Cómo elegir un gestor de contraseñas y usarlo bien

Cuando un sitio web sufre una filtración, los pares de correo y contraseña robados rara vez se quedan en manos del atacante original. Se venden, se intercambian y se cargan en herramientas automatizadas que prueban la misma combinación en proveedores de correo, tiendas, redes sociales y plataformas de juegos. Esta técnica, llamada relleno de credenciales o credential stuffing, solo funciona cuando la gente reutiliza contraseñas, y es una de las formas más comunes de robar cuentas de usuarios corrientes.

Las contraseñas únicas rompen esa cadena. Si cada cuenta tiene su propia contraseña larga y aleatoria, una filtración en un servicio se queda contenida en ese servicio. El problema es que nadie puede recordar decenas de cadenas aleatorias, y justamente para eso existe un gestor de contraseñas.

Un gestor de contraseñas guarda tus datos de acceso en una bóveda cifrada que se abre con una contraseña maestra y, a menudo, con tu huella o tu rostro en los dispositivos de confianza. Genera contraseñas largas y aleatorias cuando te registras o cambias una contraseña, y las rellena por ti cuando inicias sesión.

El autocompletado es además una defensa discreta contra el phishing. El gestor asocia cada acceso guardado a la dirección exacta del sitio web, así que no te ofrecerá la contraseña de tu banco en un dominio que lo imita. Si de pronto tu gestor no reconoce una página de inicio de sesión que usas a menudo, detente y revisa la dirección antes de escribir nada a mano.

La mayoría de los gestores hacen mucho más que guardar contraseñas. Entre los extras habituales están las notas seguras para códigos de respaldo y datos de recuperación, el almacenamiento de llaves de acceso, las alertas cuando una contraseña guardada aparece en una filtración conocida, los avisos sobre contraseñas débiles o repetidas y la opción de compartir accesos de forma segura con tu familia o tu equipo.

El cifrado va primero. Busca cifrado de extremo a extremo, a veces descrito como diseño de conocimiento cero, lo que significa que tu bóveda se cifra en tu propio dispositivo y el proveedor no puede leerla. La documentación de seguridad publicada y las auditorías independientes son buenas señales de que una empresa se toma esto en serio.

Después, comprueba que el gestor funcione en todos los lugares donde lo necesitas: en los navegadores que usas y en tu teléfono y tu computadora, con una sincronización confiable entre ellos. La propia bóveda debe admitir autenticación de dos factores, idealmente con una app de autenticación o una llave de seguridad, para que una contraseña maestra robada no baste por sí sola para abrirla.

Por último, piensa en la salida antes de entrar. Un buen gestor te permite exportar tus datos en un formato estándar, para que nunca te quedes atrapado. Infórmate de qué pasa si olvidas la contraseña maestra: algunos servicios ofrecen un kit de recuperación o un contacto de confianza, mientras que los diseños de conocimiento cero más estrictos pueden no tener ninguna forma de recuperación, y eso vuelve imprescindible una hoja de emergencia guardada en un lugar seguro.

Los navegadores y los sistemas operativos ya incluyen gestores de contraseñas bastante completos. El Gestor de contraseñas de Google viene integrado en Chrome y Android, los dispositivos Apple incluyen un gestor que se sincroniza a través del Llavero de iCloud, y Microsoft Edge guarda las contraseñas en tu cuenta Microsoft. No cuestan nada extra, ya están en tu dispositivo y se sincronizan de forma automática dentro de su propio ecosistema.

Su límite es precisamente ese ecosistema. Si combinas un iPhone con una computadora con Windows, o alternas entre varios navegadores, puede que un gestor integrado no te acompañe con comodidad a todas partes. Los gestores independientes, incluidos los que ofrecen proveedores centrados en la privacidad como Proton, funcionan en distintas plataformas y navegadores, y suelen sumar opciones más completas para compartir, notas seguras y una organización más flexible.

Cualquiera de las dos opciones es muchísimo mejor que reutilizar contraseñas. Elige la que de verdad vayas a usar todos los días y evita repartir tus accesos entre varios gestores, porque así es fácil perder la pista de qué copia está al día.

Tu contraseña maestra es la única que tienes que recordar, así que hazla larga y fácil de memorizar en lugar de corta y complicada. Una frase de contraseña formada por varias palabras sin relación entre sí es más fácil de escribir y mucho más difícil de adivinar que una cadena corta de símbolos. No la uses nunca en ningún otro sitio.

Activa de inmediato la autenticación de dos factores en el gestor y guarda sus códigos de respaldo o su kit de emergencia fuera de línea, por ejemplo en papel y en un lugar seguro de tu casa. Si tu gestor ofrece un método de recuperación, configúralo ahora y no después de quedarte sin acceso.

Después ajusta algunas opciones: que la bóveda se bloquee tras un rato corto de inactividad y que pida la contraseña maestra o la biometría después de reiniciar. Mantén también actualizadas las apps y las extensiones del navegador para recibir las correcciones de seguridad.

La mayoría de los gestores pueden importar las contraseñas guardadas en tu navegador o exportadas desde otro gestor, normalmente en un archivo CSV. Ese archivo es texto plano sin cifrar, así que expórtalo, impórtalo enseguida y luego bórralo, incluida la copia de tu carpeta de descargas y la de la papelera de reciclaje.

Después de importar, desactiva el guardado de contraseñas del propio navegador si te pasaste a un gestor independiente, para que los accesos nuevos no terminen en dos lugares. Luego abre el informe de seguridad del gestor y empieza a corregir las contraseñas repetidas y débiles. Comienza por tus cuentas de correo, ya que con ellas se puede restablecer todo lo demás, y sigue con las cuentas financieras, las de trabajo y las de redes sociales.

No hace falta cambiarlo todo en una sola noche. Actualiza cada contraseña pendiente la próxima vez que entres en ese sitio y, en pocas semanas, la mayor parte de tu bóveda estará formada por contraseñas únicas y generadas.

Los datos de acceso que te llegan por correo, en un documento compartido o en la página de un pedido deben ir a tu gestor, no a capturas de pantalla ni a notas sin protección. Crea una entrada nueva con la dirección del sitio, el nombre de usuario y la contraseña, y añade en el campo de notas el correo de recuperación, los códigos de respaldo y cualquier otro dato de configuración.

Si compraste una cuenta en rStock, el contenido entregado aparece en la página de tu pedido como un registro de entrega vinculado al pedido. Cópialo a tu gestor, cambia la contraseña por una nueva generada, configura tus propias opciones de recuperación y activa la autenticación de dos factores. Hacerlo cuanto antes también te permite confirmar que todo funciona mientras todavía puedes abrir una disputa dentro del plazo limitado posterior a la entrega. Usa siempre este tipo de cuentas de acuerdo con las condiciones de uso de la marca.

Una vez protegida la cuenta, elimina las copias sobrantes que hayas pegado en notas, chats o archivos de texto. Tu gestor debe ser el único lugar donde se guarda la contraseña vigente, lo que facilita actualizarla y dificulta que otra persona la encuentre.