Contraseñas y verificación en dos pasos: por dónde empezar
Por qué la longitud importa más que los símbolos, cómo dejar de repetir claves con un gestor y en qué cuentas activar primero la verificación en dos pasos.
3 min de lectura
Puedes adaptarlo a tu empresa. También puedes imprimir esta página o guardarla como PDF desde tu navegador.
Tres errores que se repiten en casi todas las pymes
La contraseña es la llave del correo, del programa de gestión, de la banca y de los portales de tus clientes. Y en la mayoría de las empresas esas cerraduras están flojas por tres motivos: contraseñas cortas y sencillas, la misma contraseña en varios servicios, y claves apuntadas en un pósit o en un archivo llamado «claves».
Repetir es lo más peligroso. Si usas la misma contraseña en el correo de la empresa y en una tienda online, y esa tienda sufre una fuga de datos, tu correo y tu clave acaban en un listado que circula por internet. Los atacantes prueban esa misma combinación en muchos servicios a la vez. A eso se le llama relleno de credenciales, y funciona porque la gente repite. Una contraseña reutilizada ya no es tuya.
Larga mejor que rara
Durante años nos enseñaron a crear claves cortas llenas de símbolos. Hoy la guía técnica de referencia, la del NIST (el instituto de estándares de Estados Unidos), establece que lo que importa es la longitud: al menos quince caracteres cuando la contraseña es la única protección, sin obligar a mezclar símbolos de forma artificial y sin cambiarla «porque toca», solo si hay sospecha de que se ha filtrado.
La forma práctica de tener una clave larga y memorable es la frase de paso: cuatro o cinco palabras al azar, sin relación entre sí, como azud-bicicleta-naranja-viernes. Nada de refranes, canciones ni el nombre de tu perro. INCIBE recomienda esta técnica tanto para particulares como para empresas.
Un gestor de contraseñas para no repetir
El problema real no es crear una buena contraseña, sino tener cuarenta distintas. La solución es un gestor de contraseñas: una caja fuerte digital que guarda cifradas todas tus claves, genera contraseñas largas y distintas para cada servicio y las rellena por ti. Solo tienes que recordar una, la del gestor, que debe ser una frase de paso larga y protegida con verificación en dos pasos. Elige uno de buena reputación.
La verificación en dos pasos: la medida que más ataques frena
La verificación en dos pasos (2FA) añade un segundo candado: además de algo que sabes (la contraseña), hace falta algo que tienes, normalmente un código en tu móvil. Aunque roben tu contraseña, el atacante se queda en la puerta.
Microsoft publicó un dato que se ha convertido en referencia: activarla bloquea más del 99 % de los ataques de robo de cuenta. Se refiere a los ataques masivos y automáticos, que son justo los que sufren la mayoría de las pymes. No es una garantía absoluta frente a un ataque dirigido, pero es lo más parecido a un interruptor para apagar el problema.
Dónde activarla primero
- El correo electrónico: quien lo controla puede restablecer las contraseñas de casi todo lo demás y suplantarte. Empieza aquí.
- La banca electrónica: confirma que la tienes activada.
- El programa de gestión y los portales de tus clientes.
- El gestor de contraseñas, porque guarda todas las llaves.
- Las redes sociales y el gestor de la web o la tienda.
SMS, aplicación o llave
El código por SMS es mucho mejor que nada, pero es el segundo factor más débil, porque un mensaje se puede desviar. Una aplicación de autenticación en el móvil es un escalón más seguro, y las llaves de acceso (passkeys) y las llaves físicas resisten incluso el phishing. Lo práctico: actívala ya, aunque sea por SMS, y pásate a una aplicación cuando puedas. Se tarda unos cinco minutos por cuenta.