LecturaFrases de paso y gestores de contraseñas
Nadie memoriza cincuenta contraseñas distintas, y quien dice que lo hace las está repitiendo con variaciones (Gato2023, Gato2024, Gato2024!). La salida práctica es memorizar una o dos muy buenas y dejar que un gestor recuerde el resto.
Longitud antes que complejidad
Durante años las empresas exigieron ocho caracteres con mayúscula, número y símbolo, y cambio cada 90 días. Lo que salió de ahí fue Verano2024!: difícil de recordar para una persona y fácil de adivinar para un programa que prueba patrones comunes. La guía NIST SP 800-63B, del instituto de normas de Estados Unidos, cambió el enfoque: prioriza la longitud, desaconseja las reglas de composición y los cambios periódicos obligatorios, y pide revisar las contraseñas contra listas de filtraciones.
Una frase de paso es una secuencia de cuatro a seis palabras al azar:
pupusa-volcan-tiza-marimba-lluviaEs larga, se escribe rápido y es muy difícil de adivinar, siempre que las palabras salgan al azar y no formen un refrán ni una línea de canción. Esa en particular ya es pública: no la use. Genere la suya con el generador del gestor o con diceware, que consiste en tirar cinco dados por palabra y buscar el número en una lista numerada.
Deje fuera a los hijos, la mascota, la fecha de la boda, la cédula y el equipo de fútbol. Todo eso está en su Facebook.
Qué hace un gestor
Un gestor guarda sus contraseñas en una bóveda cifrada, ilegible sin la clave. La bóveda se abre con una contraseña maestra, la única que usted memoriza. A partir de ahí, el gestor genera una contraseña aleatoria distinta para cada sitio y la sincroniza entre computadora y teléfono.
Tiene además un efecto que poca gente aprovecha: solo rellena la contraseña en el dominio donde la guardó. Si un día entra a lo que parece su banco y el gestor no ofrece rellenar nada, esa ausencia es la alarma.
Dos opciones abiertas y reconocidas
| Aspecto | Bitwarden | KeePassXC |
|---|---|---|
| Dónde vive la bóveda | En la nube del proveedor, cifrada en su dispositivo antes de subir | En un archivo .kdbx que usted guarda |
| Sincronización | Automática entre dispositivos | Manual, copiando el archivo |
| Teléfono | Aplicación oficial | Aplicaciones compatibles de terceros |
| Si pierde el equipo | Entra desde otro dispositivo | Necesita una copia del archivo |
| Costo | Plan gratuito suficiente para uso personal | Gratuito |
Las dos son de código abierto. Si usa computadora y teléfono y no quiere pensar en copias, yo recomendaría Bitwarden. KeePassXC (KeePass Cross-platform Community) es para quien prefiere tener el archivo en la mano y acepta encargarse de copiarlo.
Los gestores integrados en Chrome, Edge o Safari son mucho mejores que repetir contraseñas. Dan menos control sobre la contraseña maestra y la exportación, pero si es lo único que va a usar, úselo.
Dónde no guardar contraseñas
En un Excel llamado claves.xlsx en el escritorio, en las notas del teléfono, en el chat de WhatsApp con usted mismo o en capturas de pantalla, que se sincronizan solas con la galería en la nube. Cuando a alguien le roban el correo, esos son los primeros lugares donde el atacante busca más contraseñas.