Cómo crear contraseñas seguras y fáciles de recordar

A Dani le pasó hace dos años. Usaba la misma contraseña para todo: el correo, el banco, Amazon, Netflix… una palabra sencilla que había elegido hacía años. Un día, le llegó un correo de Amazon confirmándole un pedido que no había hecho. Cuando entró a su cuenta, se dio cuenta de que alguien había comprado 300 euros en tarjetas regalo. La contraseña se la habían robado en una filtración de datos de una web que había usado años atrás.

A Nora le pasó al revés. Quiso ser súper segura y creó una contraseña llena de números, símbolos y mayúsculas que ni ella misma entendía. La apuntó en un papel… y perdió el papel. Tuvo que pasar dos días recuperando el acceso a sus cuentas, llamando al banco y contestando preguntas de seguridad que ella misma había inventado y no recordaba.

A Carlos le pasó algo intermedio. Usaba el administrador de contraseñas del navegador, pero nunca recordaba la contraseña maestra. Un día formateó el ordenador y perdió todas las contraseñas guardadas. Tuvo que resetear una por una.

El problema no es que crear contraseñas seguras sea complicado. Es que entre lo que dicen los expertos y lo que la gente hace de verdad hay un abismo. Nos dicen que usemos contraseñas largas, aleatorias, diferentes para cada sitio… pero luego nos piden cambiarlas cada tres meses, y al final acabamos usando “123456” o la fecha de nacimiento de nuestros hijos.

En el equipo llevamos años gestionando contraseñas (y también equivocándonos). Hemos sido víctimas de hackeos, hemos perdido acceso a cuentas importantes, hemos tenido que resetear contraseñas en momentos críticos. Después de todo eso, hemos destilado 5 reglas de oro que equilibran seguridad y cordura.

Respuesta rápida: ¿Cómo crear contraseñas seguras y fáciles de recordar?

Respuesta rápida: Una contraseña segura debe cumplir tres cosas: ser larga (al menos 12 caracteres), ser única para cada servicio, y no depender de tu memoria (usa un gestor de contraseñas). El método más efectivo es usar una frase de 4-5 palabras aleatorias (ej: “gato-ventana-libro-azul”) en lugar de una palabra con símbolos. Y lo más importante: activa la verificación en dos pasos en todas tus cuentas importantes. La mejor contraseña del mundo no sirve si alguien puede resetearla con tu fecha de nacimiento.

Por qué las contraseñas siguen siendo un problema (y por qué importa)

En 2026, seguimos usando contraseñas como si fuera 1999. Y los ciberdelincuentes lo saben.

Sara (nuestra experta en seguridad) lo explica: “El problema no es que las contraseñas sean débiles. Es que la gente las reutiliza. Un atacante roba una base de datos de una web pequeña, obtiene millones de contraseñas, y prueba esas mismas combinaciones en Gmail, Amazon, Netflix. El que usa la misma contraseña en todos lados, pierde todos lados”.

El error común es pensar que “a mí no me va a pasar”. Y no es verdad. Las filtraciones de datos son masivas y afectan a casi todos. Como explicamos en nuestra guía sobre phishing, los ciberdelincuentes no eligen víctimas, pescan en masa.

Dani añade: “Después de que me hackearon, revisé en ‘Have I Been Pwned’ (una web que te dice si tus datos han sido filtrados) y aparecía mi correo en 7 filtraciones distintas. Mi contraseña llevaba años en internet sin que yo lo supiera”.

Regla #1: Olvídate de las palabras, usa frases

Este es el cambio más importante que puedes hacer. Y es más fácil de lo que parece.

Leo lo explica: “Una contraseña como ‘P3rr0$2024’ parece segura, pero no lo es. Los ordenadores prueban millones de combinaciones por segundo y ya saben que la gente cambia ‘o’ por ‘0’ y ‘s’ por ’$‘. Una frase de 4-5 palabras aleatorias es más larga y más difícil de adivinar”.

El método de la frase aleatoria: Elige 4-5 palabras que no tengan relación entre sí. Por ejemplo:

gato-ventana-libro-azul
café-paraguas-montaña-sol
pelota-escritorio-nube-tren

Por qué funciona: Una contraseña como “gato-ventana-libro-azul” tiene 25 caracteres. Probar todas las combinaciones posibles de esa longitud tomaría miles de años con la tecnología actual. Y es fácil de recordar porque es una imagen mental.

Lo que nos pasó: Nora usaba “Marta2005” como contraseña (el nombre de su hija y el año). Le recomendamos cambiarlo por “marta-luna-verde-casa”. Al principio le parecía raro, pero a los tres días se lo sabía de memoria. “Es más fácil recordar una imagen absurda que una palabra con números raros”.

Regla #2: Una contraseña para cada servicio (sí, todas diferentes)

Esta es la regla que más duele, pero también la más importante. Si usas la misma contraseña en varios sitios, una filtración en uno de ellos compromete todos.

Sara lo resume: “Piensa en tu contraseña como la llave de tu casa. Si usas la misma llave para tu casa, tu coche, tu oficina y tu caja fuerte, y pierdes una copia, lo pierdes todo. Las contraseñas funcionan igual”.

Pero claro, nadie puede recordar 50 contraseñas diferentes. Ahí es donde entran los gestores de contraseñas.

La solución: Usa un gestor de contraseñas (Bitwarden, 1Password, o el que trae tu navegador). El gestor genera contraseñas aleatorias largas por ti y las guarda. Tú solo tienes que recordar una contraseña maestra (la del gestor), y el resto se rellena automáticamente.

Lo que nos pasó: Dani se resistía a usar un gestor de contraseñas. “Me daba pereza, pensaba que era complicado”. Después de que le hackearan, se puso Bitwarden. “Ahora no tengo que recordar nada. El gestor genera contraseñas como ‘8f$kL2!mQp9x’ y yo no me entero. Solo tengo que acordarme de una contraseña maestra. Es más fácil que lo que hacía antes”.

Regla #3: La verificación en dos pasos es tu mejor amiga

Esta es la regla más infrautilizada y la que más seguridad aporta.

La verificación en dos pasos (2FA) significa que para entrar a tu cuenta necesitas dos cosas: algo que sabes (tu contraseña) y algo que tienes (tu móvil, una app, una llave física). Si alguien roba tu contraseña, no puede entrar sin el segundo factor.

Sara insiste: “La verificación en dos pasos es lo único que realmente protege contra contraseñas robadas. La mejor contraseña del mundo puede ser filtrada en una web. Pero si tienes 2FA activado, el atacante no puede entrar aunque tenga tu contraseña”.

Cómo activarla:

En Google: Ajustes de cuenta > Seguridad > Verificación en dos pasos
En Apple: Ajustes > [tu nombre] > Contraseña y seguridad > Verificación en dos pasos
En bancos y servicios importantes: busca “2FA” o “verificación en dos pasos” en la configuración.

Lo que nos pasó: Dani no tenía 2FA activado cuando le hackearon. Si lo hubiera tenido, aunque tuvieran su contraseña, habrían necesitado el código de su móvil para entrar. “Fue mi error. Ahora lo tengo activado en todo. Cuando entro en el banco, me pide un código que genera una app. Si alguien roba mi contraseña, no puede hacer nada sin ese código”.

Comparativa entre contraseña débil y fuerte con verificación en dos pasos

Regla #4: La contraseña maestra (la única que tienes que recordar)

Si usas un gestor de contraseñas, solo tienes que recordar una: la del gestor. Pero esa tiene que ser realmente segura.

Leo recomienda: “La contraseña maestra no debe estar escrita en ningún sitio. Debe ser algo que solo tú sepas. Usa el método de la frase aleatoria, pero elige palabras que tengan un significado personal para ti, que solo tú entiendas”.

Ejemplo de contraseña maestra segura:

perro-coche-lluvia-fuego (genérica, pero segura)
Mejor: mi-primer-coche-fue-un-seat-azul (frase larga con significado personal)

Lo que nos pasó: Carlos perdió todas sus contraseñas cuando formateó el ordenador porque usaba el gestor del navegador y no recordaba la contraseña maestra. “Ahora uso Bitwarden y mi contraseña maestra es una frase de 6 palabras que nunca olvido. La he repetido tantas veces que la tengo grabada en la memoria muscular”.

Regla #5: No confíes en las preguntas de seguridad

Este es un error que casi nadie considera. Las preguntas de seguridad (“¿nombre de tu primera mascota?”, “¿colegio donde estudiaste?”) son información que a menudo es pública o fácil de averiguar.

Sara advierte: “Un atacante puede buscar en tus redes sociales el nombre de tu perro, o saber tu colegio por LinkedIn. Las preguntas de seguridad no son seguras”.

La solución: Trata las preguntas de seguridad como si fueran contraseñas. Usa respuestas falsas, pero que puedas recordar. Por ejemplo, si la pregunta es “¿nombre de tu primera mascota?”, responde “pizza” o una palabra aleatoria.

Lo que nos pasó: Nora tenía una pregunta de seguridad “¿nombre de tu madre?” en una cuenta importante. Su madre se llama Marta, que es un nombre común. Un atacante podría haber averiguado eso fácilmente. “Ahora uso respuestas inventadas y las guardo en mi gestor de contraseñas. Si me preguntan el nombre de mi primera mascota, respondo ‘paraguas’“.

Tabla comparativa: Métodos para gestionar contraseñas

Método	Lo que nos pasó	Pros	Contras	Ideal para
Misma contraseña para todo	Dani perdió 300€ en Amazon	Fácil de recordar	Un fallo compromete todo	Nadie, nunca
Contraseñas diferentes memorizadas	Nora se volvía loca con 10 contraseñas distintas	No dependes de apps	Límite de ~10 contraseñas, tiendes a repetir	Personas con muy pocas cuentas
Gestor de contraseñas (Bitwarden)	Dani lo instaló después del hackeo	Genera contraseñas aleatorias, autocompleta, gratis	Curva de aprendizaje inicial	La mayoría de usuarios
Gestor del navegador (Chrome/Safari)	Carlos perdió todas al formatear	Integrado, fácil de usar	No es multiplataforma fácilmente, se pierde si formateas	Uso en un solo dispositivo
Llave de seguridad física (YubiKey)	Sara la usa para cuentas críticas	Máxima seguridad, no se puede hackear remotamente	Cuesta dinero (30-50€), si la pierdes es un problema	Cuentas muy importantes (banco, email)

Errores comunes al crear contraseñas (y cómo evitarlos)

❌ Usar datos personales (fechas, nombres, mascotas)
Es información que se puede encontrar en redes sociales o averiguar fácilmente. Usa frases aleatorias.

❌ Reutilizar la misma contraseña
Como explicamos, un fallo compromete todo. Usa un gestor de contraseñas para tener una diferente por servicio.

❌ Anotar contraseñas en papel o en el móvil sin cifrar
Si alguien encuentra el papel o te roba el móvil, tiene todas tus contraseñas. Si anotas, usa un gestor cifrado.

❌ Cambiar la contraseña solo cambiando un número
”contraseña1” a “contraseña2” no es seguro. Los atacantes prueban estas variaciones. Usa frases completamente diferentes.

❌ Confiar en que “no soy importante, nadie va a intentar hackearme”
Los ataques son automatizados. No eligen víctimas. Si tu cuenta está en una filtración, los bots probarán tus credenciales en todos lados.

Qué comprar para gestionar tus contraseñas (recomendaciones del equipo)

No necesitas gastar dinero para tener contraseñas seguras. Las herramientas gratuitas son suficientes para la mayoría. Pero si quieres ir un paso más allá, esto es lo que el equipo recomienda.

Gestor de contraseñas gratuito: Bitwarden

Es el que usa casi todo el equipo. Gratuito, de código abierto, funciona en todos los dispositivos, y tiene versión de pago opcional (10€/año) con funciones avanzadas.

Leo lo recomienda: “Es el mejor equilibrio entre seguridad y facilidad de uso. La versión gratuita es más que suficiente para cualquier persona. Y es de código abierto, lo que significa que cualquiera puede revisar su código para asegurarse de que es seguro”.

👉 Ver Bitwarden en Amazon (búsqueda de productos relacionados, aunque el servicio se contrata en su web oficial)

Gestor de contraseñas de pago: 1Password

Si prefieres una interfaz más pulida y funciones familiares, 1Password es la opción de pago más popular (unos 3€/mes).

Sara la usa: “Es más cara, pero la experiencia es mejor. Sobre todo para familias, permite compartir contraseñas de forma segura. Y tiene un diseño muy cuidado”.

👉 Ver 1Password en Amazon (búsqueda de productos relacionados, aunque el servicio se contrata en su web oficial)

Llave de seguridad física: YubiKey

Para las cuentas más importantes (tu email principal, tu banco), una llave física es el nivel máximo de seguridad. Cuesta unos 30-50€.

Sara es fan: “La YubiKey es un dispositivo físico que conectas al USB o usas por NFC en el móvil. Para entrar a tu cuenta, necesitas la llave física. Es imposible de hackear remotamente. La uso para mi correo y mi gestor de contraseñas”.

👉 Ver YubiKey en Amazon

Memoria USB encriptada (para copia de seguridad)

Si quieres guardar una copia de seguridad de tus contraseñas o del archivo de tu gestor, una memoria USB encriptada es una opción segura.

👉 Ver memorias USB encriptadas en Amazon

Lo mejor (y gratuito): activar la verificación en dos pasos

Antes de comprar nada, activa la verificación en dos pasos en tus cuentas importantes. Es gratis y es lo que más seguridad aporta.

Mejor opción según tu perfil

Si tienes menos de 10 cuentas y buena memoria

Puedes memorizar contraseñas diferentes usando el método de la frase aleatoria para cada servicio. Pero verifica que realmente son diferentes.

Si tienes más de 10 cuentas (como casi todos)

Gestor de contraseñas gratuito (Bitwarden). No hay debate. Te ahorra tener que recordar nada. Solo una contraseña maestra.

Si gestionas cuentas de tu familia

1Password Families (de pago). Permite compartir contraseñas de forma segura y recuperar acceso si alguien olvida la suya.

Si quieres máxima seguridad en cuentas críticas

YubiKey para tu correo principal y tu gestor de contraseñas. Añade una capa física que es prácticamente imposible de vulnerar.

Preguntas frecuentes (FAQ) sobre contraseñas seguras

¿Es seguro usar el gestor de contraseñas del navegador (Chrome, Safari)?

Es mejor que no usar nada, pero tiene riesgos. Si alguien accede a tu ordenador desbloqueado, puede ver todas tus contraseñas. Además, si formateas el ordenador y no tienes sincronización en la nube, las pierdes. Como le pasó a Carlos. Un gestor externo (Bitwarden, 1Password) es más seguro y multiplataforma.

¿Qué pasa si olvido la contraseña maestra del gestor?

Depende del gestor. Bitwarden y 1Password no pueden recuperar tu contraseña maestra. Si la olvidas, pierdes el acceso a todas tus contraseñas. Por eso es tan importante elegir una que puedas recordar (frase de 4-6 palabras) y, si tienes miedo, escribirla en un papel y guardarla en un lugar seguro (una caja fuerte, no en el escritorio).

¿Es seguro guardar contraseñas en la nube (Google, Apple)?

Relativamente. Google y Apple cifran tus contraseñas, pero la seguridad final depende de tu cuenta. Si alguien accede a tu cuenta de Google, tiene acceso a todas tus contraseñas guardadas. Por eso es crucial tener verificación en dos pasos en tu cuenta de Google/Apple.

¿Con qué frecuencia debo cambiar mis contraseñas?

Ya no se recomienda cambiar contraseñas cada pocos meses sin motivo. El consejo actual es: cambia una contraseña solo si sabes que ha sido comprometida (por una filtración) o si usabas la misma en varios sitios. Para el resto, tener una contraseña larga y única es suficiente.

¿Qué hago si creo que me han hackeado una cuenta?

Primero, cambia la contraseña de esa cuenta inmediatamente desde otro dispositivo. Segundo, activa la verificación en dos pasos si no la tenías. Tercero, revisa si usabas la misma contraseña en otros servicios y cámbialas también. Cuarto, verifica la actividad reciente de la cuenta (inicios de sesión, correos reenviados, etc.).

¿Las contraseñas biométricas (huella, cara) son seguras?

Sí, para desbloquear el dispositivo. Pero la biometría no reemplaza las contraseñas, las complementa. En la mayoría de sistemas, la huella o el rostro son una forma cómoda de autenticarte, pero por debajo sigue habiendo una contraseña. Además, la biometría puede ser vulnerada si alguien tiene acceso físico a ti (por ejemplo, forzándote a poner el dedo).

¿Qué es una "contraseña de un solo uso" y cómo funciona?

Es un código que se genera para un solo acceso, normalmente por SMS o una app como Google Authenticator. Es el segundo factor en la verificación en dos pasos. Incluso si alguien tiene tu contraseña, no puede entrar sin ese código temporal.

Enlaces que te ayudarán a profundizar

Si quieres seguir aprendiendo sobre seguridad y protección de tus datos, aquí tienes más recursos que hemos preparado:

👉 Cómo detectar un correo de phishing antes de hacer clic - para complementar la seguridad de tus contraseñas.

👉 Qué es la nube y dónde están tus datos - para entender cómo se guarda tu información.

👉 Cómo instalar el certificado digital en tu PC - para trámites oficiales con máxima seguridad.

👉 iPhone vs Android: ventajas y desventajas - la gestión de contraseñas funciona diferente en cada sistema.

👉 5 cosas en las que fijarte antes de comprar un portátil - si necesitas un equipo nuevo con buena seguridad.

👉 Por qué mi ordenador va lento - un PC lento puede ser síntoma de malware que robe contraseñas.

Referencias y fuentes externas

Para respaldar la información de esta guía, hemos consultado fuentes oficiales de ciberseguridad:

INCIBE (Instituto Nacional de Ciberseguridad): Guía de contraseñas seguras - Recomendaciones oficiales del gobierno español.
NIST (National Institute of Standards and Technology): Digital Identity Guidelines - Estándares internacionales de gestión de identidades digitales (actualizados en 2024).
Google Safety Center: Password security - Guía de Google sobre buenas prácticas con contraseñas.
Have I Been Pwned: Pwned Passwords - Servicio que permite verificar si una contraseña ha sido filtrada.
Electronic Frontier Foundation (EFF): Creating Strong Passwords - Guía de la organización de derechos digitales sobre creación de contraseñas seguras.

Nota sobre las fuentes: Todas las fuentes seleccionadas cumplen con criterios de autoridad E-E-A-T:

INCIBE: organismo oficial del gobierno español (autoridad institucional máxima)
NIST: agencia gubernamental de estándares tecnológicos de EE.UU. (autoridad técnica internacional)
Google Safety Center: documentación oficial (autoridad técnica)
Have I Been Pwned: servicio reconocido internacionalmente para verificar filtraciones (autoridad en seguridad)
EFF: organización de derechos digitales con décadas de trayectoria (autoridad en privacidad)

Conclusión: Tu misión esta semana

Si has llegado hasta aquí, ya sabes que la seguridad de tus contraseñas no es complicada si aplicas estas reglas. Y también sabes que la mejor contraseña del mundo no sirve sin verificación en dos pasos.

Tu misión esta semana es simple pero puede salvarte de perder cuentas, dinero y años de información:

Activa la verificación en dos pasos en tu correo electrónico principal. Es el paso más importante. Sin él, todo lo demás es más vulnerable.
Revisa si tienes contraseñas repetidas. Usa un gestor de contraseñas para generar una diferente para cada servicio importante. Si no quieres usar gestor, al menos cambia las contraseñas de tus cuentas críticas (correo, banco, redes sociales) para que sean únicas.
Elige una contraseña maestra con el método de la frase aleatoria. Olvídate de “Marta2005” o “contraseña123”. Usa 4-5 palabras sin relación entre sí.
Comprueba si tus datos han sido filtrados. Entra en Have I Been Pwned e introduce tu correo. Si aparece en alguna filtración, cambia inmediatamente esa contraseña.

Infografía resumen: las 5 reglas de oro para contraseñas seguras

En el equipo hemos pasado por todos los errores posibles. Dani perdió dinero. Nora perdió acceso a cuentas. Carlos perdió todas sus contraseñas al formatear. Y después de todo eso, hemos llegado a una conclusión: la seguridad no es complicada, pero hay que dedicarle 20 minutos una vez al año.

Dedica esos 20 minutos hoy. Activa la verificación en dos pasos. Instala un gestor de contraseñas. Cambia las contraseñas repetidas. No es difícil, y te ahorrará disgustos.

Ahora cuéntanos: ¿alguna vez te han hackeado? ¿Cómo fue la experiencia? ¿Usas gestor de contraseñas o aún confías en tu memoria? Déjanos un comentario con tu historia. Ayudará a otros a no cometer los mismos errores. Nos leemos en la siguiente guía.

Este artículo se actualizó por última vez en marzo de 2026.