El problema real: no sos weak, tenés 40 contraseñas iguales
La mayoría de la gente tiene contraseñas Tomcat2Safe para un vistazo. La razón no es desinterés: es que la alternativa —usar una clave distinta para cada cosa y acordarse de todas— parece un trabajo extra. Y lo es. Por eso existe el gestor de contraseñas.
La idea es simple: memorizás una sola clave maestra y el resto se genera al azar y se guarda cifrado. Si alguien roba una de tus cuentas, no puede entrar a las demás. Es el mismo concepto que usar llaves distintas, pero con un solo bolsillo que lo administra.
No hace falta que todas tus claves sean (tipo "password1"). Necesitás una clave maestra fuerte, un gestor que la guarde, y un segundo factor en las cuentas que importan. Con eso, la superficie de ataque baja muchísimo.
Qué hace que una contraseña sea fuerte (y qué no)
Los criterios de siempre siguen siendo válidos, pero con un matiz importante en 2026: la longitud importa más que los símbolos.
- La longitud es lo principal. Cada carácter extra multiplica el esfuerzo. Una frase de 4 palabras aleatorias es más segura y más fácil de recordar que "P@ssw0rd!".
- Evitá los patrones predecibles. "Argentina2026!", "MFtech123" y "nombre+año" son los primeros que se prueban, porque la lista de contraseñas más usadas es pública.
- No reutilices entre servicios. Si uno se filtra, la cadena empieza: un servicio comprometido arrastra a los demás.
- Evitá cambiarla cada mes porObligación. Desde los estudios actuales, una clave larga y única es más segura que una corta que se cambia seguido y al final vuelve a ser la misma.
Los gestores: cuál elegir
Hay dos categorías. Los integrados (iCloud Keychain, Google Password Manager, Samsung Pass) son lo más simple: ya los tenés, se completan solos y no tenés que aprender nada. Para la mayoría de las pymes, esta es la recomendación.
Los dedicados (Bitwarden, KeePass, 1Password) ofrecen mejororganization: carpetas, notas seguras, generación de claves y, en el caso de 1Password, compatibilidad entre equipos y dispositivos.
- Si querés simplicity: el gestor que ya viene con tu teléfono o con el navegador. Activá el desbloqueo biométrico y listo.
- Si querés control y portabilidad: Bitwarden (gratis, código abierto) o KeePass (gratis, archivo local, sin nube).
- Si necesitás compartir con el equipo: un plan de equipo de cualquiera de los anteriores, con carpetas por área.
Guardar las claves en el gestor no es menos seguro que anotarlas en un cuaderno: está cifrado con una clave que no sale de tu dispositivo (o, si usás cifrado de nube, de tu clave maestra). Lo que sí es una pésima idea es un archivo de texto con todas las claves en el escritorio o un papel pegado al monitor.
El segundo factor: la defensa que más rinde
Si el segundo factor está bien implementado, una contraseña robada no sirve de nada. Por eso es más importante que la complejidad de la contraseña.
La forma más segura es una llave física (FIDO2 / YubiKey) o la huella dactilar del teléfono. Ambas no se pueden robar con una filtración de contraseña. El segundo factor por SMS o por mail es mejor que nada, pero weakest que una app: los SMS son interceptables y un atacante con acceso al correo puede resetear el segundo factor.
- Prioridad 1 (si hay presupuesto): llave física FIDO2 para correo, banco y administración de redes.
- Prioridad 2: app de autenticación con códigos de un solo uso (Google Authenticator, Aegis, 1Password).
- Prioridad 3: SMS. Mejor que no usar nada, peor que una app.
- Nunca: SMS en una cuenta administrativa, ni códigos que te pida por teléfono un "representante".
El plan de puesta en marcha (una tarde)
No hace falta cambiar todo de golpe. Un orden que funciona:
- Paso 1 (20 min): elegí un gestor y activá el segundo factor en las 5 cuentas más importantes: correo principal, banco, AFIP, administrador de redes y la cuenta de facturación.
- Paso 2 (1 hora): en esas cuentas, cambiá la contraseña por una larga y única, y activá el doble factor.
- Paso 3 (30 min): cambiá la clave del router y del WiFi del local, y deshabilitá el acceso WPS.
- Paso 4 (el resto, de a poco): cada vez que iniciás sesión en un sitio, guardá la clave en el gestor y eliminá la del autocompletado viejo. En dos semanas quedás limpio.
Entrá a la sección de "seguridad" de tus cuentas y revisá qué dispositivos y qué sesiones están conectados. Si ves algo que no reconocés, cerrá esa sesión y cambiá la clave. Es una tarea de 10 minutos que detecta la mayoría de los-commit persistentes.
FAQ
¿Es seguro guardar las claves en el navegador?
El gestor de contraseñas integrado en los navegadores modernos es razonable para el uso personal, con la salvedad de que queda atado a una sola cuenta. Para un negocio, conviene un gestor dedicado con plan de equipo, porque podés revocar el acceso de alguien que se va sin pedirle que cambie 40 claves.
¿Qué hago si ya me hackearon una cuenta?
Cambiá la clave desde la página oficial (escribiendo la dirección vos mismo, no desde un link del mail), cerrá todas las sesiones abiertas, activá el segundo factor, y revisá si mandaron mails o publicaciones desde tu cuenta. Para correo, revisá reglas de reenvío y App de passwords: es una vía de ataque clásica.
¿Cada cuánto debería cambiar las contraseñas?
Si usás claves únicas y largas con segundo factor, no hace falta cambiarlas seguido. Lo que sí hay que hacer es cambiar la clave maestra del gestor y las claves de las cuentas de administración de forma periódica, o de inmediato cuando alguien del equipo se va.