Seguridad de contraseñas en 2026: filtraciones, verificación y protección de cuentas

Por qué la contraseña sigue siendo el eslabón débil

Puedes asegurar un servidor siguiendo el manual, configurar seguridad del sitio web, y aún así perder la cuenta por una contraseña débil. La razón es simple: las personas reutilizan contraseñas. La misma protege el correo electrónico, una tienda y un foro — y cuando se filtra el foro, esa contraseña abre el correo electrónico, y el correo electrónico abre todo lo demás.

El ataque se llama credential stuffing: alguien toma millones de pares de inicio de sesión y contraseña de filtraciones antiguas y los reproduce automáticamente en otros sitios. No necesitan hackearte — eso ya se hizo por ellos. Así que la fortaleza de la contraseña no se trata de ser difícil de recordar; se reduce a dos reglas: una contraseña debe ser larga y único para cada sitio.

Cómo se filtran las contraseñas

Una contraseña rara vez es 'adivinada'. Con mucha más frecuencia se filtra en bases de datos completas:

• Violación de servicio — la base de datos de usuarios con contraseñas termina en línea. Si las contraseñas se almacenaron mal, se rompen rápidamente.
• Phishing — tú mismo escribes la contraseña en una página falsa indistinguible de la real.
• Malware — los stealer roban contraseñas guardadas en el navegador directamente de un dispositivo infectado.
• Reutilización — una filtración en un sitio compromete automáticamente a todos los demás donde se utiliza la misma contraseña.

El resultado siempre es el mismo: la contraseña termina en bases de datos públicas que ya contienen cientos de millones de registros. La buena noticia — puedes verificar esas mismas bases de datos para ver si tu contraseña ha aparecido, y hacerlo de forma segura.

Qué hace que una contraseña sea fuerte

La fuerza no se mide por tener un 'carácter especial' sino por la entropía — el número de opciones que un atacante tendría que probar. La longitud la aumenta mucho más que los símbolos exóticos: cuatro palabras aleatorias superan a un corto 'P@ss1!'.

• Longitud — al menos 12–16 caracteres, más para cuentas importantes.
• Aleatoriedad — no un nombre, fecha o palabra del diccionario, sino genuinamente aleatorio.
• Singularidad — una contraseña diferente por sitio, para que una filtración no abra el resto.

Inventar eso en tu cabeza es inútil. Genera en su lugar: nuestro generador de contraseñas crea una contraseña larga y aleatoria directamente en el navegador, criptográficamente fuerte, sin enviarla a ningún lado.

Cómo verificar una contraseña contra filtraciones

Puedes verificar si una contraseña está en filtraciones conocidas sin revelarla. Funciona mediante k-anonimato: la contraseña se hash en tu navegador, solo los primeros cinco caracteres del hash van al servidor, se recibe una lista de coincidencias para ese prefijo, y la coincidencia se encuentra localmente. El servidor nunca ve la contraseña ni su hash completo.

Así es exactamente como nuestro verificador de filtraciones de contraseñas funciona: compara la contraseña con la base de datos de Have I Been Pwned, sin almacenar nada. Si la contraseña aparece en filtraciones, trátala como comprometida y cámbiala en todos los lugares donde la hayas usado. La misma verificación vale la pena integrarla en tus formularios de registro y cambio de contraseña, para advertir a los usuarios sobre una contraseña débil antes de que la establezcan.

Los administradores de contraseñas y la autenticación de dos factores

Las contraseñas largas y únicas no se pueden mantener en tu cabeza — y no necesitan serlo. Un administrador de contraseñas genera, almacena y las completa por ti; solo recuerdas una contraseña maestra. Es la única forma práctica de tener una contraseña fuerte diferente en cada sitio.

La segunda capa es la autenticación de dos factores (2FA). Incluso si la contraseña se filtra, el segundo factor bloquea el inicio de sesión. En orden de fortaleza: una llave de hardware o una aplicación de autenticador superan a los códigos SMS, que son interceptados a través del intercambio de SIM. Activa 2FA al menos para el correo electrónico y la banca — esas son las cuentas que recuperan todas las demás.

Cómo almacenar contraseñas en el backend (para desarrolladores)

Si construyes un servicio con registro, la responsabilidad de las contraseñas de los usuarios es tuya. Las reglas básicas no están en debate:

• Nunca almacenes contraseñas en texto plano y nunca las encriptes de forma reversible — solo un hash irreversible.
• Usa funciones adaptativas lentas — bcrypt, scrypt o argon2 — con una sal por contraseña. SHA-256 simple no sirve: es demasiado rápido y cae ante una GPU.
• Verifica nuevas contraseñas contra filtraciones al registrarse y cambiar — a través de la misma k-anonimidad, sin enviar la contraseña.
• Limita la tasa de intentos de inicio de sesión y añade 2FA, para que una filtración de base de datos no sea acceso instantáneo.

Lo incorporamos en la arquitectura cuando construimos aplicaciones web y SaaS: la autenticación y el almacenamiento de secretos están diseñados desde el principio, no añadidos después.

Lista de verificación de seguridad de contraseñas

1. Una contraseña larga (12+), aleatoria y única para cada sitio.
2. Un gestor de contraseñas en lugar de memorizar y reutilizar.
3. Autenticación de dos factores dondequiera que exista — al menos en correo electrónico y banca.
4. Verifica contraseñas importantes contra filtraciones; en caso de coincidencia, cambia inmediatamente.
5. Para desarrolladores: argon2/bcrypt con sal, límites de intentos, una verificación de filtración al registrarse.

Preguntas frecuentes