La contraseña fácil y otras formas elegantes de invitar al caos

Hay una confusión de base que explica casi todos los desastres de contraseñas que he visto: creer que fácil de recordar y difícil de adivinar son extremos de la misma línea.

No lo son. Son dos ejes distintos.

1234 es fácil de recordar y trivial de adivinar. x7#Kp!9qLz es difícil de las dos cosas, y por eso acaba pegada en un pósit debajo del teclado. Y el perro de mi vecino ladra en si bemol es razonablemente fácil de recordar y bastante difícil de adivinar, que es justo la esquina donde uno quiere estar.

Cuando alguien pide una contraseña «fácil», casi nunca está pidiendo una contraseña débil. Está pidiendo no tener que hacer un esfuerzo de memoria absurdo. Y eso es una petición perfectamente legítima que tiene solución técnica.

Muchos candados, una sola reja. Foto: Acabashi, CC BY-SA 4.0; imagen recortada y disponible bajo la misma licencia.

El correo no es una cuenta más

Antes de hablar de cómo elegirlas, conviene ordenar qué protege cada una, porque tratarlas todas igual es el primer error.

El correo electrónico no es una bandeja de entrada. Es el mecanismo de recuperación de casi todo lo demás. El panel de la web, el hosting, el dominio, la facturación, las redes sociales: casi todos ofrecen un botón de «he olvidado mi contraseña» que termina, precisamente, en el correo.

Eso significa que quien entra en el correo no necesita adivinar ninguna otra contraseña. Solo necesita tiempo y paciencia para ir pulsando ese botón en cada servicio.

Por eso el correo merece un trato aparte: la contraseña más fuerte del inventario, el segundo factor mejor que tengas y, si el proveedor lo ofrece, la revisión periódica de qué dispositivos y qué aplicaciones tienen sesión abierta. Hay clientes que protegen mejor la cafetera de la oficina.

El otro problema: la misma clave en catorce sitios

La segunda pieza del desastre no es la fortaleza, es la repetición.

Una contraseña débil pero exclusiva de un servicio menor es un problema pequeño y acotado. Una contraseña excelente reutilizada en catorce sitios es un problema grande esperando a que uno solo de esos catorce sufra una filtración. Porque lo que hacen los atacantes con las listas filtradas no es adivinar: es probar las mismas combinaciones en todas partes, de forma automatizada y a escala. Se llama credential stuffing y no requiere ningún talento.

De ahí que la propiedad más valiosa de una contraseña no sea su complejidad tipográfica. Es que sea única.

Mi postura, que es poco romántica

Aquí es donde llega la petición clásica:

«Ponme una contraseña fácil, para acordarme.»

Y mi respuesta, después de años, ya no es un sermón. Es un matiz: puedo darte una que recuerdes sin esfuerzo; lo que no puedo es dejar el sistema por debajo de unos mínimos.

Porque esa es la parte que se suele plantear mal. La contraseña la elige y la gestiona quien va a usarla; los mínimos los pone el sistema. No es una cuestión de imponer una clave concreta ni de vigilar a nadie: es que un panel de administración que acepta admin1234 está mal configurado, y eso no es responsabilidad del cliente, es mía.

Los mínimos que dejo puestos son poco negociables y bastante razonables:

• Una longitud mínima que descarte lo trivial, y sin límite máximo ridículo, que todavía hay formularios que cortan a doce caracteres.
• Comprobación contra listas de contraseñas ya filtradas, que es la medida que más ataques reales evita y la que casi nadie activa.
• Límite de intentos y ralentización progresiva, para que probar a ciegas deje de ser gratis.
• Segundo factor disponible y activado al menos en las cuentas con privilegios.
• Y un registro de accesos que permita mirar hacia atrás cuando haga falta.

Con eso puesto, que alguien quiera una clave cómoda deja de ser un drama, porque el sistema ya no permite que sea una clave mala.

Lo que no hago es configurar a sabiendas una credencial débil, dejarlo escrito y confiar en la suerte. Documentar una mala decisión no la convierte en aceptable; solo deja constancia de quién la tomó.

Cómo se elige una que valga

La recomendación honesta tiene tres capas, y no son intercambiables.

Primero, un gestor de contraseñas. Es la respuesta correcta y la que casi nadie quiere oír. Genera claves largas y distintas para cada servicio y tú no memorizas ninguna. Lo que sí hay que proteger a conciencia es la contraseña maestra, y guardar en algún sitio seguro lo que el gestor ofrezca para recuperar el acceso si la pierdes.

Segundo, para las pocas que hay que teclear a mano —la del gestor, la del portátil, la del correo—, una frase larga. Pero con una advertencia que se repite poco: una frase larga no es segura por ser larga, sino por ser imprevisible. Un verso conocido, un estribillo, una cita célebre o un refrán están en los diccionarios que usan los atacantes, y las cuatro palabras que se te ocurren primero no son tan tuyas como parece. Sirve una combinación sin sentido y elegida al azar; no sirve la letra del himno.

Tercero, segundo factor. Y aquí conviene no meterlo todo en el mismo saco, porque no protegen igual:

• SMS: activarlo es mucho mejor que no tener segundo factor, y si es lo único que ofrece el servicio, se activa. Pero es el más débil de los tres: el código se puede interceptar, redirigir mediante duplicado de tarjeta o pedir por teléfono con una excusa creíble.
• Aplicación de códigos: bastante mejor. Ya no depende de la operadora, pero el código se puede escribir en una web falsa igual que la contraseña.
• Passkeys y llaves de seguridad físicas: otra categoría. Están ligadas criptográficamente al dominio real, así que una página que imita a la tuya no consigue nada aunque la víctima colabore. Es lo que se llama un factor resistente al phishing, y donde esté disponible es la opción a elegir.

Sobre las restricciones por IP, por dispositivo o por horario: ayudan, reducen la superficie y en algunos entornos son muy útiles. Pero no compensan una contraseña débil. Son una puerta más, no una puerta mejor.

Seguridad sin teatro

En seguridad se confunde a menudo lo incómodo con lo sólido. Una buena contraseña no tiene que parecer escrita por un gato caminando sobre el teclado: tiene que ser única, imprevisible y estar acompañada de un segundo factor decente.

Nada de esto es un manual completo, conviene decirlo. Asegurar un sistema de verdad incluye bastantes más cosas: quién tiene acceso a qué, qué se registra, qué se actualiza y qué pasa el día que algo falla. Las contraseñas son la puerta de entrada, no el edificio.

Pero es la parte que se decide en treinta segundos, casi siempre con prisa y casi siempre sin pensar. Y es la única que, cuando sale mal, todo el mundo recuerda haber elegido.