Contraseñas seguras en 2026: Una lista de verificación breve para personas reales
Longitud vs. complejidad, gestores de contraseñas, MFA y cómo evaluar la fortaleza sin enviar secretos a un servidor.
Las reglas de contraseñas como "una mayúscula, un símbolo" tenían sentido cuando los atacantes probaban unos pocos miles de combinaciones. Hoy en día, el credential stuffing (reutilización de pares de correo/contraseña filtrados) y el descifrado offline de hashes dominan el panorama. Las recomendaciones modernas favorecen secretos largos y únicos y un segundo factor—no contraseñas cortas y "ingeniosas".
La longitud supera a lo "inteligente"
Una frase de contraseña aleatoria de cuatro palabras con un separador (estilo correct-horse-battery-staple, pero elegidas al azar) o una contraseña de más de 20 caracteres generada automáticamente es más difícil de descifrar que P@ssw0rd!1, que aparece en todas las listas de brechas de seguridad.
La mejor contraseña es aquella que nunca reutilizas y nunca necesitas memorizar en docenas de sitios—usa un gestor de contraseñas.
Gestores de contraseñas
- Generan contraseñas únicas para cada sitio.
- Almacenan semillas TOTP o passkeys donde sea compatible.
- Protegen la bóveda con una contraseña maestra robusta y la seguridad del dispositivo.
Autenticación multifactor (MFA)
Los códigos por SMS son mejores que nada, pero son vulnerables al SIM swap. Para cuentas de alto valor (correo electrónico, banco, registrador de dominio, administración en la nube), prefiere aplicaciones de autenticación o llaves físicas (WebAuthn/FIDO2).
Evaluar la fortaleza de forma local
Los "medidores de fortaleza" que suben tu contraseña a un servidor no son una opción viable. Usa herramientas que funcionen completamente en tu navegador y que nunca transmitan el secreto.
Nuestro Generador de Contraseñas crea cadenas aleatorias que puedes ajustar según la longitud y el conjunto de caracteres, y el Comprobador de Fortaleza de Contraseñas evalúa señales basadas en entropía del lado del cliente, para que tu contraseña candidata permanezca privada.
Para desarrolladores que almacenan contraseñas: nunca uses texto plano. Utiliza hashes lentos (Argon2, scrypt o bcrypt) con sales por usuario. El Generador de Hash es útil para sumas de verificación y conceptos de HMAC, no para el almacenamiento de contraseñas en producción—usa en su lugar las bibliotecas especializadas de tu stack.
Lo que los usuarios realmente deberían hacer
- Activa el MFA para tus cuentas de correo electrónico y financieras.
- Usa un gestor de contraseñas; deja que genere contraseñas de más de 20 caracteres.
- Revoca el acceso cuando empleados o colaboradores externos se vayan; rota los secretos que se hayan compartido por chat.
- Presta atención a las notificaciones de brechas y cambia únicamente las contraseñas afectadas (o confía en la unicidad que ofrece el gestor).
Los buenos hábitos escalan mejor que la memoria perfecta—y combinan muy bien con las herramientas gratuitas mencionadas cuando necesitas ayuda rápida y sin conexión.