Por qué una contraseña larga vence a una complicada
Las reglas de mayúsculas, números y símbolos vienen de una recomendación que su propio autor retiró. Lo que de verdad importa es otra cosa, y es más fácil de recordar.
P@ssw0rd! cumple todos los requisitos: mayúscula, minúscula, número, símbolo, ocho caracteres. Cualquier formulario la acepta como “contraseña segura”.
Es una de las peores contraseñas que existen. Aparece en las primeras posiciones de cualquier diccionario de ataque, porque las sustituciones obvias —a por @, o por 0, s por $— llevan décadas siendo lo primero que se prueba.
Mientras tanto, caballo grapa batería correcta no cumple ningún requisito y es astronómicamente más resistente.
De dónde salieron esas reglas
En 2003, Bill Burr escribió para el instituto de estándares estadounidense un documento con las recomendaciones que todos conocemos: mezcla tipos de caracteres y cámbiala cada noventa días.
En 2017, ya jubilado, dijo públicamente que se había equivocado. Ese mismo año el instituto reescribió sus recomendaciones y eliminó tanto la obligación de mezclar caracteres como el cambio periódico.
El motivo no fue teórico. Fue observar qué hace la gente de verdad con esas reglas:
- Ponen la mayúscula en la primera letra
- Ponen el número al final, y suele ser
1o el año - Ponen el símbolo detrás, y suele ser
! - Al forzar el cambio, pasan de
Verano2024!aVerano2025!
Las reglas no aumentaron la variedad real. Solo empujaron a todo el mundo hacia el mismo patrón predecible, que es exactamente lo que un atacante aprovecha.
Qué mide la resistencia de verdad
El concepto es la entropía: cuántas combinaciones tendría que probar alguien que no sabe nada de tu contraseña.
Depende de dos cosas: cuántos símbolos distintos puedes usar y cuántas posiciones tiene. Y la longitud pesa mucho más, porque entra como exponente.
| Contraseña | Longitud | Resistencia |
|---|---|---|
P@ssw0rd! |
9 | Está en los diccionarios: minutos |
Tr0ub4dor&3 |
11 | Patrón conocido: horas o días |
mi perro se llama Tomás |
23 | Enorme |
xk29fjqlm |
9 | Alta, pero imposible de recordar |
Añadir un símbolo raro multiplica las combinaciones por unas pocas decenas. Añadir cuatro caracteres más las multiplica por millones. Por eso la longitud gana siempre.
Con una salvedad importante: la longitud solo vale si el contenido es impredecible. contraseñacontraseñacontraseña es larga y no sirve de nada.
Frases, no palabras
La solución práctica es usar varias palabras al azar. Cuatro o cinco palabras corrientes elegidas sin criterio dan una contraseña más resistente que casi cualquier cosa de doce caracteres con símbolos, y encima se puede recordar.
Dos condiciones:
Al azar de verdad. No una frase de una canción, ni un refrán, ni el título de una película. Los diccionarios de ataque incluyen frases hechas y letras de canciones. La aleatoriedad es lo que hace que funcione.
Independientes entre sí. perro gato hámster canario es peor de lo que parece, porque son todas de la misma categoría y eso reduce el espacio de búsqueda.
El problema real no es esto
Aquí hay algo incómodo: para las cuentas importantes, la fuerza de tu contraseña casi nunca es lo que falla.
Los servicios serios limitan los intentos: tras unos cuantos fallos, bloquean. Nadie va a probar millones de combinaciones contra el formulario de tu banco.
Lo que ocurre en la práctica es otra cosa:
Filtraciones. Alguien entra en un servicio cualquiera y se lleva la base de datos. Si tu contraseña estaba ahí, su complejidad da igual: ya la tienen.
Reutilización. Y esto es lo grave. Con esa contraseña filtrada, prueban tu correo y esa misma clave en cincuenta servicios más. Si la repetiste, entran en todos. Se llama credential stuffing y es hoy la vía de acceso más común con diferencia.
Phishing. Te la entregas tú mismo en una página que imita a la real. La contraseña más fuerte del mundo escrita en el sitio equivocado vale cero.
Contra estos tres, la complejidad de la contraseña no ayuda casi nada.
Lo que sí funciona
Una contraseña distinta por servicio. Es la medida que más rinde, con diferencia. Convierte una filtración en un problema aislado en vez de en una cascada.
Es imposible de hacer a mano, y de ahí lo siguiente.
Un gestor de contraseñas. Genera claves largas y aleatorias, las guarda cifradas y las rellena solo en el dominio correcto. Ese último detalle es una defensa real contra el phishing: si estás en mibanco-seguro.com, el gestor no ofrece nada, y esa ausencia es una señal.
Tú recuerdas una sola contraseña maestra, que debe ser larga y única.
Con un gestor, además, todo el debate sobre qué contraseña es memorable desaparece: no tienes que recordar ninguna.
Verificación en dos pasos. Es lo segundo que más rinde. Aunque tengan tu contraseña, les falta el segundo factor.
No todos valen lo mismo. Una llave física o una aplicación de códigos son sólidas. El SMS es el más débil —el número se puede secuestrar convenciendo a la operadora de portarlo— pero sigue siendo muchísimo mejor que nada. Si tu banco solo ofrece SMS, actívalo igual.
Cuándo cambiarlas
Ya no hace falta cambiarlas cada tres meses. Esa práctica solo lograba que la gente hiciera variaciones triviales de la anterior.
Cámbiala cuando haya un motivo:
- El servicio anuncia una filtración
- Sospechas que alguien pudo verla
- La usaste en un ordenador que no controlas
- Aparece en un aviso de credenciales filtradas
Los navegadores modernos avisan si una contraseña guardada aparece en una filtración conocida. Merece la pena tenerlo activado.
El resumen
Larga vence a complicada. Distinta en cada sitio vence a las dos.
Si vas a hacer una sola cosa después de leer esto, que sea instalar un gestor de contraseñas y cambiar la clave de tu correo por una larga y única. El correo es la cuenta maestra: quien lo controla puede restablecer la contraseña de casi todo lo demás.
Por ahí se empieza.