Gestor de contraseñas y passkeys: así gestiona su inicio de sesión de forma segura

Cada cuenta necesita su propia contraseña larga. Si utiliza la misma contraseña en varios sitios, todos quedan expuestos en cuanto se filtra una. Nadie recuerda ochenta contraseñas distintas, pero un gestor de contraseñas lo hace por usted. Siempre que sea posible, sustituya la contraseña por una passkey, que los sitios falsos no pueden aprovechar.

Qué hace un gestor de contraseñas

• Crea para cada servicio una contraseña larga y aleatoria: al menos 15 caracteres, o una frase de contraseña de cinco o seis palabras aleatorias.
• Lo guarda todo cifrado en una bóveda.
• Rellena la contraseña en el sitio web correcto, y solo en ese.
• A menudo le avisa de contraseñas repetidas o filtradas, y también puede guardar códigos de verificación en dos pasos y passkeys.

Usted solo tiene que recordar una: la contraseña maestra de la bóveda.

Tipos

Nuestra recomendación: Proton Pass (una empresa suiza con una versión gratuita muy completa) o 1Password con una cuenta en 1password.eu (una empresa canadiense, de pago y muy fácil de usar). Ambos funcionan en su Mac, su PC con Windows, su teléfono y en todos los navegadores principales. Bitwarden también es bueno, pero es una empresa estadounidense: se le aplica la legislación de Estados Unidos, aunque su bóveda esté en la UE. En la guía El gestor de contraseñas en la práctica comparamos 23 gestores de contraseñas en cuanto a facilidad de uso, seguridad y UE/RGPD, y le explicamos paso a paso cómo configurar Proton Pass o 1Password.

Al elegir, compruebe lo siguiente: ¿funciona en todos sus dispositivos?, ¿puede compartir bóvedas y volver a quitarle el acceso a alguien?, ¿puede proteger la bóveda con verificación en dos pasos?, ¿hay acceso de emergencia?, y ¿puede exportar sus datos si quiere cambiar de gestor?

La contraseña maestra

• Conviértala en una frase de contraseña de cinco o seis palabras aleatorias, elegidas por el generador y no por usted. La letra de una canción o un refrán se pueden adivinar.
• No la utilice en ningún otro sitio y escríbala solo en la aplicación o la extensión del propio gestor.
• Active la verificación en dos pasos en la bóveda. Eso no justifica una contraseña maestra más corta: si el proveedor sufre un ataque, su contraseña maestra es la única protección de su bóveda robada.
• Si la olvida, a menudo no hay vuelta atrás, porque el proveedor no puede recuperarla. Anótela en papel, sin indicar para qué es, y guárdela en casa en un lugar seguro, junto con el código de recuperación de su gestor.
• Active el bloqueo automático tras unos minutos de inactividad.

Compartir en un equipo y acceso de emergencia

• Es preferible dar a cada persona su propia cuenta. Si aun así necesita compartir un inicio de sesión, utilice una bóveda compartida por tema y dé acceso solo a quien lo necesite. Nunca comparta contraseñas por correo, chat o en una hoja de cálculo.
• Si alguien deja el equipo, retírele el acceso a la bóveda y cambie las contraseñas que podía ver.
• Organice un acceso de emergencia por si usted no está disponible: muchos gestores permiten que una persona de confianza acceda tras un periodo de espera. O guarde los datos de recuperación en un sobre cerrado en poder de otra persona.

Passkeys y llaves de seguridad

Una passkey sustituye a la contraseña. Se trata de un par de claves: la parte secreta permanece en su dispositivo o en su gestor de contraseñas, y el sitio web solo guarda la parte pública. Usted desbloquea la passkey con su huella dactilar, su rostro o su PIN, y eso ocurre en su propio dispositivo.

• No funciona en un sitio falso. Una passkey está vinculada al dominio auténtico, y su navegador lo comprueba. En un sitio que lo imita no hay passkey, así que no hay nada que rellenar o aprobar por error.
• No hay nada que descifrar. Si el sitio web sufre una filtración, el atacante solo obtiene claves públicas.
• Una llave de seguridad es un pequeño dispositivo que se conecta al puerto USB o se acerca al teléfono, con passkeys que no se pueden extraer. Registre siempre al menos dos llaves y guarde la de reserva en otro lugar.
• Si su passkey está en un gestor de contraseñas o en la cuenta de su teléfono, se sincroniza con sus otros dispositivos. Proteja esa cuenta con especial cuidado.
• A menudo su contraseña también sigue funcionando. Por eso, manténgala larga y única.

En WebOké

Puede leer más sobre contraseñas seguras en Contraseñas seguras y qué hacer si se filtra una contraseña, y en el NCSC en ¿Cómo elijo un gestor de contraseñas? y ¿Cómo elegir un método MFA?

¿Quiere aprender más? Siga el curso gratuito Seguridad en línea para empresarios, lección 2.2 Elegir y usar gestores de contraseñas, o el curso gratuito Migrar a una nube europea, lección 7.4 Trasladar las contraseñas a un gestor de contraseñas.