Actualizado: octubre de 2026
Durante años nos enseñaron que una buena contraseña necesitaba mayúsculas, números, un símbolo al final y cambiarse cada pocos meses. La ciencia dice otra cosa. En julio de 2025, el NIST (el instituto de estándares de EE. UU., referencia mundial en seguridad) publicó la versión definitiva de su guía de autenticación, la SP 800-63B-4, y deja claro que lo que protege una contraseña no es la complejidad artificial, sino la longitud y que sea única para cada cuenta.
Las 4 reglas que importan: 1) larga (15 caracteres o más), 2) única para cada cuenta, 3) guardada en un gestor de contraseñas, 4) acompañada de verificación en dos pasos en las cuentas importantes.
Qué dice exactamente la nueva guía del NIST
La SP 800-63B-4 está dirigida a quien diseña sistemas de inicio de sesión, pero sus reglas son la mejor pista de lo que funciona:
- Mínimo de 15 caracteres cuando la contraseña es la única protección de la cuenta (8 si se combina con un segundo factor).
- Debe permitirse usar al menos 64 caracteres, incluidos espacios y cualquier carácter, para que puedas usar frases.
- Nada de reglas de composición obligatorias («al menos una mayúscula, un número y un símbolo»). No mejoran la seguridad real y empujan a patrones predecibles.
- Nada de cambios periódicos forzados. Solo hay que cambiar la contraseña si hay indicios de que se ha comprometido.
- Comprobar las contraseñas contra listas negras: contraseñas filtradas, palabras de diccionario, secuencias como «123456» o términos obvios como el nombre del servicio.
Traducido a tu día a día: una frase larga que no se repita en ningún otro sitio vale más que «P@ssw0rd!2026».
Por qué la longitud gana a la complejidad
Los atacantes no adivinan contraseñas a mano. Usan programas que prueban miles de millones de combinaciones y, sobre todo, listas de contraseñas ya filtradas y sus variaciones típicas («Verano2025», «Verano2026!»…). Contra eso, la longitud es lo que más pesa.
Un cálculo sencillo:
- Una contraseña de 8 caracteres totalmente aleatoria, usando todas las letras, números y símbolos del teclado: unos 6,6 × 10¹⁵ combinaciones posibles.
- Una frase de 5 palabras elegidas al azar de una lista de 7.776 (el método diceware): unos 2,8 × 10¹⁹ combinaciones, más de 4.000 veces más, y mucho más fácil de recordar.
Y eso suponiendo que la contraseña corta sea realmente aleatoria, cosa que casi nunca ocurre cuando la inventa una persona.
Cómo crear una contraseña segura que puedas recordar
Método 1: la frase de contraseña
- Elige 4 o 5 palabras sin relación entre sí, a ser posible al azar (puedes usar el generador de frases de tu gestor de contraseñas o tirar dados con una lista diceware en español).
- Únelas con espacios o guiones: nevera-trompeta-lunes-cactus-orilla.
- Si un servicio te obliga a meter números o símbolos, añádelos en medio, no al final.
Evita frases famosas, letras de canciones, refranes o cosas que se puedan deducir de tus redes sociales: son de lo primero que prueban los programas de ataque.
Método 2: deja que el gestor de contraseñas la genere
Para todas las cuentas que no necesitas escribir de memoria (que son casi todas), lo mejor es una contraseña aleatoria de 20 o más caracteres generada por un gestor de contraseñas. No tienes que recordarla: el gestor la rellena por ti.
La combinación ideal: memoriza solo dos o tres frases largas (la del gestor de contraseñas, la del ordenador y quizá la del correo) y deja todo lo demás al gestor.
Una contraseña distinta para cada cuenta (lo más importante)
Reutilizar contraseñas es el mayor riesgo real. Cuando una web sufre una filtración, los atacantes prueban automáticamente esos usuarios y contraseñas en cientos de servicios (el llamado relleno de credenciales). Si usas la misma clave en una tienda online y en tu correo, una brecha en la tienda compromete tu correo, y desde tu correo pueden restablecer casi todo lo demás.
Con un gestor de contraseñas, tener una clave distinta para cada sitio deja de ser un esfuerzo. Te ayudamos a elegir en el mejor gestor de contraseñas.
Qué evitar siempre
- Datos personales: tu nombre, fechas de nacimiento, el nombre de tu mascota o de tu equipo.
- Secuencias y palabras obvias: 123456, qwerty, contraseña, el nombre del servicio.
- Variaciones predecibles de una misma contraseña («Clave1», «Clave2», «Clave2!»).
- Reutilizar la misma contraseña, o una parecida, en varias cuentas importantes.
- Compartir contraseñas por WhatsApp, correo o SMS. Si necesitas compartir una, usa la función segura de tu gestor.
- Guardarlas en un documento sin cifrar o en una nota del móvil.
Comprueba si tus contraseñas se han filtrado
- Have I Been Pwned (haveibeenpwned.com) te dice si tu correo aparece en filtraciones conocidas y te permite comprobar contraseñas de forma segura.
- Google y Apple avisan de contraseñas comprometidas si usas su gestor (Revisión de contraseñas en Google; Recomendaciones de seguridad en el iPhone).
- La mayoría de gestores de contraseñas incluyen alertas de filtraciones.
Si una contraseña aparece en una filtración, cámbiala ya en ese servicio y en cualquier otro donde la usaras.
La contraseña no basta: activa la verificación en dos pasos
Incluso la mejor contraseña puede caer en un phishing. La verificación en dos pasos hace que, aunque alguien la consiga, no pueda entrar sin un segundo factor que solo tienes tú. Actívala al menos en tu correo, tu banco, tus redes sociales y tu gestor de contraseñas. Te lo explicamos en qué es la verificación en dos pasos.
Y el futuro: las passkeys
Las passkeys (claves de acceso) sustituyen a la contraseña por un desbloqueo con tu huella, tu cara o el PIN del móvil. No se pueden adivinar, no se pueden reutilizar y son resistentes al phishing porque solo funcionan en la web legítima. Google, Apple, Microsoft, Amazon, PayPal y muchos otros ya las admiten. Si un servicio te ofrece crear una passkey, acéptala.
Preguntas frecuentes
¿Es verdad que ya no hace falta cambiar la contraseña cada pocos meses?
Sí. La guía del NIST desaconseja los cambios periódicos forzados porque llevan a contraseñas más débiles y predecibles. Cámbiala solo si hay sospecha de filtración.
¿Cuántos caracteres debería tener una contraseña segura?
Al menos 15, según el NIST, si es lo único que protege la cuenta. Para las que genera tu gestor, 20 o más.
¿Necesito símbolos raros si ya uso una frase larga?
No. Ayudan poco frente a la longitud. Una frase larga y aleatoria sin símbolos es más segura que una contraseña corta llena de ellos.
¿Es seguro guardar las contraseñas en el navegador?
Es mucho mejor que reutilizar la misma en todas partes, pero un gestor dedicado ofrece más control, alertas de filtraciones y funciona en cualquier navegador. Si usas el del navegador, protege tu cuenta de Google o Apple con verificación en dos pasos.
¿Cada cuánto debo revisar mis contraseñas?
Basta con que tu gestor te avise de las filtradas o repetidas, y con revisar Have I Been Pwned de vez en cuando.
En resumen
Olvida las reglas antiguas: según el NIST, una contraseña segura es larga (15+ caracteres), única para cada cuenta y sin cambios periódicos innecesarios. Usa frases de varias palabras al azar para las pocas que memorizas, deja el resto a un gestor de contraseñas y activa la verificación en dos pasos. El siguiente paso lógico es elegir gestor: consulta el mejor gestor de contraseñas de 2026.