Post actualizado el día octubre 28, 2026 by DeiviSanzPlay
Cambiar la contraseña parece un gesto trivial, pero la vía que elijas cambia por completo el resultado: desde un proceso de dos minutos en una app hasta un bloqueo de cuenta que puede durar días. Aquí comparo las opciones habituales, con sus trampas reales.
Las cuatro vías habituales, frente a frente
1. Cambio desde la configuración de la app o web (la vía directa)
Es la ruta estándar: ajustes de cuenta > seguridad > contraseña. Google, Apple, Microsoft o Meta la ofrecen así, y en la mayoría de servicios esta opción invalida las sesiones activas en otros dispositivos. Es la más rápida y la que menos fricción genera.
Limitación concreta: en cuentas corporativas gestionadas con directorio (por ejemplo, Microsoft Entra ID o Google Workspace), este menú suele estar deshabilitado. El usuario cambia la contraseña, pero la política del administrador puede impedir el cambio o forzar el cierre de todas las sesiones, incluida la del móvil. Si trabajas con una cuenta de empresa, comprueba antes si el botón aparece en gris.
2. Recuperación por correo o SMS (la vía de emergencia)
Cuando no recuerdas la actual, el flujo es «¿olvidaste tu contraseña?». Funciona bien, pero tiene un coste oculto: el enlace caduca. En muchos servicios el token de restablecimiento expira en 15-60 minutos, y si tu proveedor de correo filtra el mensaje a spam, el reloj corre igual. Un error frecuente que he visto repetirse: reenviar el formulario tres veces seguidas. Cada solicitud invalida el enlace anterior, así que el correo que abres puede ser ya el que no sirve.
Además, esta vía no sirve si perdiste acceso al correo o al número. Ahí entra en juego el siguiente escalón.
3. Verificación en dos pasos y códigos de respaldo
Si tienes 2FA activo, cambiar la contraseña a veces exige un segundo factor. La comparativa aquí es clara: una app de autenticación (TOTP) es más fiable que el SMS, que depende de la cobertura y es vulnerable al SIM swapping. Los códigos de respaldo de un solo uso son el salvavidas real, pero solo si los guardaste fuera del dispositivo.
Matiz importante: los códigos de respaldo de Google caducan y se regeneran; si guardaste los de hace dos años en un cajón, probablemente ya no valgan. Revísalos cada cierto tiempo.
4. Gestores de contraseñas (la vía que casi nadie compara)
Bitwarden, 1Password o el llavero de Apple permiten generar y rotar contraseñas sin teclearlas. La ventaja es que eliminan el error humano: contraseñas únicas de 20 caracteres. La desventaja práctica es la dependencia: si olvidas la contraseña maestra del gestor y no tienes la clave de recuperación, el resto de cuentas quedan inaccesibles aunque las contraseñas estén guardadas. Según documentación de los propios fabricantes, la clave maestra no se puede recuperar desde el servidor.
Comparativa rápida por criterio
- Velocidad: ajustes de la app > gestor > recuperación por correo > soporte.
- Seguridad real: gestor con 2FA por app > cambio directo con 2FA > cambio directo sin 2FA > SMS.
- Riesgo de bloqueo: alto en cuentas corporativas y en gestores sin clave de recuperación.
- Dependencia externa: la recuperación por correo depende de tu proveedor; la de SMS, de tu operadora.
Lo que no funciona (y conviene saber)
Cambiar la contraseña no cierra sesiones abiertas por sí solo en todos los servicios. En algunos, la sesión del atacante sigue activa hasta que revocas dispositivos manualmente. Tras un cambio por sospecha de intrusión, revisa la lista de sesiones activas y ciérralas todas.
Tampoco sirve cambiar la contraseña si el correo de recuperación está comprometido: el atacante simplemente la vuelve a restablecer. Primero asegura el correo, después el resto.
Y no funciona ignorar la reutilización: rotar una contraseña parecida (Año2025 → Año2026) no aporta protección real frente a ataques de credenciales filtrados, según estudios del sector sobre hábitos de contraseñas.
Recomendación práctica
Para cuentas personales, la combinación más equilibrada es gestor de contraseñas + 2FA por app + códigos de respaldo impresos. Para cuentas de trabajo, consulta la política del administrador antes de tocar nada: el cambio puede requerir un flujo distinto y bloquear el acceso a herramientas internas durante minutos. No hay una opción universal; la elección depende de quién controla la cuenta y de qué respaldos tienes fuera del dispositivo.
Perfiles verificables: Sitio web
Publicado el 28 de October de 2026. Última revisión: 28 de October de 2026.
