Post actualizado el día octubre 27, 2026 by DeiviSanzPlay
Por qué una checklist y no otra contraseña más
La mayoría de incidentes que llegan a un equipo de soporte no empiezan con un exploit sofisticado: empiezan con una credencial reutilizada, un gestor mal configurado o un código de verificación reenviado por WhatsApp. Esta lista de comprobación está pensada para revisarla una vez al año (o tras un susto) y detectar los puntos flacos reales, no para memorizar teorías sobre entropía.
No promete blindaje total. Ninguna checklist lo hace. Lo que sí consigue es eliminar los errores que se repiten una y otra vez.
Bloque 1: inventario y reutilización
1. Localiza las cuentas críticas antes que las demás
No necesitas auditar las 180 cuentas que tienes. Empieza por el correo principal, la banca, la nube donde guardas documentos, el gestor de contraseñas y las redes vinculadas a tu identidad pública. Ese quinteto concentra el daño potencial. Según documentación de organismos como el NIST, la reutilización de credenciales sigue siendo el vector más rentable para un atacante.
2. Comprueba si alguna contraseña aparece en filtraciones
Herramientas como Have I Been Pwned (consulta por correo, no teclees la contraseña en webs dudosas) o el propio gestor de contraseñas permiten ver si una credencial circula en volcados conocidos. Si aparece, cámbiala aunque sea «fuerte».
3. Separa contraseñas por nivel de riesgo
Una contraseña única para el foro de bicicletas y otra distinta para el banco. Suena obvio, pero en la práctica muchos usuarios mantienen la misma clave porque «es más cómodo». El coste de esa comodidad es una cadena de fallos.
Bloque 2: longitud, frases y gestores
4. Sustituye complejidad por longitud
Una frase de cuatro o cinco palabras aleatorias supera en resistencia a un «P@ssw0rd!» de nueve caracteres. La razón es matemática: cada carácter añadido multiplica las combinaciones posibles. Los requisitos de símbolos obligatorios empujan a patrones predecibles (letra mayúscula al inicio, número al final, signo de exclamación).
5. Configura el gestor de contraseñas correctamente
Aquí está el error que más veces veo en consultas reales: alguien instala un gestor, migra todo y deja la contraseña maestra como «la misma de siempre» porque es la única que debe recordar. Eso convierte el gestor en un único punto de fallo. La maestra debe ser una frase larga, única y, si el gestor lo permite, protegida con segundo factor. Además, conviene activar el bloqueo automático por inactividad y revisar qué dispositivos están autorizados.
6. Decide qué contraseñas NO guardar en el gestor
Matiz importante: para cuentas de altísimo valor (banca principal, acceso al propio correo de recuperación) algunas personas prefieren memorizar la credencial y no sincronizarla en la nube. No es una regla universal, pero es una opción legítima si el gestor usa sincronización en la nube y quieres limitar la superficie de exposición.
Bloque 3: segundo factor y recuperación
7. Revisa los métodos de doble factor por orden de robustez
De más a menos recomendable: llave física (FIDO2/WebAuthn), app de códigos TOTP, notificación push con número que debes confirmar, y por último SMS. El SMS no es inútil, pero es vulnerable a SIM swapping y a interceptación. Si una cuenta crítica solo ofrece SMS, conviene añadir una capa adicional si el servicio lo permite.
8. Guarda los códigos de recuperación fuera del móvil
Un fallo clásico: los códigos de respaldo de una cuenta están en una nota del teléfono que se pierde o se rompe junto con el segundo factor. Imprímelos o guárdalos en un lugar físico controlado. No hay contraseña que rescate una cuenta si pierdes el acceso al método de recuperación.
9. Comprueba los datos de recuperación
Número de teléfono antiguo, correo de respaldo que ya no usas, preguntas de seguridad con respuestas deducibles (nombre de tu perro, ciudad natal). Ese correo viejo puede ser la puerta trasera que nadie revisa.
Bloque 4: hábitos y dispositivos
10. Desconfía de códigos que llegan sin que los pidas
Un SMS con un código de verificación que no solicitaste significa que alguien tiene tu contraseña e intenta entrar. No es spam: es una señal de alarma. Cambia la clave inmediatamente y revisa sesiones activas.
11. Cierra sesiones y revoca accesos antiguos
Muchos servicios permiten ver dispositivos conectados. Un portátil vendido, un móvil perdido o una app de terceros con permisos heredados siguen teniendo acceso hasta que los revocas. Esto no es una contraseña, pero rompe el mismo modelo de confianza.
12. Actualiza el sistema y el navegador
Un gestor de contraseñas perfecto no protege si el dispositivo tiene un keylogger o una extensión maliciosa que lee el portapapeles. La ciberseguridad de contraseñas depende del entorno donde se escriben.
Lo que esta checklist no resuelve
No elimina el phishing, que sigue funcionando porque engaña a la persona, no a la contraseña. Tampoco protege frente a un atacante con acceso físico a un dispositivo desbloqueado. Y no sustituye a la autenticación sin contraseña (passkeys), que avanza y probablemente reducirá la relevancia de este tema en los próximos años. Mientras tanto, revisar estos doce puntos una vez al año es un esfuerzo razonable con un retorno claro.
Perfiles verificables: Sitio web
Publicado el 27 de October de 2026. Última revisión: 27 de October de 2026.
