La contraseña de acceso sigue siendo la primera barrera contra los accesos indebidos a cuentas personales y empresariales. Sin embargo, muchas de las reglas que aprendimos para crear una contraseña segura, como sustituir letras por símbolos o cambiarla cada tres meses, ya no se corresponden con las recomendaciones actuales de ciberseguridad.
En este artículo, reunimos las reglas esenciales para elegir una contraseña de acceso robusta, explicamos por qué algunas prácticas antiguas han dejado de recomendarse y mostramos cómo pueden aplicar las empresas estas reglas en sus plataformas, incluidas las de gestión documental.
Regla 1: La longitud es el factor más importante
Una contraseña larga es mucho más difícil de descubrir que una contraseña corta y compleja. Por eso, las recomendaciones actuales, como las del NIST, valoran sobre todo la longitud. En la práctica, conviene utilizar contraseñas de al menos 15 caracteres en las cuentas más importantes.
Por ejemplo, las herramientas automáticas descubren en poco tiempo una contraseña de ocho caracteres con símbolos. En cambio, una frase de cuatro o cinco palabras resiste mucho más tiempo y es más fácil de recordar.
Regla 2: Preferir frases de contraseña
Una frase de contraseña es una secuencia de palabras sin relación evidente entre sí, como «lápiz-ventana-trueno-azul-cometa». Así, combina longitud y facilidad para memorizarla. Sin embargo, las palabras no deben formar una expresión conocida, como un refrán, una cita o la letra de una canción.
Regla 3: Una contraseña diferente para cada servicio
La reutilización es uno de los mayores riesgos. Cuando un servicio sufre una fuga de datos, los atacantes prueban las mismas credenciales en otros sitios web, con una técnica conocida como credential stuffing. Por eso, cada cuenta debe tener su propia contraseña de acceso, sobre todo el correo electrónico, las plataformas empresariales y los servicios bancarios.
Regla 4: Evitar la información personal y los patrones predecibles
Los nombres de familiares, las fechas de nacimiento, los equipos de fútbol o el nombre de la empresa son opciones fáciles de adivinar. Del mismo modo, patrones como «Empresa2026!» o las secuencias del teclado están entre las primeras combinaciones que prueban los atacantes. Además, sustituir letras por símbolos, como en «P@ssw0rd», ya no añade una protección real, porque las herramientas de ataque conocen estas transformaciones.
Regla 5: Utilizar un gestor de contraseñas
Nadie puede memorizar decenas de contraseñas largas y diferentes. Por eso, un gestor de contraseñas es hoy la herramienta más práctica. El gestor crea contraseñas aleatorias, las guarda cifradas y las rellena automáticamente en los sitios correctos. Así, el usuario solo necesita memorizar una frase de contraseña robusta para abrir la bóveda.
Además, muchos gestores avisan cuando una contraseña aparece en una fuga de datos conocida o cuando se está reutilizando. De este modo, el usuario sabe exactamente qué cuentas debe corregir.
Regla 6: Activar la autenticación multifactor
Incluso la mejor contraseña puede caer en manos de un atacante mediante phishing o malware. Por eso, la autenticación multifactor añade una segunda verificación, como un código en una aplicación o una llave de seguridad. Siempre que sea posible, conviene preferir aplicaciones de autenticación o llaves FIDO2 en lugar de códigos por SMS, que son más vulnerables.
Qué ha cambiado en las recomendaciones
Los expertos han dejado de recomendar algunas prácticas que eran habituales. La siguiente tabla resume los principales cambios:
| Práctica antigua | Recomendación actual |
|---|---|
| Cambiar la contraseña cada 60 o 90 días | Cambiarla solo cuando haya sospecha de que se ha comprometido |
| Reglas rígidas de símbolos y mayúsculas | Priorizar la longitud y las frases de contraseña |
| Preguntas de seguridad | Recuperación mediante un segundo factor verificado |
| Contraseñas cortas y complejas | Contraseñas largas, únicas y guardadas en un gestor |
Así, las reglas resultan más sencillas para los usuarios y, al mismo tiempo, más eficaces frente a los ataques actuales.
Reglas para las empresas
Las organizaciones tienen un papel decisivo en la protección de las credenciales de sus empleados y colaboradores. Por eso, una política de contraseñas moderna debe incluir:
- una longitud mínima adecuada, sin límites máximos cortos;
- la comprobación de las nuevas contraseñas frente a listas de credenciales comprometidas;
- la autenticación multifactor obligatoria en las plataformas críticas;
- un gestor de contraseñas aprobado a disposición de los usuarios;
- cuentas individuales, sin compartir credenciales;
- el bloqueo temporal tras varios intentos fallidos.
Además, las organizaciones deben almacenar las contraseñas en los servidores con funciones hash específicas, como Argon2id o bcrypt, y nunca en texto plano.
Recuperación del acceso sin puntos débiles
De poco sirve una contraseña robusta si la recuperación del acceso es fácil de engañar. Por ejemplo, preguntas de seguridad como «nombre de la primera mascota» tienen respuestas que a menudo aparecen en las redes sociales. Por eso, la recuperación debe depender de un segundo factor ya registrado, como una aplicación de autenticación o un correo electrónico secundario protegido. Además, en las empresas, el soporte técnico debe confirmar la identidad de quien solicita restablecer el acceso antes de modificar cualquier credencial.
Contraseñas en equipos compartidos
En obras, almacenes o recepciones, es habitual que varios trabajadores utilicen el mismo ordenador o tableta. En estos casos, cada persona debe tener su propia cuenta y cerrar siempre la sesión al terminar. Del mismo modo, los navegadores de estos equipos no deben guardar contraseñas. Así, se evita que alguien acceda a una cuenta ajena solo por utilizar el mismo equipo.
Passkeys: El siguiente paso
Las passkeys son una alternativa moderna a las contraseñas. En lugar de escribir una contraseña, el usuario confirma el acceso con la huella dactilar, el reconocimiento facial o el código del propio dispositivo. Como solo funcionan en el sitio legítimo, son resistentes al phishing. Muchos servicios ya las admiten y, poco a poco, llegarán también a las plataformas empresariales. Sin embargo, durante los próximos años, las buenas reglas de contraseñas seguirán siendo necesarias.
Sensibilizar a los usuarios
Las reglas solo funcionan si las personas las comprenden. Por eso, la formación debe ser breve, práctica y centrada en ejemplos reales. Por ejemplo, mostrar cuánto tarda una herramienta automática en descubrir una contraseña corta, en comparación con una frase de contraseña larga, convence más que una lista de prohibiciones. Además, conviene enseñar a instalar y utilizar el gestor de contraseñas el primer día de trabajo.
Del mismo modo, los usuarios deben saber qué hacer cuando sospechan que una contraseña ha quedado expuesta: cambiarla de inmediato, comprobar si la utilizaban en otros servicios e informar al equipo de informática. Así, una situación de riesgo se convierte rápidamente en un incidente controlado. Por último, las campañas periódicas de sensibilización ayudan a mantener el tema presente y a reforzar los buenos hábitos.
Ejemplo práctico: Contraseñas en una plataforma de gestión documental
Imagine una plataforma de gestión documental con cientos de usuarios de empresas contratistas. Muchos utilizan la misma contraseña que en su correo personal y algunos comparten una única cuenta por empresa. Así, cuando una de estas contraseñas aparece en una fuga de datos, la plataforma queda expuesta.
La empresa decide revisar las reglas. En primer lugar, crea cuentas individuales para cada usuario. A continuación, empieza a exigir contraseñas largas y las comprueba frente a listas de credenciales comprometidas. Por último, activa la autenticación multifactor para todos. De este modo, el riesgo de acceso indebido se reduce de forma significativa, sin complicar el trabajo de los contratistas.
Errores comunes al elegir una contraseña segura
El error más frecuente es utilizar la misma contraseña en varios servicios. Otro error es guardar contraseñas en papel junto al ordenador o en una hoja de cálculo sin protección. También es habitual compartir contraseñas por correo electrónico o mensaje con compañeros. Por último, muchos usuarios ignoran los avisos de fugas de datos y siguen utilizando contraseñas ya expuestas.
Lista de comprobación rápida
- ¿La contraseña tiene al menos 15 caracteres?
- ¿Es única y no aparece en otros servicios?
- ¿Está libre de datos personales y patrones predecibles?
- ¿Está guardada en un gestor de contraseñas?
- ¿La cuenta tiene activada la autenticación multifactor?
Preguntas frecuentes
¿Debo cambiar mi contraseña de acceso periódicamente?
Solo cuando haya sospecha de que se ha comprometido. Los cambios obligatorios y frecuentes tienden a generar contraseñas más débiles y predecibles.
¿Son seguros los gestores de contraseñas?
Sí, cuando proceden de proveedores reconocidos y están protegidos con una frase de contraseña robusta y autenticación multifactor. El riesgo de reutilizar contraseñas es mucho mayor.
¿Cómo sé si mi contraseña ha quedado expuesta?
Existen servicios que comprueban si una dirección de correo electrónico aparece en fugas de datos conocidas. Además, muchos navegadores y gestores de contraseñas realizan esta comprobación automáticamente.
¿Basta con una contraseña larga sin autenticación multifactor?
No. Una contraseña larga resiste los ataques de adivinación, pero no protege contra el phishing ni el malware. Por eso, la autenticación multifactor debe estar siempre activada en las cuentas importantes.
Conclusión: Una contraseña segura y fácil de gestionar
Una contraseña segura es larga, única y está guardada en un gestor de contraseñas. Combinada con la autenticación multifactor, ofrece una protección muy superior a las antiguas reglas de complejidad y cambio periódico. Así, las personas y las empresas pueden proteger mejor sus cuentas, incluidas las plataformas de gestión documental, sin que la seguridad sea una carga en el día a día.
Lea también: Qué es el IAM y para qué sirve y Permisos de acceso en plataformas de gestión documental.
Para más recomendaciones de ciberseguridad, consulte el Centro Nacional de Ciberseguridad de Portugal (CNCS).