Contrasinais: que facer
e que deixar de facer

Se cada un é distinto, longo e o garda un xestor, non fai falta cambialos por calendario: cámbiao cando haxa un motivo. É o que di a guía de identidade dixital do NIST estadounidense (SP 800-63B), a referencia que seguen moitas organizacións: prohibe esixir cambios periódicos e obriga a forzar o cambio cando hai indicios de que o contrasinal quedou comprometido. O motivo é práctico: quen ten que cambiar o contrasinal cada mes acaba usando «Verano2026!» e despois «Otoño2026!», e iso non protexe de nada. A OSI do INCIBE aínda aconsella revisalos polo menos cada seis meses, pero ninguén serio recomenda facelo cada mes. Os motivos para cambialo xa: un aviso de que o servizo sufriu unha filtración, un inicio de sesión que non recoñeces, telo escrito nunha páxina sospeitosa ou telo dito a alguén por teléfono.

Si, e é mellor cesto ca a alternativa real, que é o mesmo contrasinal en vinte sitios ou unha libreta ao carón do ordenador. O xestor garda os contrasinais cifrados e só os abre cun contrasinal mestre que non sae das túas mans; se un servizo calquera sofre unha filtración, o atacante lévase un contrasinal que non serve en ningún outro sitio. A OSI do INCIBE recoméndao precisamente por iso, e a guía do NIST obriga os servizos a permitir os xestores e o autoenchido. O que si esixe é coidar o cesto: un contrasinal mestre longo que non uses en ningún outro sitio, a verificación en dous pasos activada no propio xestor e un plan por se o esqueces, porque sen el non hai forma de recuperar o que garda. O que xa vén incluído no navegador ou no sistema do móbil é moito mellor que non usar ningún.

Unha frase longa que poidas lembrar e que non teña nada que ver contigo en público: catro ou cinco palabras sen relación entre si, con espazos se o servizo os admite. A lonxitude pesa máis cós símbolos raros: a guía do NIST pide un mínimo de 15 caracteres cando o contrasinal é a única protección dunha conta, e desaconsella impoñer regras de composición do tipo «unha maiúscula, un número e un símbolo». Evita refráns, letras de cancións, o nome do can ou a data da voda, que é o primeiro que se proba. Este é o único contrasinal que tes que memorizar, así que paga a pena dedicarlle cinco minutos e escribilo unha vez en papel, gardado nun sitio da casa que non sexa o caixón do escritorio, ata que o teñas aprendido. E activa a verificación en dous pasos no xestor.

Porque é a que abre todas as demais. Case calquera servizo, desde a tenda en liña ata a rede social ou o programa de facturación, permíteche cambiar o contrasinal cunha ligazón que envía ao teu correo. Quen controla a caixa de entrada pode pedir esa ligazón en cada sitio e quedar coas contas unha a unha, sen coñecer ningún outro contrasinal. Ademais, desde o teu correo pode escribirlles aos teus clientes ou á túa familia facéndose pasar por ti, que é como empezan moitas facturas falsas. Por iso o correo merece o mellor contrasinal que teñas, distinto de todos, a verificación en dous pasos co método máis forte que admita e unha revisión de cando en vez das sesións abertas e das regras de reenvío. Se só vas protexer ben unha conta esta semana, que sexa esta.

É moito mellor que non ter segundo paso, e peor cás alternativas. O SMS depende da túa liña de teléfono, e hai fraudes que consisten en conseguir un duplicado da túa tarxeta SIM ou en desviar as túas mensaxes; ademais, o código pódeselle ler en voz alta a quen te chama facéndose pasar polo banco. A guía do NIST cualifica o SMS como método «restrinxido» e considérao non resistente ao phishing. Unha aplicación de autenticación no móbil xera o código sen depender da liña, así que evita o duplicado de SIM, aínda que segue sen protexerte se ti mesmo teclas o código nunha páxina falsa. As chaves físicas e as chaves de acceso (passkeys) van un paso máis alá: só funcionan no sitio auténtico. Usa o método máis forte que che ofreza cada servizo, e o SMS só onde non haxa outra opción.

Por iso, ao activala, cada servizo ofréceche códigos de recuperación: unha lista de códigos dun só uso que che permiten entrar sen o móbil. Imprímeos ou gárdaos fóra do teléfono, no xestor de contrasinais ou en papel na casa, e non os deixes nunha captura de pantalla dentro do mesmo móbil que podes perder. Se o servizo o permite, engade un segundo método: outro dispositivo, unha chave física de reposto ou un número de teléfono de respaldo. As aplicacións de autenticación máis comúns permiten ademais facer copia dos seus códigos para pasalos a un móbil novo; compróbao antes de cambiar de teléfono, non despois. Perder o móbil sen nada disto non adoita ser definitivo, pero converte a recuperación de cada conta nun trámite longo co soporte de cada servizo, e algún non o resolve nunca.

Unha libreta na casa é máis segura que o mesmo contrasinal repetido en todos os sitios, porque para lela hai que entrar na túa casa, e a maioría dos ataques veñen de internet, non do salón. O problema da libreta non é tanto o roubo como o resto: non se pode levar enriba con comodidade, non xera contrasinais longos, convida a escribir contrasinais curtos para non cansar copiando e nunha oficina acaba nun pósit pegado ao monitor, que é xusto onde non debe estar. Para unha persoa maior que usa tres servizos pode ser unha solución razoable. Para calquera con máis de dez contas, ou para un negocio con datos de clientes, o xestor de contrasinais gaña de lonxe: lembra, xera e enche por ti. O que nunca convén é un documento sen protexer no escritorio do ordenador chamado «contrasinais».

Moitos xestores de contrasinais e os navegadores principais xa che avisan sós: comparan os teus contrasinais gardados con listas de contrasinais filtrados sen envialos en claro e dinche cales están expostos ou repetidos. Revisa ese apartado de cando en vez, que adoita chamarse algo como «revisión de seguridade» ou «comprobación de contrasinais». Tamén che poden avisar os propios servizos por correo cando sofren unha filtración; nese caso, entra escribindo ti o enderezo no navegador, non premendo a ligazón da mensaxe, por se o aviso é falso. Se un contrasinal aparece como filtrado, cámbiao nese servizo e en calquera outro onde o usases igual. E se notas algo raro, como inicios de sesión que non recoñeces, mensaxes enviadas que non escribiches ou regras no correo que non creaches ti, non esperes polo aviso: cambia o contrasinal e pecha as sesións abertas.