Llave de seguridad para el banco, junto al gestor

Recurso complementario de la lección “Gestores de contraseñas frente al phishing bancario” — curso Seguridad en Línea

Para la cuenta del banco una contraseña robusta es necesaria y no suficiente. Una llave física es lo único que no se deja convencer por una página perfecta.

A. Por qué esto cuenta

Todos los métodos que dependen de que escribas algo comparten un límite: si la página que tienes delante es una copia perfecta, escribirás ahí lo que te pida.

Hay dos herramientas que no comparten ese límite, porque no miran el aspecto sino la dirección: el gestor de contraseñas y la llave de seguridad física.

Una llave de seguridad para el banco comprueba la dirección antes de responder, y esa comprobación no se distrae.

B. Conceptos clave

Cinco ideas sobre la pareja que el phishing no supera.

Llave de seguridad física

Un dispositivo que confirma tu identidad ante el servicio.

Por qué te afecta: Antes de responder comprueba que el dominio coincide con aquel donde se registró. Si no coincide, no responde.

Silencio del gestor

Cuando el gestor no propone rellenar nada.

Por qué te afecta: No es un fallo: significa que la dirección no coincide con la guardada. Ese silencio es el aviso más útil que recibirás.

Registro por servicio

La llave se registra en cada cuenta por separado.

Por qué te afecta: Vale para el banco, el correo y todo lo que la admita. Registrarla en el correo es tan importante como en la banca.

Segunda llave

Una llave de respaldo guardada en otro sitio.

Por qué te afecta: Sin ella, perder la primera puede costar el acceso. Es la parte que más gente olvida al empezar.

Convivencia

La llave no sustituye a la contraseña ni al gestor.

Por qué te afecta: Se suma: contraseña única, gestor que la rellena solo en el dominio correcto y llave que confirma.

C. Un ejemplo concreto: la copia perfecta

Llegas a una página idéntica a la de tu entidad, con el dominio cambiado en un carácter.

• Tus ojos no distinguen nada raro. La página está bien hecha.
• El gestor no propone rellenar: para él, esa dirección no existe.
• Si insistes y escribes las credenciales a mano, la llave física no responde al intento.

Dos comprobaciones automáticas y ninguna dependiente de tu atención. Ese es todo el argumento.

D. Pruébalo: monta la pareja

Treinta minutos, una vez.

Paso 1 — Comprueba si tu entidad admite llave física

• Búscalo en los ajustes de seguridad o pregúntalo directamente.

Paso 2 — Registra dos llaves

• La de uso diario y una de respaldo, guardada en otro lugar.

Paso 3 — Regístralas también en el correo

• Es la cuenta desde la que se restablece todo lo demás.

Paso 4 — Deja que el gestor rellene siempre

• Y trata su silencio como una alerta, no como una avería.

Aunque tu entidad todavía no admita llaves, el gestor ya te da la mitad de esta protección hoy.

E. Para profundizar

Fuentes institucionales españolas.

INCIBE — Gestores de contraseñas: ¿cómo funcionan?
Cómo funciona un gestor, la diferencia entre almacén local y almacén en servidor, y qué protege la contraseña maestra.
https://www.incibe.es/ciudadania/blog/gestores-de-contrasenas-como-funcionan

Banco de España — ¿Qué es el phishing y cómo evitarlo?
El banco central explica el phishing y recuerda la regla que aguanta: tu banco nunca te pide las claves de acceso.
https://clientebancario.bde.es/pcb/es/blog/que-es-el-phishing-y-como-evitarlo.html

INCIBE — Autenticación de dos factores (2FA)
Qué añade el segundo factor a la contraseña y en qué servicios conviene activarlo primero.
https://www.incibe.es/ciudadania/tematicas/contrasenas-seguras/autenticacion-de-dos-factores

Banco de España — Autenticación reforzada contra el fraude en el comercio electrónico
La terminología oficial de los factores en español: algo que sabes, algo que tienes, algo únicamente tuyo.
https://clientebancario.bde.es/pcb/es/blog/entra-en-vigor-la-autenticacion-reforzada-para-luchar-contra-el-fraude-en-el-comercio-electronico-.html

Enlaces verificados en septiembre de 2026.

F. El Marco Cyber Welfare: Habilidades, Conciencia, Comportamiento

Esta lección se apoya en el pilar Habilidades, en el nivel FL3.

Habilidades

• Registrar una llave de seguridad y su respaldo en las cuentas críticas.
• Interpretar el silencio del gestor como una comprobación de dominio fallida.

En el nivel siguiente

• Extender la llave a todos los servicios que la admitan.

Conciencia

• Entender por qué la comprobación automática del dominio supera a la atención humana.

Comportamiento

• No escribir credenciales a mano cuando el gestor no las propone.

G. Qué hacer ahora

1. Comprueba si tu banco y tu correo admiten llaves de seguridad físicas.
2. Si las admiten, registra dos: la de uso y la de respaldo.
3. Empieza hoy a tratar el silencio del gestor como una alerta.

H. Según tu nivel

Si estás empezando (FL1)

• Usa el gestor y deja que rellene siempre él.

Lo mínimo imprescindible: Media protección, sin comprar nada.

Si ya tienes algún hábito (FL2)

• Comprueba qué servicios tuyos admiten llave física.

Lo mínimo imprescindible: Saber dónde puedes llegar.

Si te manejas bien (FL3)

• Dos llaves registradas en banca y correo.

Lo mínimo imprescindible: La pareja completa.

En resumen

Contra una imitación perfecta, la única defensa fiable es la que no mira el aspecto.

El gestor y la llave física comprueban la dirección, y esa comprobación no se distrae.

Otros recursos de este curso

Los recursos cercanos a este.

• Cómo reconocer el phishing hecho para convencer
• Cómo funciona un gestor de contraseñas: una sola clave que recordar
• Métodos de verificación en dos pasos: no son equivalentes

Descubre más recursos complementarios de los cursos en línea del Programa Protege tu Privacidad Digital.