Contraseñas seguras y verificación en dos pasos: guía corta para tu equipo

La mayoría de las cuentas robadas tenían contraseñas cortas, repetidas o compartidas. Cómo crear y guardar buenas contraseñas, y por qué activar el segundo paso.

La contraseña es la llave de tu correo, de tu sitio, de tu banca por internet y de tus redes. Y, como las llaves, la mayoría de los problemas no vienen de cerraduras sofisticadas, sino de copias que andan por ahí: contraseñas repetidas, anotadas en un papel o compartidas por WhatsApp.

Cómo se roban las contraseñas

• Filtraciones: un servicio que usaste es atacado y tu correo y contraseña quedan publicados. Si usas la misma en todos lados, prueban con tu correo, tu banco y tus redes.
• Adivinanza: programas que prueban millones de combinaciones comunes: nombres, fechas, «123456», «empresa2026».
• Engaños: un correo falso que te lleva a una página parecida a la real para que la escribas tú mismo.

Cómo es una buena contraseña

• Larga: 14 caracteres o más. La longitud importa más que los símbolos raros.
• Única: una distinta para cada servicio. Es la regla más importante.
• Difícil de adivinar: nada de nombres, fechas, el nombre de la empresa o palabras sueltas.

Un truco fácil: una frase de varias palabras que no tengan relación entre sí, por ejemplo llama-violeta-tranvía-62-lunes. Es larga, fácil de escribir y muy difícil de adivinar (no uses esta, que ya es pública).

Usa un gestor de contraseñas

Nadie puede recordar 40 contraseñas distintas, y no hace falta. Un gestor de contraseñas las crea, las guarda cifradas y las completa por ti; solo recuerdas una contraseña maestra (larga y que no uses en ningún otro lado). Hay opciones gratuitas y confiables, como Bitwarden o KeePassXC, y los navegadores también traen uno.

Si en tu empresa varias personas usan la misma cuenta, compártanla desde el gestor de contraseñas y no por WhatsApp ni en una hoja de Excel.

Activa la verificación en dos pasos

Con la verificación en dos pasos, además de la contraseña te piden un código que solo tú tienes. Aunque alguien consiga tu contraseña, no puede entrar. Las formas, de la más segura a la menos:

1. Una llave física o una passkey en tu celular.
2. Una app de códigos, como Google Authenticator o Microsoft Authenticator: muestra un número de 6 dígitos que cambia cada 30 segundos.
3. Un código por SMS: es la más débil, pero mucho mejor que nada.

Actívala primero en lo más importante: tu correo (porque con él se recuperan todas las demás cuentas), tu banca por internet, el panel de tu sitio y tus redes sociales.

Guarda los códigos de respaldo que te dan al activarla, en un lugar seguro: te permiten entrar si pierdes el celular.

Revisa si tus datos se filtraron

En haveibeenpwned.com puedes escribir tu correo y ver si apareció en alguna filtración conocida. Si aparece, cambia la contraseña de ese servicio y de cualquier otro donde la hayas repetido.

Cuando alguien deja la empresa

Cambia ese mismo día las contraseñas que conocía y quítale el acceso a los paneles. Con correos corporativos, la cuenta es de la empresa: puedes conservar sus mensajes y redirigirlos a otra persona.