La seguridad de una contraseña depende menos de obligar a añadir símbolos a una cadena corta y más de longitud, unicidad y tratamiento seguro.
GuíaBuenas prácticasPrincipiante
Contraseñas: generación, robustez y políticas útiles
Comprende por qué importan longitud y unicidad, cómo gestores, MFA y passkeys complementan las contraseñas y cómo almacenarlas en servidor.
Mostrar el índice
Prefiere contraseñas largas y únicas
Reutilizar una contraseña convierte la filtración de un servicio en un riesgo para otras cuentas. Los gestores de contraseñas facilitan credenciales únicas. El generador de contraseñas crea valores aleatorios; el comprobador de seguridad ayuda a explicar patrones débiles, pero no es una garantía.
Las políticas deben ayudar al usuario
NIST SP 800-63B-4 establece un mínimo de 15 caracteres cuando la contraseña se usa como único factor de autenticación; con un segundo factor obligatorio se permiten 8 como mínimo. Las reglas rígidas de composición por tipos de caracteres y los cambios periódicos rutinarios no se recomiendan. Es más útil favorecer longitud suficiente y rechazar contraseñas comunes, comprometidas o relacionadas con el contexto.
El generador de política de contraseñas sigue estos principios y mantiene reglas de compatibilidad solo cuando otro marco las exige.
MFA y passkeys complementan las contraseñas
La autenticación multifactor reduce el impacto de una contraseña robada. Las passkeys pueden eliminar el secreto compartido de la contraseña en flujos compatibles. La recuperación de cuenta y la autorización siguen siendo problemas independientes.
El servidor no debe almacenar contraseñas en texto claro
Las contraseñas deben procesarse mediante una función específica de derivación o password hashing, con una sal única y un coste configurable. Un hash rápido como SHA-256 por sí solo no es un sistema de almacenamiento de contraseñas. La herramienta PBKDF2 muestra sal, iteraciones y valor derivado; Cifrado, hashing y HMAC explica la diferencia frente a otros mecanismos criptográficos.
La seguridad de la cuenta no termina en la contraseña
Protege los flujos de restablecimiento, las cookies de sesión y las acciones privilegiadas. El rate limiting y la monitorización reducen el riesgo de ataques online, pero después del inicio de sesión sigue siendo imprescindible aplicar una autorización correcta.