Las contraseñas siguen siendo el principal método de autenticación en la mayoría de los sistemas y servicios. Aunque las tecnologías sin contraseña avanzan, una estrategia sólida en esta materia sigue siendo indispensable. Las contraseñas mal administradas participan en una proporción enorme de las filtraciones de datos, así que es una de las áreas donde mejorar rinde más.
De la complejidad a la longitud
Las políticas tradicionales se concentraban en la complejidad: mayúsculas, minúsculas, números y caracteres especiales. Suena lógico, pero la investigación muestra que suele producir el efecto contrario al buscado. Ante un requisito de complejidad, la gente responde con patrones predecibles, sustituye letras por símbolos obvios y termina anotando la contraseña porque no la puede recordar.
Las recomendaciones actuales, como las del NIST, priorizan la longitud sobre la complejidad. Una frase de contraseña de 16 caracteres o más, incluso compuesta por palabras comunes, es muchísimo más difícil de romper por fuerza bruta que una contraseña corta y enrevesada. Invitar a la gente a pensar en frases memorables, y no en cadenas crípticas, produce contraseñas a la vez más fuertes y más usables.
Elimina la obligación de cambiar la contraseña cada cierto tiempo, salvo que haya indicios de compromiso. La rotación obligatoria empuja a la gente hacia contraseñas más débiles, porque busca variaciones fáciles de recordar. En su lugar, vigila las credenciales filtradas contra bases de datos de brechas y exige el cambio solo cuando haga falta.
Los gestores de contraseñas son indispensables
Ninguna persona puede crear y recordar de forma confiable contraseñas únicas y fuertes para las decenas o cientos de cuentas que usa. Los gestores resuelven el problema: generan contraseñas aleatorias de alta entropía y las guardan en una bóveda cifrada, protegida por una sola contraseña maestra.
Conviene desplegar un gestor corporativo y hacer su uso obligatorio. Las soluciones empresariales ofrecen administración centralizada, compartición segura de credenciales de equipo y registros de auditoría del acceso. Se integran con el inicio de sesión único y permiten imponer políticas, como una longitud mínima para las contraseñas que generan.
Capacita al personal en su uso correcto. La contraseña maestra debería ser la más fuerte que esa persona cree: idealmente una frase larga que memorice y no reutilice en ningún otro lado. Activa las funciones de monitoreo de filtraciones del gestor, para recibir alertas cuando una credencial guardada aparezca en una brecha conocida.
Autenticación multifactor
Por fuerte que sea, una contraseña sola no basta para proteger sistemas sensibles. La autenticación multifactor agrega un segundo paso de verificación que el atacante no puede saltarse únicamente con la contraseña robada. Los factores habituales son algo que sabes (la contraseña), algo que tienes (un dispositivo o una llave de seguridad) y algo que eres (biometría).
No todos los métodos protegen igual. Los códigos de un solo uso por SMS son mejores que nada, pero son vulnerables al secuestro de línea y a la interceptación. Las aplicaciones de autenticación que generan códigos temporales protegen bastante más. Las llaves de seguridad físicas con el estándar FIDO2 dan el nivel más alto de garantía y resisten el phishing, porque verifican la autenticidad del sitio que hace la solicitud.
Despliega MFA en todas las cuentas, empezando por los sistemas más críticos: correo, VPN, infraestructura en la nube e interfaces de administración. Exige MFA resistente al phishing para las cuentas de administrador y para cualquier sistema que dé acceso amplio a datos sensibles.
Passkeys y el futuro sin contraseñas
Las passkeys son el siguiente paso de la autenticación. Basadas en criptografía de clave pública, eliminan la contraseña por completo: una clave privada guardada en el dispositivo autentica a la persona ante el servicio sin transmitir ningún secreto por la red. Son resistentes al phishing por diseño, porque están atadas a un dominio concreto y no se pueden introducir en un sitio falso.
Las grandes plataformas y servicios están adoptando passkeys a buen ritmo. Vale la pena empezar a planear la transición evaluando el soporte en tu proveedor de identidad y en tus aplicaciones críticas. Mientras tanto, contraseñas fuertes más MFA resistente al phishing dan una protección sólida.
Errores comunes que conviene evitar
No permitas reutilizar contraseñas entre sistemas: una credencial comprometida en un servicio no debería abrir la puerta de los demás. Bloquea el uso de contraseñas que aparezcan en bases de datos de filtraciones. No guardes contraseñas en texto plano, en hojas de cálculo ni en documentos compartidos. Y nunca las envíes por correo ni por mensajería.
Una estrategia completa combina políticas claras, las herramientas adecuadas y formación continua. La tecnología de autenticación va a seguir avanzando, y las organizaciones que construyan bien la base hoy estarán en buena posición para adoptar los métodos nuevos cuando maduren.
