Gestor de contraseñas y claves de acceso (passkeys): así organiza sus inicios de sesión de forma segura
Cada cuenta necesita una contraseña propia y larga. Si utiliza la misma contraseña en varios sitios, todos quedan expuestos en cuanto se filtra una. Nadie recuerda ochenta contraseñas diferentes. Un gestor de contraseñas se encarga de ello por usted. Donde sea posible, sustituya la contraseña por una passkey, que los sitios falsos no pueden utilizar de forma indebida.
Qué hace un gestor de contraseñas
- Crea para cada servicio una contraseña larga y aleatoria: al menos 15 caracteres, o una frase de contraseña de cinco o seis palabras aleatorias.
- Guarda todo cifrado en una caja fuerte.
- Rellena la contraseña en el sitio web correcto, y solo ahí.
- A menudo avisa de contraseñas duplicadas o filtradas, y también puede guardar códigos de verificación en dos pasos y passkeys.
Usted solo tiene que recordar una: la contraseña maestra de la caja fuerte.
Tipos
| Tipo | Ventaja | Tenga en cuenta |
|---|---|---|
| Integrado en el navegador o el teléfono | Ya disponible y fácil de usar | A menudo no tiene una contraseña maestra aparte: quien acceda a su ordenador, accede a sus contraseñas. Menos adecuado para distintos sistemas y para compartir. |
| Aplicación independiente con sincronización a través del proveedor | Funciona en todos sus dispositivos, con cajas fuertes compartidas para un equipo | Confía en el proveedor; su contraseña maestra debe ser fuerte |
| Archivo de caja fuerte local en su propio ordenador | Todo bajo su propio control | Debe encargarse usted mismo de la copia de seguridad y la sincronización; compartir resulta más complicado |
Algunos ejemplos conocidos son Bitwarden, 1Password, KeePassXC y Proton Pass, además de los gestores integrados en navegadores y teléfonos. Esto no es una recomendación. A la hora de elegir, tenga en cuenta: funciona en todos sus dispositivos, puede compartir cajas fuertes y retirar a alguien de nuevo, puede proteger la caja fuerte con verificación en dos pasos, existe acceso de emergencia, y puede exportar sus datos si quiere cambiar de proveedor.
La contraseña maestra
- Conviértala en una frase de contraseña de cinco o seis palabras aleatorias, elegidas por el generador y no por usted mismo. La letra de una canción o un refrán se puede adivinar.
- No la utilice en ningún otro sitio y escríbala únicamente en la aplicación o la extensión del propio gestor.
- Active la verificación en dos pasos en la caja fuerte. Eso no es motivo para usar una contraseña maestra más corta: si el proveedor sufre un ataque, su contraseña maestra es la única protección de su caja fuerte robada.
- Olvidarla suele ser definitivo, ya que el proveedor no puede recuperarla. Anótela en papel, sin indicar para qué sirve, y guárdela en casa en un lugar seguro, junto con el código de recuperación de su gestor.
- Active el bloqueo automático tras unos minutos de inactividad.
rn y m. Consulte Reconocer el phishing: así se lee un enlace y un remitente.Compartir en un equipo y acceso de emergencia
- Es preferible dar a cada persona su propia cuenta. Si aun así debe compartir un inicio de sesión, utilice una caja fuerte compartida por tema y conceda acceso únicamente a quien lo necesite. No comparta nunca por correo, chat o una hoja de cálculo.
- Cuando alguien se marche, retírelo de la caja fuerte y cambie las contraseñas que podía ver.
- Organice el acceso de emergencia por si usted no está disponible: muchos gestores permiten a una persona de confianza entrar tras un periodo de espera. O guarde los datos de recuperación en un sobre sellado en poder de una segunda persona.
Passkeys y llaves de seguridad
Una passkey sustituye a la contraseña. Es un par de claves: la parte secreta permanece en su dispositivo o en su gestor de contraseñas, el sitio web solo guarda la parte pública. Usted desbloquea la passkey con su huella dactilar, su rostro o un código PIN; eso ocurre en su propio dispositivo.
- No funciona en un sitio falso. Una passkey pertenece al dominio real, y eso lo comprueba su navegador. En un sitio similar no hay ninguna passkey, por lo que no hay nada que rellenar o aprobar por error.
- Nada que descifrar. Si el sitio web sufre una filtración, el atacante solo obtiene claves públicas.
- Una llave de seguridad es un pequeño dispositivo para el puerto USB o para acercar a su teléfono, con passkeys que no pueden salir de ella. Registre siempre al menos dos llaves y guarde la llave de reserva en otro lugar.
- Si su passkey está en un gestor de contraseñas o en la cuenta de su teléfono, se sincroniza con sus demás dispositivos. Proteja entonces esa cuenta con especial cuidado.
- A menudo su contraseña sigue funcionando igualmente. Manténgala, por tanto, larga y única.
En WebOké
| Servicio | ¿Qué es posible? |
|---|---|
| Nextcloud | Es posible iniciar sesión con una passkey o una llave de seguridad, en Iniciar sesión sin contraseña. Su contraseña y sus demás métodos siguen funcionando. Para las aplicaciones, cree una contraseña de aplicación; guárdela también en su gestor. Consulte Configurar una aplicación de autenticación y guardar los códigos de recuperación. |
| Mi WebOké | No hay passkeys. Después de su contraseña, Mi WebOké siempre solicita un código de inicio de sesión por correo electrónico (El código de inicio de sesión por correo electrónico), o un código de una aplicación de autenticación. No existen códigos de recuperación: si pierde la aplicación, póngase en contacto con nosotros. |
| DirectAdmin | Autenticación en Dos Pasos con una aplicación de autenticación y códigos de recuperación, consulte Configurar la Autenticación en Dos Pasos. |
| Buzones de correo | Un programa de correo inicia sesión con la contraseña. Asigne a cada buzón una contraseña propia y larga de su gestor. |
Para más información sobre contraseñas seguras, consulte Contraseñas seguras y qué hacer si se filtra una contraseña, y en el NCSC en ¿Cómo elijo un gestor de contraseñas? y ¿Cómo elijo un método MFA?