Contraseñas y passkeys: proteger sus cuentas
Reutilizar la misma contraseña en varios sitios sigue siendo una de las causas más frecuentes de pirateo de cuentas. Tres herramientas resuelven lo esencial del problema: un gestor de contraseñas, la verificación en dos pasos y las passkeys.
Equipo editorial de Kayzen Security4 min de lectura
Qué hace buena a una contraseña
La longitud cuenta más que la complejidad aparente. Una frase de contraseña formada por varias palabras sin relación entre sí es a la vez larga y fácil de recordar. La CNIL publica una recomendación detallada sobre las contraseñas (deliberación n.º 2022-100 de 21 de julio de 2022), adaptada según se utilicen solas o con un segundo factor.
- Única para cada cuenta.
- Larga: una frase de contraseña o una secuencia generada aleatoriamente.
- Nunca basada en información personal (nombres, fechas, nombre de la mascota).
- Cambiada sin esperar en caso de filtración conocida o de duda.
El gestor de contraseñas
Un gestor guarda sus credenciales en una caja fuerte cifrada, protegida por una única contraseña maestra. Genera contraseñas aleatorias, las rellena automáticamente y solo las propone en el sitio correcto, lo que también limita el riesgo de phishing.
Elija una herramienta reconocida, proteja con cuidado la contraseña maestra y active la verificación en dos pasos en la propia caja fuerte. En la empresa, un gestor de equipo permite compartir accesos sin enviarlos por correo electrónico.
La verificación en dos pasos
- Aplicación de autenticación o llave de seguridad física: las opciones más seguras.
- Código por SMS: mejor que nada, pero más expuesto (secuestro de línea, phishing en tiempo real).
- No comunique nunca un código recibido a quien se lo pida, aunque se presente como su banco o un servicio técnico.
- Guarde los códigos de recuperación en un lugar seguro, fuera del dispositivo principal.
Las passkeys: el paso lógico siguiente
Una passkey (llave de acceso) se basa en los estándares de la FIDO Alliance y del W3C. Su dispositivo crea un par de claves propio para cada sitio: la clave privada nunca se transmite al sitio y permanece en su dispositivo o en su gestor, que la sincroniza de forma cifrada; usted la desbloquea con su huella, su rostro o su código.
Como la clave está vinculada al nombre de dominio real, un sitio falso no puede utilizarla: es una protección sólida contra el phishing. Actívelas cuando un servicio lo ofrezca, conservando un medio de recuperación.
En la empresa
- Exigir la verificación en dos pasos en el correo, los accesos remotos y las herramientas de administración.
- Proporcionar un gestor de contraseñas de equipo en lugar de hojas de cálculo compartidas.
- Desactivar rápidamente las cuentas de las personas que se marchan.
- Utilizar contraseñas de administrador local distintas en cada equipo.
Fuentes oficiales
- CNIL (nueva pestaña) — Mots de passe : une nouvelle recommandation pour maîtriser sa sécurité
- FIDO Alliance (nueva pestaña) — Passkeys (clés d'accès)
- Cybermalveillance.gouv.fr (nueva pestaña) — Assistance et prévention en sécurité numérique (fiches réflexes, prestataires ExpertCyber)
Los recursos citados los publican sus autores en su idioma original. Kayzen no está afiliado a ninguno de estos organismos.
Esta guía es informativa y general. No sustituye un asesoramiento jurídico ni la intervención de un profesional de la seguridad informática.