Cómo crear contraseñas seguras: guía práctica 2026

Una contraseña segura es larga, aleatoria y exclusiva de una sola cuenta. Si cumple esas tres condiciones y la combinas con un segundo factor de verificación, cerrar la puerta a la mayoría de accesos no autorizados deja de ser complicado.

El problema es que casi nadie tiene tiempo de inventar y memorizar decenas de claves distintas. Por eso terminamos usando la misma con pequeñas variaciones, o una fecha que nos resulta fácil de recordar. En esta guía verás qué hace realmente fuerte a una contraseña, dos métodos sencillos para crearla, los errores que conviene evitar y un plan de acción para revisar tus cuentas en una tarde, empezando por las que más importan.

Por qué una contraseña débil es un riesgo real

Cuando alguien entra en una de tus cuentas no solo ve lo que hay dentro: puede usarla como punto de partida para llegar a las demás. Los riesgos más habituales son el robo de identidad, compras con tus métodos de pago guardados y el envío de estafas a tus contactos en tu nombre.

El correo electrónico es la llave maestra

Tu correo recibe los enlaces de «restablecer contraseña» de casi todos tus servicios. Quien controla tu bandeja de entrada puede pedir claves nuevas para tu banco, tus redes sociales o tu tienda online y aprobarlas él mismo. Por eso el correo es la primera cuenta que debes blindar, antes incluso que la banca.

Cómo se aprovechan las claves reutilizadas

Cada cierto tiempo algún servicio sufre una filtración y millones de combinaciones de correo y contraseña acaban circulando. Los atacantes prueban esas combinaciones de forma automática en otras webs, una técnica conocida como credential stuffing o relleno de credenciales. Si usaste la misma clave en una tienda que fue hackeada y en tu correo, el atacante no necesita adivinar nada: ya la tiene.

Variar un poco la clave (de Lima2024 a Lima2025!) apenas ayuda. Los programas de ataque prueban justamente esas variaciones previsibles.

Las tres reglas de una contraseña segura

Una clave fuerte se reconoce por tres rasgos que se refuerzan entre sí. Si falla uno, los otros dos pierden buena parte de su valor.

1. Longitud: al menos 16 caracteres

La longitud es el factor que más dificulta los ataques automatizados, porque cada carácter extra multiplica las combinaciones posibles. Apunta a un mínimo de 16 caracteres cuando el servicio lo permita y a más en el correo y el gestor de contraseñas. Si una web limita la longitud máxima, usa el máximo que acepte.

2. Aleatoriedad: nada que se pueda deducir

Una clave aleatoria no contiene palabras de diccionario, nombres, fechas ni secuencias. Lo importante no es que tenga un símbolo, sino que nadie pueda predecirla. Por eso cambiar letras por símbolos parecidos (a por @, o por 0) no la vuelve segura: esas sustituciones están incluidas en cualquier herramienta de ataque.

3. Unicidad: una clave distinta para cada cuenta

Esta es la regla que más se incumple y la que más protege. Si cada cuenta tiene su propia clave, una filtración queda contenida en ese servicio y no se convierte en una cadena de accesos.

Una aclaración útil: no hace falta cambiar una contraseña fuerte cada pocos meses si no hay señales de que se haya filtrado. Las directrices actuales del NIST (el instituto de estándares de EE. UU.) desaconsejan forzar cambios periódicos, porque suelen empujar a crear variaciones débiles. Cámbiala cuando haya un motivo: una brecha confirmada, un aviso de inicio de sesión extraño o si la compartiste.

Dos formas prácticas de crear una contraseña fuerte

Hay dos caminos fiables, y lo ideal es usar ambos: el generador para casi todas tus cuentas y una frase de contraseña para las pocas claves que necesitas recordar de memoria.

Método 1: dejar que un generador la cree

Los gestores de contraseñas y los navegadores modernos incluyen un generador que crea claves totalmente aleatorias. El resultado se parece a esto: t7#Qm2vL!xR9pWz4&Kd. No tienes que memorizarla, porque el gestor la guarda y la rellena por ti.

Configura el generador con 16 a 20 caracteres o más y activa letras, números y símbolos. Si un servicio rechaza ciertos símbolos, desactívalos y sube la longitud para compensar.

Método 2: una frase de contraseña aleatoria

Para las claves que debes escribir de memoria (la del gestor, la del ordenador o la del correo), una frase de varias palabras sin relación entre sí es más fácil de recordar y sigue siendo larga. Por ejemplo: cactus-tranvía-lúpulo-arenque-violeta.

La clave está en que las palabras sean realmente aleatorias. Una cita famosa, el estribillo de una canción o una frase sobre tu vida («mi perro Toby nació en 2019») son previsibles. Elige al menos cinco palabras, idealmente con dados o con el generador de frases de tu gestor, y separa cada una con un guion o un número.

¿Cuál conviene en cada caso?

Situación	Método recomendado	Por qué
Redes sociales, tiendas, suscripciones	Generador	No necesitas recordarla; el gestor la autocompleta
Banca y servicios financieros	Generador + MFA	Máxima aleatoriedad y una segunda barrera
Contraseña maestra del gestor	Frase de 5 o más palabras	Debes escribirla de memoria en varios dispositivos
Inicio de sesión del ordenador o móvil	Frase o PIN largo	Se teclea a menudo y sin gestor disponible
Correo principal	Generador o frase larga + MFA	Es la puerta de recuperación de todo lo demás

Errores comunes que debilitan tus contraseñas

La mayoría de claves débiles no nacen del descuido, sino de intentar que sean fáciles de recordar. Estos son los fallos más frecuentes y cómo corregirlos.

Error	Ejemplo	Qué hacer en su lugar
Usar datos personales	`Valeria1990`, nombre de la mascota, DNI	Nada que aparezca en tus redes, documentos o perfil público
Secuencias y patrones de teclado	`123456`, `abcd`, `qwerty`, `qazwsx`	Caracteres generados al azar
Variar una clave antigua	`Clave2025` → `Clave2026`	Una clave nueva e independiente
Sustituciones obvias	`P@ssw0rd`	Aleatoriedad real, no disfraces
Reutilizar en varias webs	La misma clave en el correo y en una tienda	Una clave única por cuenta, guardada en un gestor
Guardar claves en notas sin cifrar	Un archivo «contraseñas.txt» o una foto	Un gestor con bóveda cifrada

Si prefieres anotar tus claves en papel, no es la peor opción siempre que el cuaderno no salga de casa y lo guardes como guardarías dinero en efectivo. Lo que nunca conviene es enviarlas por chat o correo, ni a ti mismo.

Otro error menos visible es introducir la contraseña en una página a la que llegaste desde un enlace de correo o SMS. Aunque la clave sea perfecta, si la escribes en una web falsa (phishing) se la entregas al atacante. Entra siempre escribiendo tú la dirección o desde la app oficial.

Herramientas que hacen el trabajo por ti

Cumplir las tres reglas en decenas de cuentas solo es realista con ayuda. Un gestor de contraseñas resuelve la parte de crear y recordar; la verificación en dos pasos y las llaves de paso protegen incluso si una clave se escapa.

Gestor de contraseñas: qué es y cómo elegirlo

Un gestor es una bóveda cifrada donde se guardan todas tus claves. Tú solo recuerdas una, la contraseña maestra, y el gestor genera, almacena y autocompleta el resto. Muchos además avisan de claves repetidas, débiles o aparecidas en filtraciones conocidas.

Al elegir uno, fíjate en estos puntos:

Cifrado de extremo a extremo, de forma que el proveedor no pueda leer tu bóveda.
Auditorías de seguridad independientes publicadas por el proveedor.
Apps actualizadas para todos tus dispositivos y sincronización fiable entre ellos.
Opción de recuperación clara, porque si pierdes la contraseña maestra muchos gestores no pueden recuperarla.

Los gestores integrados en Google Chrome, Apple (app Contraseñas) o Microsoft Edge son una opción razonable para empezar si usas siempre el mismo ecosistema. Los gestores independientes resultan más cómodos si combinas, por ejemplo, un móvil Android con un ordenador Mac.

Protege el gestor como la cuenta más valiosa que tienes: frase de contraseña larga y única, y verificación en dos pasos activada.

Autenticación multifactor (MFA)

La MFA añade una segunda comprobación además de la contraseña. Si alguien consigue tu clave, sigue necesitando ese segundo factor para entrar. Actívala primero en el correo, la banca, el gestor de contraseñas y las cuentas del trabajo.

Método	Nivel de protección	Ventajas	Limitaciones
Llave de seguridad física	Muy alto	Resiste el phishing; no depende del móvil	Hay que comprarla y conviene tener una de repuesto
App de autenticación	Alto	Gratis; funciona sin cobertura	Si cambias de móvil debes migrar las cuentas
Notificación de aprobación en el móvil	Alto, con cuidado	Muy cómoda	Riesgo de aprobar por error una solicitud falsa
Código por SMS	Medio	Fácil de configurar	Vulnerable al duplicado de SIM y a la interceptación
Códigos de respaldo	Solo para emergencias	Permiten entrar si pierdes el móvil	Hay que guardarlos fuera del dispositivo

Un SMS es mucho mejor que nada, pero si el servicio ofrece app o llave, elígelas. Y una regla sin excepciones: nunca compartas un código ni apruebes una solicitud de inicio de sesión que no hayas iniciado tú, aunque quien te lo pida diga ser del banco.

Llaves de acceso (passkeys): el siguiente paso

Las llaves de acceso sustituyen la contraseña por una verificación con tu huella, tu rostro o el PIN del dispositivo. Google, Apple y Microsoft las admiten, y cada vez más webs las ofrecen. Su gran ventaja es que están vinculadas al sitio legítimo, así que una página falsa no puede usarlas: resisten el phishing por diseño.

Si un servicio que usas te ofrece crear una llave de acceso, acéptala. Mientras tanto, mantén una contraseña fuerte como respaldo en las cuentas que aún la requieran.

Plan de acción: protege tus cuentas en una tarde

No hace falta cambiarlo todo de golpe. Empieza por las cuentas que dan acceso a las demás y avanza por orden de importancia.

Instala o activa un gestor de contraseñas y crea una frase de contraseña maestra de cinco palabras o más.
Asegura tu correo principal: clave nueva generada, MFA activada y teléfono y correo de recuperación actualizados.
Sigue con la banca, billeteras digitales y tiendas con tarjeta guardada, con clave única y MFA en cada una.
Revisa el informe de seguridad del gestor para localizar claves repetidas, débiles o filtradas, y cámbialas de la más sensible a la menos.
Guarda los códigos de respaldo de MFA en el gestor o impresos en un lugar seguro.
Crea llaves de acceso en los servicios que ya las ofrezcan.
Cambia el resto poco a poco: cada vez que inicies sesión en una cuenta antigua, sustituye su clave por una generada.

Qué hacer si olvidas tu contraseña o sospechas un acceso

Si solo la olvidaste, usa el proceso de recuperación oficial del servicio, entrando desde su app o escribiendo tú la dirección web. Nunca lo hagas desde un enlace recibido por correo o SMS que no hayas solicitado.

Si sospechas que alguien entró en tu cuenta o recibes un aviso de filtración, actúa en este orden:

Cambia la contraseña afectada desde un dispositivo de confianza.
Cierra todas las sesiones abiertas y revisa los dispositivos conectados.
Comprueba que no haya cambios ocultos: reglas de reenvío en el correo, correo o teléfono de recuperación modificados, mensajes enviados que no reconoces o métodos de pago nuevos.
Activa la MFA si aún no la tenías.
Cambia esa misma clave en cualquier otro servicio donde la hubieras reutilizado, empezando por el correo y las finanzas.
Si no logras recuperar el acceso con el proceso automático, contacta con el soporte oficial del servicio, y con tu banco si hay movimientos sospechosos.

Para comprobar si tu correo aparece en filtraciones conocidas, puedes usar el servicio gratuito Have I Been Pwned o la función de revisión de contraseñas de tu navegador o gestor.

LO MAS RECIENTE:

Cómo crear contraseñas seguras y proteger tus cuentas