La recomendación anterior pide algo fácil de entender y difícil de hacer a mano: una contraseña distinta para cada cuenta. Con cuarenta o cincuenta servicios activos, recordarlas todas no es realista, y por eso el siguiente paso consiste en aprender a guardar las contraseñas de forma segura.
Sin un método, casi todo el mundo acaba aceptando una solución de compromiso: contraseñas más sencillas o, directamente, siempre la misma. Los dos caminos llevan de vuelta al problema de partida.
El gestor de contraseñas es la herramienta que deshace el nudo. No te pide un esfuerzo de memoria mayor: te pide uno solo, la contraseña maestra. Todo lo demás lo guarda él.
En qué consiste esta recomendación
La recomendación R2 establece que las credenciales de acceso (los datos con los que entras en un servicio, normalmente usuario y contraseña) deben guardarse de forma segura, dentro de un gestor de contraseñas fiable protegido por una contraseña maestra robusta y única.
Un gestor de contraseñas es una bóveda cifrada —es decir, un contenedor cuyo contenido resulta ilegible sin la clave adecuada— que:
- genera contraseñas largas y aleatorias cuando necesitas una nueva;
- las conserva de manera que nadie pueda leerlas sin la contraseña maestra;
- las rellena por ti cuando inicias sesión en una web o en una app;
- te avisa de las que son débiles, están repetidas o han aparecido en filtraciones conocidas.
Lo que no es. No es un archivo de texto con la lista de tus contraseñas, ni la lista guardada en el navegador sin ninguna protección. Tampoco es un servicio que «recuerda» las contraseñas por ti leyéndolas: el contenido de la bóveda está cifrado, y el propio gestor no es capaz de abrirla sin tu contraseña maestra.
La contraseña maestra. Es la única que tienes que recordar de memoria. Debe ser larga, única, no relacionada con datos personales y no utilizada en ningún otro sitio. Si el gestor es la caja fuerte, esa es la única llave.
Ámbito de aplicación. Se aplica a todas las credenciales: personales, familiares y profesionales, tanto en el ordenador como en el móvil y la tableta.
Por qué es importante guardar las contraseñas de forma segura
El gestor de contraseñas no añade seguridad por sí solo: hace sostenible la seguridad que ya sabes que deberías aplicar.
Sin una herramienta, el comportamiento seguro depende de la memoria y de la disciplina. Y al cabo de unas semanas la disciplina cede: se recicla una contraseña, se le añade un número al final, se apunta una nota en el móvil.
| Beneficio | Por qué cuenta |
|---|---|
| Hace posibles contraseñas realmente únicas | No tienes que recordarlas: las genera y las guarda él |
| Elimina las contraseñas previsibles | Una cadena aleatoria no contiene nombres, fechas ni patrones |
| Te dice dónde estás al descubierto | Señala duplicados, contraseñas débiles y credenciales expuestas |
| Reduce el riesgo de phishing | Solo rellena los datos en la web registrada: en una copia falsa no lo hace |
| Pone orden en tu vida digital | Sabes qué cuentas tienes y puedes cerrar las que ya no usas |
| Permite compartir con seguridad | Carpetas compartidas en familia o en el equipo, sin enviar contraseñas por mensaje |
El phishing, por cierto, es el engaño que intenta que escribas tus datos en una página que imita a la auténtica. El gestor ayuda porque se fija en la dirección real de la web, no en su aspecto.
Hay también un beneficio menos evidente: el gestor te muestra cuántas cuentas tienes de verdad. Casi todo el mundo descubre, en la primera importación, decenas de servicios olvidados, y precisamente esos son la puerta de entrada más frecuente.
Un ejemplo concreto
Marcos decide poner orden en sus contraseñas. Instala un gestor e importa las que tenía guardadas en el navegador.
El resultado le sorprende: 68 cuentas, de las que 23 comparten la misma contraseña y 9 tienen una contraseña señalada como aparecida en alguna filtración. No lo sabía.
No las cambia todas de golpe. Empieza por las cuatro cuentas críticas —el correo electrónico, la banca en línea, el almacenamiento en la nube y el programa de gestión que usa en el trabajo— y deja que el gestor genere contraseñas nuevas. Después, cada vez que entra en un servicio durante los meses siguientes, sustituye la contraseña antigua por una generada.
Al cabo de tres meses no recuerda ninguna de sus contraseñas, salvo una. Y ese es exactamente el resultado que buscaba.
Cuándo aplicarla
- Antes de registrarte en un servicio nuevo. Es el momento en que el gestor cuesta menos esfuerzo: te propone una contraseña aleatoria y la guarda.
- Cuando descubres que tienes contraseñas repetidas. El gestor las localiza por ti, en lugar de que tengas que pensar en ellas una por una.
- Si teletrabajas. Las credenciales del trabajo y las personales pueden estar en el mismo gestor, en carpetas separadas, o en dos gestores distintos si tu organización lo exige.
- Cuando cambias de móvil o de ordenador. Una bóveda sincronizada evita que pierdas accesos durante el cambio.
- Cuando tienes que compartir una credencial. Un acceso familiar o la cuenta de un proyecto: compartirla dentro del gestor evita mandarla por mensaje.
- Cuando alguien deja un grupo de trabajo. Las credenciales compartidas se revocan y se regeneran desde un único punto.
Cómo aplicarla
- Elige un gestor que te convenza. Los criterios útiles: que cifre los datos en tu propio dispositivo, que admita la autenticación de varios factores, que esté disponible en todos los dispositivos que usas y que permita exportar los datos si algún día quieres cambiar. Lo explicamos con más detalle en el artículo sobre el cifrado de un gestor de contraseñas.
- Crea una contraseña maestra robusta. Una frase de contraseña de cuatro o cinco palabras sin relación entre sí, que no uses en ningún otro sitio y que no contenga datos personales. Escríbela una vez en papel, guárdala en un lugar seguro y úsala hasta que la recuerdes sin esfuerzo.
- Activa la autenticación de varios factores en el propio gestor. Es decir, una segunda prueba de identidad además de la contraseña, como un código en el móvil. Es la protección que aguanta aunque alguien llegara a descubrir la contraseña maestra.
- Guarda los códigos de recuperación. Fuera del gestor y fuera del móvil. Sin ellos, olvidar la contraseña maestra puede suponer perder la bóveda.
- Importa lo que ya tienes. Las contraseñas guardadas en el navegador se importan en pocos minutos. Después de la importación, vacía el almacén del navegador para no dejar dos copias por ahí.
- Sustituye las contraseñas poco a poco. No todas hoy: primero las cuentas críticas y luego las demás a medida que vayas entrando en cada servicio.
- Instala el gestor en todos tus dispositivos. Si solo lo tienes en el ordenador, la tentación de guardar la contraseña en el móvil vuelve enseguida.
Las objeciones más frecuentes y qué responder
Antes de adoptar un gestor, casi todo el mundo se hace las mismas preguntas. Son legítimas y merecen respuestas precisas.
«¿No es peligroso ponerlo todo en un solo sitio?»
Es el riesgo real de la herramienta, y es la razón por la que la contraseña maestra y el segundo factor importan tanto. Pero la comparación correcta no es con una situación ideal: es con decenas de contraseñas reutilizadas, repartidas entre el navegador, las notas y la memoria, de las que ni siquiera tienes la lista. El gestor traslada el riesgo de muchos puntos débiles y sin vigilancia a un único punto fuerte y vigilado. La comparación completa está en el artículo sobre el impacto de un gestor de contraseñas comprometido.
«¿Y si atacan al proveedor?»
Un gestor bien diseñado custodia tu bóveda ya cifrada y no posee la llave para abrirla. Quien se hiciera con esas bóvedas tendría que adivinar tu contraseña maestra, mediante un proceso que se ha hecho lento a propósito. Si la frase de contraseña es larga y única, el tiempo necesario queda fuera de su alcance.
«¿Y si olvido la contraseña maestra?»
Es el escenario más frecuente, y no depende de ningún ataque. Se previene con los códigos de recuperación guardados fuera del gestor y escribiendo la contraseña completa de vez en cuando, en lugar de confiar solo en la huella.
«¿No es más sencillo usar el del navegador?»
Ya es mucho mejor que nada, y es el paso natural para quien empieza de cero. Los límites se notan cuando sales de tu ecosistema habitual de dispositivos, cuando necesitas analizar tus contraseñas o compartirlas, o cuando quieres cambiar de herramienta llevándote los datos.
«¿Tengo que pagar?»
Existen opciones gratuitas válidas. Las versiones de pago suelen añadir una sincronización más amplia, la posibilidad de compartir de forma organizada y funciones de análisis. La elección se hace según lo que necesitas, no según el precio.
Errores comunes que conviene evitar
- Una contraseña maestra débil. Es el error que anula todo lo demás: protege decenas de accesos y hay que tratarla en consecuencia.
- Una contraseña maestra reutilizada. Si aparece en una filtración ocurrida en otro servicio, abre la bóveda entera.
- Ningún segundo factor en el gestor. Es la herramienta que, más que ninguna otra, merece la autenticación de varios factores.
- Códigos de recuperación sin guardar. Es el motivo más común por el que se pierde el acceso a la propia bóveda, sin que nadie haya atacado nada.
- Contraseñas importadas y nunca sustituidas. El gestor conserva las antiguas tal como están: importar no es lo mismo que proteger.
- Contraseñas que siguen también en el navegador. Dos copias significan dos puntos que proteger.
- Ninguna copia de seguridad. Una bóveda también existe físicamente: merece la pena saber cómo exportarla y dónde quedaría guardada.
- Contraseñas enviadas por mensaje «solo por esta vez». Si el gestor permite compartir, usa esa función.
Conexión con el Framework Cyber Welfare
| Pilar | Aportación de este contenido |
|---|---|
| Competencias | Saber configurar y usar una herramienta de gestión de credenciales |
| Concienciación | Entender que la seguridad sostenible pasa por las herramientas, no por la memoria |
| Comportamiento Seguro | Generar una contraseña nueva desde el gestor cada vez que se abre una cuenta |
Niveles de madurez digital.
- FL1 — Base. Las contraseñas se recuerdan de memoria, se apuntan o se guardan en el navegador sin protección.
- FL2 — Iniciado. El gestor está instalado y contiene las cuentas principales.
- FL3 — Autónomo. Todas las credenciales están en el gestor, protegido con una contraseña maestra robusta y autenticación de varios factores, con los códigos de recuperación a buen recaudo.
- FL4 — Hábil. Usas las funciones de análisis para localizar contraseñas débiles o expuestas y gestionas lo que compartes de forma ordenada.
- FL5 — Experto-Guía. Ayudas a otras personas a hacer la migración y estableces buenas prácticas compartidas en la familia o en el equipo.
Nivel de referencia: FL2 — Iniciado. La R2 es lo que hace estable el paso de FL2 a FL3: sin una herramienta, el comportamiento tiende a retroceder.
Cómo comprobar si la estás aplicando bien
- Si mañana tuviera que cambiar la contraseña de diez servicios, ¿sabría cuáles son y dónde encontrarlos?
- ¿Mi contraseña maestra se usa solo para el gestor?
- Si perdiera el móvil, ¿podría abrir igualmente mi bóveda?
Checklist rápida
- ☐ El gestor está instalado en todos los dispositivos que uso
- ☐ La contraseña maestra es larga, única y no contiene datos personales
- ☐ La autenticación de varios factores está activada en el gestor
- ☐ Los códigos de recuperación están guardados fuera del móvil
- ☐ Las contraseñas guardadas en el navegador se han importado y después se han borrado de allí
- ☐ Las cuentas críticas ya tienen una contraseña generada por el gestor
- ☐ Sé cómo exportar mi bóveda, por si algún día quiero cambiar de herramienta
Para medir tu nivel en conjunto, puedes hacer la autoevaluación de la resiliencia digital.
Resumen
Un gestor de contraseñas no es un accesorio para expertos: es lo que hace practicable, cada día, la regla de tener una contraseña distinta para cada cuenta. Es, en la práctica, la manera más sencilla de guardar las contraseñas de forma segura sin depender de la memoria.
Concentra mucho valor en un solo punto y, por eso, hay que protegerlo bien: contraseña maestra robusta, autenticación de varios factores y códigos de recuperación a buen recaudo. Hechas esas tres cosas, el beneficio supera con claridad el riesgo que queda.
Pregunta para reflexionar. ¿Cuántas de tus contraseñas podrías reconstruir de memoria ahora mismo? ¿Y qué dice eso de lo distintas que son entre sí?
Profundiza en esta recomendación
- Impacto de un gestor de contraseñas comprometido: qué se ve afectado si alguien llega a la bóveda
- Perder la contraseña maestra: qué ocurre cuando se pierde la única llave
- Cómo proteger tu gestor de contraseñas: las mitigaciones, por orden
- Señales de un gestor de contraseñas comprometido: los indicadores que conviene revisar
- Cifrado de un gestor de contraseñas: la tecnología, explicada de forma sencilla
- Ataques a gestores de contraseñas: las amenazas reales y las defensas
Recursos relacionados
Contenidos breves de la sección Recursos, para quien quiera detenerse en un solo aspecto:
Da el primer paso: el Programa «Protege tu Privacidad Digital» te acompaña gratis, una recomendación cada vez.
