Cómo generar una contraseña segura paso a paso
Usas la misma contraseña en doce servicios. Tu contraseña «segura» es el nombre de tu perro más tu año de nacimiento. La tienes apuntada en una nota del móvil. Si te reconoces en alguna de estas frases, este tutorial es para ti: no para asustarte, sino para darte un sistema que funcione.
Aprenderás por qué la longitud importa más que los símbolos raros, cómo generar contraseñas que ni un superordenador puede adivinar, por qué necesitas un gestor de contraseñas y qué hacer cuando una contraseña se filtra. Sin tecnicismos innecesarios: solo lo que funciona.
Por qué la longitud importa más que los símbolos
La seguridad de una contraseña se mide en entropía: cuántas combinaciones debe probar un atacante para acertar. Una contraseña de 8 caracteres con letras y números tiene unos 47 billones de combinaciones: suena mucho, pero un equipo moderno las prueba en horas. Una de 16 caracteres tiene 47 billones elevado al cuadrado: impracticable.
La lección: la longitud vence a la complejidad. «trompeta-mesa-42-nube-sol» —cinco palabras aleatorias— es mucho más segura que «P@ssw0rd!» y además se puede dictar por teléfono. Cada palabra añade unos 13 bits de entropía; cinco palabras rondan los 65 bits, suficiente contra cualquier ataque realista.
El enemigo real no es el hacker de película probando combinaciones: son las filtraciones masivas. Cuando un servicio es hackeado, los atacantes obtienen millones de hashes y prueban diccionarios automáticamente. Las contraseñas comunes —«123456», «qwerty», nombres propios— caen en segundos. La unicidad —una contraseña distinta por servicio— es lo que te salva cuando otro servicio es el hackeado.
El método en 3 pasos: genera, no reutilices, guarda
Paso 1: genera, no inventes. El cerebro humano es pésimo generando aleatoriedad: tus «contraseñas inventadas» siguen patrones predecibles. Usa un generador que produzca cadenas realmente aleatorias de al menos 16 caracteres, mezclando mayúsculas, minúsculas, números y símbolos.
Paso 2: una por servicio, sin excepciones. La reutilización es el fallo más grave: si usas la misma clave en tu email y en un foro que luego es hackeado, el atacante probará esa combinación en tu email automáticamente —es el ataque llamado «credential stuffing» y es automatizado y masivo—.
Paso 3: guárdala en un gestor en el momento de crearla. Generar una contraseña de 20 caracteres para luego apuntarla en un post-it anula su seguridad. El gestor la almacena cifrada y la autocompleta cuando la necesitas: la fricción desaparece y la seguridad se mantiene. Este tercer paso es el que convierte el sistema en sostenible.
El gestor de contraseñas: tu caja fuerte digital
Un gestor de contraseñas es una caja fuerte digital: guarda todas tus contraseñas cifradas bajo una única contraseña maestra que sí debes memorizar. Las opciones consolidadas —Bitwarden (gratuito y de código abierto), 1Password, o los integrados en tu sistema— funcionan en móvil, ordenador y navegador con sincronización.
La contraseña maestra merece un tratamiento especial: debe ser larga —una frase de 5-6 palabras aleatorias—, única y memorizada de verdad, porque es la llave de todo. Escríbela en papel y guárdala en un lugar físico seguro como respaldo: es la única contraseña que existe fuera del gestor.
El flujo diario con gestor es simple: cuando te registras en un servicio, el gestor genera la contraseña, la guarda y la rellena al iniciar sesión. Tú no ves ni memorizas nada. Migrar tus cuentas actuales lleva una tarde: empieza por las críticas —email, banco, redes sociales—, cambia sus contraseñas por generadas y sigue con el resto cuando puedas. No tiene que ser todo hoy.
El doble factor: la segunda cerradura
El doble factor de autenticación (2FA) añade una segunda prueba además de la contraseña: algo que tienes —tu móvil— o algo que eres —tu huella—. Aunque alguien robe tu contraseña, no podrá entrar sin ese segundo factor. Es la mejora de seguridad más rentable que existe después del gestor.
Actívalo al menos en tres sitios: tu email —la llave maestra con la que se recuperan todas las demás cuentas—, tu banco y tus redes sociales. Usa una app de autenticación (Google Authenticator, Authy) en lugar de SMS cuando sea posible: los SMS pueden interceptarse con técnicas de duplicado de SIM.
Guarda los códigos de recuperación que te da cada servicio al activar el 2FA —imprímelos y guárdalos con tu contraseña maestra—. Si pierdes el móvil sin esos códigos, recuperar tus cuentas será un calvario. El 2FA sin respaldo es una trampa: protégelo igual que proteges la contraseña maestra.
Si tu contraseña se filtra: protocolo de emergencia
Tarde o temprano, alguna de tus contraseñas aparecerá en una filtración: es estadística, no mala suerte. El protocolo es claro. Primero: cambia la contraseña en el servicio afectado inmediatamente, y también en cualquier otro donde la hubieras reutilizado —otra razón para no reutilizar—.
Segundo: revisa la actividad reciente de la cuenta buscando accesos o cambios que no reconozcas. Tercero: activa el doble factor si no lo tenías: es el momento perfecto. Los gestores modernos avisan automáticamente cuando una de tus credenciales aparece en filtraciones conocidas.
Y una nota para desarrolladores: si manejas credenciales o configuraciones que viajan entre sistemas en distintos formatos, el conversor gratuito de JSON a XML (usatotem.com/herramientas-desarrollador/json-a-xml/) te ayuda a transformar esos datos sin errores manuales. Pero recuerda la regla de oro: las contraseñas nunca viajan ni se almacenan en texto plano, estén en JSON, XML o cualquier otro formato.
Herramientas gratuitas mencionadas
JSON a XML
Convierte objetos JSON a XML definiendo el nombre del elemento raíz.
Usar gratisFormateador JSON
Pega tu JSON y fórmatalo con la sangría que elijas (2, 4 espacios o tabulador).
Usar gratisValidador JSON
Comprueba si tu texto es un JSON válido y descubre su tipo y estructura.
Usar gratisPreguntas frecuentes
¿Cuántos caracteres debe tener una contraseña segura?
Como mínimo 12, idealmente 16 o más. Cada carácter extra multiplica exponencialmente el coste de un ataque de fuerza bruta: pasar de 8 a 16 caracteres convierte un ataque factible en uno imposible con la tecnología actual.
¿Debo memorizar todas mis contraseñas?
No: los gestores generan y guardan contraseñas aleatorias únicas por servicio, así solo memorizas una contraseña maestra. Es más seguro que cualquier sistema de memorización y elimina la reutilización, el verdadero peligro.
¿El doble factor es realmente necesario?
Sí, y es la mejora de seguridad más rentable después del gestor: aunque alguien robe tu contraseña, no podrá entrar sin el segundo factor. Actívalo al menos en tu email, tu banco y tus redes sociales.
¿Qué hago si mi contraseña aparece en una filtración?
Cámbiala inmediatamente en ese servicio y en todos donde la hayas reutilizado —por eso la unicidad importa—. Revisa si hay actividad sospechosa y activa el doble factor. Los gestores suelen avisar de filtraciones conocidas.
En resumen
Una contraseña segura se resume en tres decisiones: larga (16+ caracteres), única (una por servicio) y guardada en un gestor (nunca en tu memoria ni en un papel). Con esas tres reglas, el 99 % de los ataques por adivinación y filtraciones quedan neutralizados.
Genera hoy mismo tus primeras contraseñas con la herramienta gratuita de Tótem, instálalas en un gestor y activa el doble factor en tus cuentas importantes. Son treinta minutos que protegen años de tu vida digital. Y si trabajas con APIs, el conversor gratuito de JSON a XML te será útil para manejar credenciales y configuraciones entre formatos.