Cómo elegir una contraseña segura en 2026
Actualizado el 29 de octubre de 2026
Las reglas de contraseñas se escribieron para humanos que teclean ocho caracteres: una mayúscula, un dígito, un símbolo. Los atacantes no adivinan como humanos; prueban miles de millones de combinaciones por segundo contra bases de datos filtradas. Lo que los frena es la longitud y el azar.
Esto es lo que funciona hoy, y lo que hay que dejar de hacer.
La longitud gana a la complejidad
Cada carácter extra multiplica el trabajo del atacante; un símbolo añade poco, un carácter añade mucho. Doce caracteres aleatorios resisten años cualquier ataque sin conexión; dieciséis, siglos. Una frase de paso de 20 caracteres con cuatro palabras al azar es a la vez más fuerte que «P@ssw0rd1!» y más fácil de teclear.
Una contraseña por sitio
La intrusión habitual no es adivinar: es reutilizar. Una tienda online se filtra y el mismo correo más contraseña se prueba en tu correo y tu banco en cuestión de horas. Un gestor de contraseñas (el del navegador sirve) hace que las contraseñas únicas salgan gratis; recuerdas una frase maestra fuerte y nada más.
Genera, no inventes
Las personas inventan patrones, y los patrones son lo primero que prueban las herramientas de descifrado (una palabra, un año, un símbolo al final). El generador de contraseñas de aquí usa la fuente aleatoria criptográfica del navegador; nada se envía a ningún sitio, y el medidor de fuerza muestra cuánto tardaría un ataque sin conexión con lo que tienes.
Añade un segundo factor donde importa
Correo, banco, almacenamiento en la nube: activa la autenticación en dos pasos, mejor con una aplicación de autenticación o una passkey que con SMS. Una contraseña filtrada es entonces inútil por sí sola.
Consejos
- Una frase de paso para la contraseña maestra; cadenas aleatorias para todo lo demás.
- Cambia una contraseña cuando un servicio informe de una brecha, no por calendario.
- Nunca escribas una contraseña en una página a la que llegaste desde un enlace de un correo.
Preguntas
- ¿Qué longitud debe tener una contraseña?
- 16 caracteres aleatorios, o una frase de paso de 4 a 5 palabras. 12 es el mínimo.
- ¿Son obligatorios los símbolos?
- Solo cuando el sitio insiste. La longitud importa mucho más; añade un símbolo para cumplir la regla y sigue.
- ¿Es seguro el generador?
- Corre en tu navegador con la Web Crypto API; ninguna contraseña sale de la página ni se registra.