«Usa una mayúscula, un número y un símbolo.» Ese consejo lleva años fabricando contraseñas tipo Marta1987! que un atacante descifra en minutos y que nadie consigue recordar. Existe una alternativa mejor en los dos frentes: la frase de contraseña, una cadena de varias palabras elegidas al azar, más fácil de memorizar y muchísimo más difícil de romper.
La clave está en cómo se genera. Una buena frase no se te ocurre: se sortea. Herramientas como el generador gratuito de pass.1mail.lt funcionan al completo en tu navegador: el modo frase de contraseña sortea las palabras con crypto.getRandomValues, un medidor de entropía te muestra al instante cuánto resiste y nada de lo que generas se envía a ningún servidor.
Vamos a ver por qué funciona, cómo montar la tuya con el método diceware y qué errores convierten una frase aparentemente sólida en una puerta abierta.
Por qué la longitud gana a la complejidad
La resistencia de una contraseña se mide en entropía: cuántos intentos necesitaría alguien que probara todas las combinaciones posibles. Y en ese terreno las matemáticas favorecen a la longitud de forma aplastante.
Piénsalo así: si eliges palabras al azar de una lista de 7.776 —la lista diceware clásica—, cada palabra extra multiplica por 7.776 el número de combinaciones que un atacante tendría que recorrer. Con cuatro palabras hablamos de miles de billones de posibilidades; con cinco, la cifra crece tanto que ni el hardware especializado en romper contraseñas la agota en un plazo razonable. A ti, añadir una palabra te cuesta un segundo al teclear; al atacante le multiplica el trabajo por miles.
Cambiar una «a» por una «@», en cambio, apenas aporta: los programas de descifrado prueban esas sustituciones de forma automática desde hace años.
El método diceware: palabras al azar, no frases con sentido
Diceware nació con dados físicos: lanzas cinco dados, buscas el número resultante en una lista de palabras y repites. Hoy un generador lo hace por ti en un clic, pero las reglas no cambian:
- Mínimo 4-5 palabras elegidas al azar de una lista amplia. Cinco es el punto de equilibrio para cuentas importantes.
- Sin relación entre ellas. El resultado debe sonar absurdo, algo como cobre-farol-treinta-cactus. Ese sinsentido es justo lo que la hace fuerte.
- Un separador simple, guiones o espacios, para que sea cómoda de teclear también en el teléfono.
Y una advertencia honesta: la frase tiene que salir de un generador aleatorio, no de tu cabeza. Cuando intentamos «pensar palabras al azar», elegimos sin darnos cuenta términos de nuestro entorno: mascotas, comidas, la ciudad del último viaje. Ese sesgo recorta la aleatoriedad real y no hay forma de medirlo a ojo. Genera varias frases en pass.1mail.lt, observa el medidor de entropía y quédate con la primera que consigas memorizar.
Qué hace débil una frase de contraseña
No toda cadena larga es segura. Estos patrones caen los primeros en cualquier ataque de diccionario:
- Citas célebres y refranes: «ser o no ser, esa es la cuestión» figura en todas las listas de ataque, por larga que sea.
- Letras de canciones y títulos de películas: los atacantes alimentan sus diccionarios con letras completas, en español y en inglés.
- Sustituciones «ingeniosas»: P@ssw0rd, C0ntr@señ4 y compañía llevan décadas automatizadas en las herramientas de descifrado.
- Datos personales encadenados: nombres de hijos, fechas señaladas y equipos de fútbol son lo primero que se prueba en un ataque dirigido.
Una frase única por cuenta, un gestor para el resto
Reutilizar la misma frase en todas partes anula su fortaleza: cuando un servicio sufre una filtración, los atacantes prueban esas credenciales en el resto de tus cuentas en cuestión de horas. La solución práctica no es memorizar veinte frases, sino usar un gestor de contraseñas: memorizas una sola frase de cinco o seis palabras como llave maestra y el gestor genera y guarda contraseñas aleatorias distintas para cada sitio. Reduce también tu superficie de ataque: para registros puntuales que no piensas conservar, un correo temporal de 1mail.lt evita que tu dirección real acabe en bases de datos que no controlas.
La segunda capa: verificación en dos pasos
Ni la mejor frase te protege si te la roban con una página falsa o un teclado espía. Activa la verificación en dos pasos en tus cuentas críticas: además de la frase, hará falta un código temporal que caduca cada 30 segundos. En esta guía sobre qué es un código TOTP tienes explicado cómo funcionan esos códigos y por qué protegen más que un SMS. Con las dos capas activas, una frase robada deja de bastar para entrar.
Preguntas frecuentes
¿Cuántas palabras necesita una frase de contraseña segura?
Cuatro palabras aleatorias son el mínimo razonable para cuentas corrientes; sube a cinco o seis para el correo, la banca y la llave maestra de tu gestor de contraseñas.
¿Es seguro generar la frase en una página web?
Depende de la herramienta. Un generador como pass.1mail.lt funciona por completo en tu navegador con crypto.getRandomValues: las palabras se sortean en tu dispositivo y nunca se envían a un servidor.
¿Debo cambiar mi frase cada pocos meses?
No hace falta si es única y no ha aparecido en ninguna filtración. Cámbiala solo ante una señal concreta: un aviso de filtración, un inicio de sesión extraño o un dispositivo perdido.
