Cómo crear una contraseña segura (y por qué lo aleatorio es mejor que lo inteligente)
La mayoría de los robos de cuentas no implican que un hacker descifre el cifrado con una sudadera con capucha. Ocurren porque alguien reutilizó una contraseña débil y adivinable que ya se había filtrado en una infracción anterior. La buena noticia: una buena higiene de las contraseñas es realmente sencilla una vez que se comprende lo que realmente importa, y la mayoría de los trucos "inteligentes" en los que se basa la gente hacen que las contraseñas sean más débiles, no más fuertes.
La longitud supera a la complejidad
Esta es la regla más importante y está respaldada por investigaciones. La guía moderna del Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST SP 800-63B) enfatiza la extensión sobre la complejidad forzada. Cada carácter adicional multiplica el número de combinaciones que un atacante debe intentar, por lo que una frase de contraseña larga es exponencialmente más difícil de descifrar que una cadena corta de símbolos. Apunta a al menos 16 caracteres. Nuestro generador de contraseñas crea contraseñas aleatorias de más de 16 caracteres con un solo clic.
Latidos aleatorios memorables
Los patrones que inventan los humanos (nombres de mascotas, cumpleaños, movimientos del teclado como "qwerty123", o cambiar "a" por "@") son exactamente lo que los atacantes prueban primero, porque todos los usan. Estos trucos casi no añaden seguridad real. Las cadenas verdaderamente aleatorias tienen una entropía mucho mayor, la medida matemática de la imprevisibilidad. Compruebe la puntuación de cualquier contraseña con nuestro verificador de seguridad de contraseña; verás rápidamente que "P@ssw0rd!" es débil, mientras que una cadena aleatoria de 16 caracteres no se puede descifrar mediante fuerza bruta.
Nunca, nunca reutilices contraseñas
Si utiliza la misma contraseña en todos los sitios, una sola infracción expone todas las cuentas que la comparten. Los atacantes automatizan esto con "relleno de credenciales": tomando pares de correo electrónico/contraseña filtrados y probándolos en todas partes. Puede comprobar si sus propias credenciales han aparecido en una infracción conocida utilizando el servicio gratuito y acreditado Have I Been Pwned. La solución es una contraseña única por sitio.
Usa un administrador de contraseñas
"Una contraseña aleatoria única de 16 caracteres para cada sitio" suena imposible de recordar, y lo es, y ese es el punto. Un administrador de contraseñas las genera y almacena todas, y usted solo memoriza una contraseña maestra segura. También completa las credenciales solo en el sitio original, lo que lo protege silenciosamente del phishing.
Activar la autenticación de dos factores
Incluso una contraseña perfecta puede filtrarse. La autenticación de dos factores (2FA) agrega un segundo paso, idealmente una aplicación de autenticación o una clave de hardware en lugar de SMS, por lo que una contraseña robada por sí sola no es suficiente para ingresar. Habilítela en todos los lugares que la ofrezcan, comenzando con su correo electrónico, que es la clave maestra para restablecer la contraseña.
Para desarrolladores: almacene las contraseñas correctamente
Si crea aplicaciones, nunca almacene contraseñas de texto sin formato y nunca las aplique con algoritmos rápidos como MD5 o SHA-256. Utilice un algoritmo lento y salado creado para el trabajo: bcrypt es el estándar. Vea exactamente cómo funciona con nuestro generador de hash bcrypt y lea más en nuestra guía para elegir el hash correcto. La Hoja de referencia para el almacenamiento de contraseñas de OWASP es la referencia autorizada.
Conclusión
Vaya por mucho tiempo, sea aleatorio, nunca reutilice, almacene todo en un administrador de contraseñas y active 2FA. Esto representa el 99 % de la seguridad de la cuenta personal a cargo, y nada de eso requiere ser un experto en seguridad.
