Cómo crear contraseñas seguras que puedas recordar

Durante años nos enseñaron mal. Nos dijeron que una buena contraseña era algo como P3rr0$2019!: corta, con símbolos, imposible de recordar. Resultado: la gente usa la misma en todas partes y le añade un número al final cuando la obligan a cambiarla.

La realidad es la contraria de lo que parece: la longitud protege mucho más que la complicación.

Por qué la longitud gana

Un programa que intenta adivinar contraseñas prueba millones de combinaciones por segundo. Cada carácter que añades multiplica el trabajo necesario.

Cambiar una letra por un símbolo parecido —una a por una @, una o por un cero— no engaña a nadie: esas sustituciones son las primeras que prueban los programas, precisamente porque todo el mundo las usa.

En cambio, cuatro palabras corrientes seguidas forman una contraseña larga, muy difícil de adivinar y fácil de recordar. Algo como caballo ventana lunes azúcar es más segura que P3rr0$2019! y no hace falta apuntarla en un papel.

La condición es que las palabras sean aleatorias entre sí, no una frase con sentido. "Mi perro se llama Toby" es una frase predecible; palabras sin relación no lo son.

El método de las cuatro palabras

1. Elige cuatro palabras sin ninguna relación entre ellas. Ábrelas al azar, mira alrededor de la habitación, lo que sea, pero que no formen una frase.
2. Únelas con espacios, guiones o directamente pegadas.
3. Añade algo tuyo si el sitio exige mayúsculas o números: una mayúscula al principio y dos dígitos que no sean un año de tu vida.
4. Y visualízalas juntas. Una imagen mental absurda —un caballo comiendo azúcar en una ventana un lunes— se recuerda sin esfuerzo.

Con eso tienes una contraseña de más de veinte caracteres que puedes teclear de memoria.

Lo que de verdad importa: no repetir

Aquí está el punto crítico, más importante incluso que la calidad de la contraseña.

Las filtraciones de datos ocurren constantemente. Cuando un servicio cualquiera sufre una, las contraseñas de sus usuarios acaban en listas que circulan. Y lo primero que hace quien las tiene es probarlas en el correo, en la banca y en las redes sociales de esas mismas personas.

Por eso una contraseña excelente repetida en diez sitios es más peligrosa que diez contraseñas mediocres distintas. Basta con que el sitio más descuidado de los diez sea vulnerado.

Si solo vas a cambiar una cosa después de leer esto, que sea dejar de repetir la del correo.

El correo es la llave maestra

Merece su propio apartado. Quien entra en tu correo puede pedir el restablecer contraseña de casi cualquier otro servicio y recibir el enlace ahí.

Eso significa que tu cuenta de correo necesita:

• La contraseña más larga y más única que tengas.
• Verificación en dos pasos activada, sin excepción.
• Un teléfono y un correo de recuperación actualizados.

Si tienes que ordenar las prioridades, esta es la primera.

Usa un gestor de contraseñas

Es la solución real al problema de tener cincuenta contraseñas distintas. Un gestor las guarda cifradas y las rellena por ti; tú solo recuerdas una, la de entrada al gestor, que sí conviene crear con el método de las cuatro palabras.

Las dudas habituales:

¿No es peligroso tener todo junto? Menos que la alternativa real, que es repetir la misma contraseña en todas partes o apuntarlas en un archivo sin cifrar.

¿Y si me olvido de la principal? Por eso se elige con el método de palabras y se apunta en papel, guardada en casa, una sola vez.

¿Y si desaparece el servicio? Todos permiten exportar tus datos. Hazlo una vez al año.

También sirve el gestor que ya trae tu teléfono o tu navegador. No es lo más completo, pero es infinitamente mejor que repetir contraseñas.

Qué NO usar nunca

• Datos tuyos públicos: nombre, apellidos, fecha de nacimiento, nombre de hijos o mascotas, equipo favorito. Todo eso está en tus redes.
• Secuencias del teclado: qwerty, 123456, asdfgh.
• La misma contraseña con un número al final que cambias cada vez. Es el patrón más previsible que existe.
• Palabras solas, por raras que sean.
• Contraseñas enviadas por mensaje o correo. Si alguna vez has mandado una así, cámbiala.

Sobre cambiarlas cada tres meses

Ya no se recomienda. Obligar a cambios frecuentes lleva a que la gente use variaciones mínimas y previsibles, así que empeora la seguridad.

Cambia una contraseña cuando haya un motivo: una filtración del servicio, una sospecha de acceso, o si la compartiste con alguien. Si no, una contraseña larga y única aguanta perfectamente.

Y comprueba de vez en cuando si tu correo aparece en alguna filtración conocida: hay servicios gratuitos y reconocidos que lo hacen con solo escribir tu dirección.