Gestor de contraseñas y passkeys: adiós a repetir contraseñas

Si usas la misma contraseña (o variaciones de ella) en varias webs, basta con que una sola de esas webs sufra una filtración para que alguien pruebe esa combinación en tu correo, tu exchange o tus redes. Es un ataque automático y barato que se conoce como relleno de credenciales.

La solución no es memorizar cuarenta claves imposibles. Es delegar ese trabajo en un gestor de contraseñas y, donde se pueda, sustituir la contraseña por una passkey. Aquí tienes cómo funciona cada cosa y cómo hacer el cambio sin volverte loco.

Qué es un gestor de contraseñas

Es una aplicación que guarda todas tus contraseñas en una bóveda cifrada, protegida por una única contraseña maestra (y, a ser posible, un segundo factor). Además de guardarlas, las genera: claves largas, aleatorias y distintas para cada servicio.

• Autocompletado: rellena el usuario y la contraseña en la web correcta. Si la web es una copia falsa con otro dominio, no la reconoce, y eso ya es una alarma contra el phishing.
• Sincronización entre móvil y ordenador, para tener tus claves en todos tus dispositivos.
• Avisos de seguridad: muchos te indican contraseñas repetidas, débiles o aparecidas en filtraciones conocidas.
• Notas seguras para guardar datos sensibles que no son contraseñas (por ejemplo, códigos de recuperación).

Hay opciones integradas en el sistema o el navegador y aplicaciones independientes, gratuitas y de pago, algunas de código abierto. Elige una con buena reputación, cifrado de extremo a extremo y que funcione en todos tus dispositivos. Compara en sus webs oficiales: las funciones y precios cambian.

Qué son las passkeys

Una passkey (llave de acceso) es una forma de iniciar sesión sin contraseña basada en el estándar de la FIDO Alliance. En lugar de un secreto que escribes, tu dispositivo crea un par de claves: la privada se queda contigo y la web solo guarda la pública. Para entrar, desbloqueas con tu huella, tu cara o el PIN del dispositivo.

• Resisten el phishing: la passkey está ligada al dominio real del servicio, así que una web falsa no puede pedírtela.
• No se filtran como una contraseña: si hackean la web, lo que roban es la clave pública, que por sí sola no sirve para entrar.
• No hay nada que memorizar ni que te puedan sonsacar por teléfono.

Se pueden guardar en el llavero de tu sistema, en un gestor de contraseñas compatible o en una llave de seguridad física. No todas las webs las admiten todavía, por eso lo normal hoy es combinar ambas cosas: passkeys donde existan y contraseñas únicas generadas por el gestor en el resto.

Consejo: Si un servicio te ofrece passkey, actívala, pero no borres sin más tus métodos de recuperación. Comprueba antes cómo recuperarías la cuenta si pierdes el móvil.

Cómo migrar en una tarde

1. Elige el gestor y crea una contraseña maestra larga: una frase de varias palabras que no uses en ningún otro sitio.
2. Activa la autenticación en dos pasos en el propio gestor y guarda sus códigos de recuperación fuera de él (en papel, en un lugar seguro).
3. Importa las contraseñas que ya tenga guardadas tu navegador y después desactiva el guardado en el navegador si no es tu gestor elegido, para no tener dos sitios.
4. Empieza por las cuentas críticas: correo principal, banco, exchanges, cuenta de Apple o Google y redes sociales. Cambia cada clave por una generada.
5. En esas mismas cuentas, mira si ofrecen passkey y actívala.
6. El resto lo vas cambiando según entras a cada web. No hace falta hacerlo todo el mismo día.

El correo es la cuenta más importante: con él se resetea casi todo lo demás. Protégelo con contraseña única, passkey si la admite y autenticación en dos pasos, preferiblemente con app o llave física y no por SMS (te explico por qué en SIM swapping).

Lo que NO debes guardar en el gestor

Un gestor es ideal para contraseñas, pero hay una excepción clara si usas cripto: la frase semilla de tu wallet. Esa frase da control total de tus fondos y no debería estar en ningún servicio conectado a internet, ni en notas, ni en fotos, ni en la nube.

• Frase semilla: en papel o metal, offline. Lo explico en wallet de autocustodia y frase semilla.
• Códigos de recuperación del propio gestor: también fuera del gestor, o te quedas encerrado si pierdes el acceso.

Errores típicos

• Usar como contraseña maestra una que ya usabas en otra web.
• No activar el segundo factor en el gestor.
• Tener la mitad de las claves en el navegador y la otra mitad en el gestor, sin saber cuál es la buena.
• Pegar contraseñas a mano en una web que el gestor no reconoce: si no autocompleta, revisa el dominio antes de escribir nada.

Consejo: Que el gestor no rellene la contraseña en una web que crees conocer es una señal de alarma útil. Antes de forzarlo, comprueba letra a letra la dirección.