donde la reutilización hace el daño de verdad.
3. Activa la verificación en dos pasos o una llave de acceso en esa cuenta si aún no lo has hecho.
4. Revisa la cuenta en busca de dispositivos desconocidos, reglas de reenvío o datos de recuperación cambiados.
5. Vigila los movimientos del banco si tus datos de pago pueden haber quedado expuestos, y contacta con tu banco si algo no cuadra.
6. Ten especial cuidado con los mensajes. Tras una filtración, los delincuentes suelen enviar correos, SMS o códigos QR con falsas «alertas de seguridad». Abre la app oficial o escribe tú la dirección en lugar de usar enlaces, y consulta nuestra guía sobre el phishing con código QR por email.

Lista rápida

1. Cada cuenta importante tiene su propia contraseña única.
2. Tus contraseñas principales son frases largas, no palabras cortas y complicadas.
3. Usas un gestor de contraseñas integrado o uno independiente de confianza.
4. La contraseña maestra es fuerte y no la usas en ningún otro sitio.
5. Las opciones de recuperación del gestor están guardadas en un lugar seguro.
6. La verificación en dos pasos protege tu correo y tu gestor de contraseñas.
7. Las llaves de acceso están activadas en las cuentas que las admiten.
8. Haces una revisión de contraseñas cada pocos meses.

Preguntas frecuentes

¿Es seguro guardar todas mis contraseñas en un gestor de contraseñas?

Sí. Para la mayoría de la gente es mucho más seguro que reutilizar contraseñas. La bóveda está cifrada y bloqueada con tu contraseña maestra, así que protégela bien y activa la verificación en dos pasos.

¿Qué pasa si olvido la contraseña maestra?

Depende del gestor. Muchos ofrecen una clave o un contacto de recuperación, y por eso conviene configurarlos desde el primer día.

¿Las llaves de acceso sustituyen a la verificación en dos pasos?

Una llave de acceso ya combina dos factores: algo que tienes (tu dispositivo) y algo que eres o que sabes (tu huella, tu cara o tu PIN). Por eso muchos servicios consideran que iniciar sesión con una llave de acceso ya es lo bastante seguro por sí solo.

¿Y si pierdo el móvil donde tengo las llaves de acceso?

Si tus llaves de acceso se sincronizan a través de tu gestor de contraseñas, vuelven a aparecer cuando inicias sesión en un dispositivo nuevo. Nuestros consejos de seguridad en el móvil explican qué más hacer si pierdes el teléfono.

Las contraseñas únicas y las llaves de acceso frenan la mayoría de los robos de cuentas, así que configura tu gestor de contraseñas esta semana, empezando por el correo. Y cuando te llegue una «alerta de seguridad» con un código QR, comprueba adónde lleva de verdad con el lector QR online gratuito de QR-TH antes de abrirlo.