Si gestionas un negocio (o simplemente tu vida digital), tus contraseñas son la primera puerta de entrada. Y hoy el ataque más común no es “un hacker adivinando tu clave”: es robo de credenciales reutilizadas, phishing y filtraciones de servicios donde te registraste hace años.
En Alcoyinnova (ciberseguridad en Alcoy) lo vemos mucho en pymes: una contraseña “normalita” repetida en 4 sitios + un correo principal sin doble factor = riesgo real.
La idea clave (en una línea)
La contraseña perfecta es la que cumple estas 4 reglas:
- Larga
- Única por cada cuenta
- Difícil de adivinar (no basada en datos personales)
- Con 2FA/MFA activado (porque ninguna contraseña es infalible)
1) Por qué te pueden “romper” una contraseña aunque sea “complicada”
Para elegir bien, necesitas entender los 3 escenarios típicos:
A) “Me adivinan la contraseña” (fuerza bruta)
Pasa cuando la contraseña es corta o predecible. Aquí manda la longitud.
B) “Me la prueban en todas partes” (credential stuffing)
Si tu contraseña se filtró en una web y tú la reutilizas, un bot la prueba en Gmail, redes, banca, WordPress, etc. Este es el ataque más rentable.
C) “Me la roban” (phishing / malware)
Te engañan para que la escribas en una web falsa o te la capturan en el dispositivo. Aquí te salva el 2FA (y el sentido común).
2) El método más efectivo para recordarla: la passphrase (frase de paso)
Olvida la idea de “una palabra con símbolos”. Lo mejor para humanos es una frase larga que tú recuerdes y otros no puedan adivinar.
Cómo crear una passphrase buena (paso a paso)
- Elige 4 a 6 palabras que no estén relacionadas entre sí (mejor si son raras/inesperadas).
- Añade separadores (guiones, puntos) o una estructura mínima.
- Evita: nombres, fechas, tu negocio, tu ciudad, tu equipo, tu perro, etc.
Ejemplos (buenos):
piano-mango-hielo-tren-latónNube.Cactus.Reloj.Puerta.27
Ejemplos (malos, por previsibles):
Alcoy2026!Maria2001#Costablanca123
Consejo pro: si la frase tiene “historia” para ti, la recuerdas; si no tiene datos personales, no se puede adivinar con ingeniería social.
3) “Vale, pero necesito una contraseña distinta para cada web”
Aquí hay dos caminos: el correcto (gestor) y el de emergencia (manual).
Opción 1 (recomendada): gestor de contraseñas + contraseñas aleatorias
Es lo que usamos y recomendamos a clientes: genera contraseñas tipo:
- 16–24 caracteres
- aleatorias
- una por cada cuenta
Tú solo recuerdas una contraseña maestra (una passphrase fuerte) y activas 2FA en el gestor.
Ventajas reales:
- Cero reutilización
- Cero patrones repetidos
- Puedes compartir accesos en equipo de forma controlada (empresa)
Opción 2 (si te niegas a usar gestor): “regla” sin patrón obvio
El típico “Base + FB / IG / BK” funciona… hasta que alguien ve una de tus contraseñas y deduce el patrón.
Si no vas a usar gestor, al menos:
- usa una passphrase base secreta
- y una transformación que no sea evidente (no “-FB”, no “2026”)
- y no uses el nombre exacto del sitio
Ejemplo de enfoque más seguro:
- Base (solo tú la sabes):
Nube.Cactus.Reloj.Puerta - “Código” del sitio: 2 letras inventadas por ti + 2 números que no sean el año
- Gmail:
Qm47 - Instagram:
Zp13
- Gmail:
- Resultado:
Nube.Cactus.Reloj.Puerta-Qm47
Sigue sin ser perfecto (un gestor gana), pero reduce muchísimo el riesgo de patrón obvio.
4) El 2FA/MFA: tu “segunda cerradura” (imprescindible)
Aunque tengas una contraseña excelente, puede filtrarse. El 2FA evita que con solo la clave entren.
Prioridad recomendada:
- App autenticadora (TOTP)
- Llave de seguridad (si puedes, nivel pro)
- SMS solo si no hay alternativa (mejor que nada, pero no ideal)
Muy importante: guarda los códigos de recuperación en un lugar seguro (offline o gestor).
5) Reglas de oro (nivel empresa / pyme)
Si quieres que esto funcione de verdad en una pyme, aplica estas políticas:
- Prohibido reutilizar contraseñas (especialmente correo principal).
- No rotación “por calendario” sin motivo: cambia cuando haya sospecha/filtración o debilidad real. (Cambiar cada mes suele crear contraseñas peores.)
- Bloquear contraseñas comprometidas (cuando se sabe que han aparecido en filtraciones).
- Cuentas compartidas = problema: usa usuarios individuales y permisos.
- Admin y correo siempre con 2FA y contraseñas únicas.
- Para WordPress/CRM: menos plugins dudosos, actualizaciones, y accesos con roles (pero eso es otro post).
6) Checklist rápido: ¿tu contraseña aprueba o suspende?
✅ Aprueba si:
- tiene más de 14–16 caracteres o es una frase larga
- es única (no se repite en ningún sitio)
- no contiene datos personales
- tienes 2FA activado
❌ Suspende si:
- es corta (8–10 caracteres) aunque tenga símbolos
- incluye tu nombre, marca, ciudad, fecha, teléfono
- la reutilizas “porque total…”
- solo depende de SMS o no tiene 2FA
Bonus 2026: ¿y las “passkeys” (llaves de acceso)?
Cada vez más servicios permiten passkeys (inicio sin contraseña tradicional, basado en biometría/clave del dispositivo). Son muy seguras contra phishing cuando están bien implementadas. Si un servicio te ofrece passkeys, suele ser una gran opción, pero:
- asegúrate de tener métodos de recuperación bien configurados
- y no dependas de un único dispositivo sin backup
¿Quieres que revisemos la seguridad de accesos en tu empresa (Alcoy y comarca)?
Si eres pyme y quieres reducir riesgo real (correo, redes, WordPress, accesos de equipo), te ayudamos a implantar:
- gestor de contraseñas
- 2FA correcto
- políticas de acceso y recuperación
- revisión de cuentas críticas
Servicio: Ciberseguridad Alcoyinnova
Contacto: Contacto Alcoyinnova
