Tres cosas distintas con nombres parecidos, por qué el correo es la llave maestra y qué segundo factor elegir.
🎯 Objetivo de la lección
Distinguir tres cosas que se confunden constantemente —contraseña, clave privada y frase de recuperación—, y proteger bien la primera, que es la que casi nadie cuida y la que abre todas las demás puertas.
🧩 Tres cosas distintas con nombres parecidos
Buena parte de los errores de esta lección vienen de mezclar conceptos que no tienen nada que ver.
Una contraseña la eliges tú y da acceso a un servicio: tu correo, una plataforma, el desbloqueo de una aplicación. Se puede cambiar, y si el servicio es serio, recuperar.
Una clave privada no la elige nadie: es un número enorme generado al azar, y es lo que permite gastar unos fondos. No se cambia ni se recupera.
La frase de recuperación son las palabras de las que salen todas tus claves privadas. Equivale a tenerlas todas a la vez.
La consecuencia práctica: una contraseña protege un acceso; la frase ES el acceso. Por eso cambiar la contraseña de tu cartera no protege nada si alguien tiene tus palabras, y por eso ninguna contraseña que elijas puede compensar una frase mal guardada.
Lo que hace una contraseña sobre una cartera es impedir que quien coja tu teléfono opere con ella. Es útil y es otra cosa.
🔓 El correo es la llave maestra
Aquí está el punto ciego más grande, y no tiene nada de cripto.
Tu dirección de correo es el mecanismo de recuperación de casi todas tus cuentas. Quien entra en ella puede pedir restablecer contraseñas en cadena: la plataforma donde operas, la copia en la nube, la tienda de aplicaciones desde la que instalas.
Es habitual ver a alguien proteger su cartera con mucho cuidado y tener el correo con una contraseña de hace años, reutilizada y sin segundo factor. El atacante no necesita romper lo fuerte si puede rodearlo.
Si de esta lección solo te llevas una cosa, que sea esta: la cuenta de correo merece la protección más fuerte que tengas, por encima de cualquier otra.
🔑 Contraseñas: lo que importa de verdad
Las reglas clásicas —mayúsculas, números, símbolos— importan menos de lo que se cree. Dos cosas importan mucho más:
Que sean largas. La longitud gana a la complejidad. Una secuencia de cuatro o cinco palabras sin relación entre sí es más resistente que ocho caracteres con símbolos, y se recuerda mejor.
Que no se repitan. Es lo más importante y lo que menos se cumple. Cuando un servicio cualquiera sufre una filtración —ocurre constantemente—, esa combinación de correo y contraseña se prueba automáticamente en todos los demás sitios. Una contraseña excelente reutilizada en diez sitios es tan débil como el peor de los diez.
Recordar contraseñas distintas para todo es imposible sin ayuda, y de ahí los gestores de contraseñas. Merecen un matiz: son una buena idea para tus cuentas, y hay que pensárselo dos veces antes de meter ahí la frase de recuperación, porque eso concentra en un solo sitio el acceso a tu vida digital y a tus fondos. Ya lo vimos en la lección anterior.
📲 El segundo factor, y cuál elegir
El segundo factor añade algo que hay que tener, además de algo que hay que saber. Si alguien consigue tu contraseña, aún le falta.
No todos valen lo mismo, y la diferencia importa:
Por SMS. El más extendido y el más débil. Existe una técnica conocida por la que alguien consigue duplicar tu línea presentándose en una tienda con datos tuyos; a partir de ahí recibe tus códigos. Es mejor que nada, y es el que conviene evitar en las cuentas importantes.
Con una aplicación de códigos. Genera un número que cambia cada pocos segundos, en tu dispositivo, sin depender de la línea telefónica. Es el equilibrio razonable para casi todo el mundo.
Con una llave física. Un pequeño dispositivo que hay que tener delante. Es el más resistente, incluso frente a webs falsas, porque comprueba la dirección real del sitio antes de responder.
Y un detalle que se pasa por alto siempre: al activar el segundo factor, casi todos los servicios te dan códigos de respaldo. Si pierdes el teléfono y no los tienes, te quedas fuera de tu propia cuenta. Guárdalos como guardarías algo importante, no en la misma aplicación que estás protegiendo.
🎣 Lo que el segundo factor no evita
Conviene no darle más crédito del que tiene.
Si entras en una web falsa que imita a la real y escribes allí tu contraseña y tu código, quien está al otro lado puede usar ambos de inmediato en la web auténtica. El segundo factor no distingue si estás en el sitio correcto: solo comprueba que el código es válido.
Contra eso hay dos defensas, y ninguna es el segundo factor: llegar al sitio escribiendo tú la dirección, y usar una llave física, que sí verifica el dominio.
Dicho de otro modo: el segundo factor protege de que te roben la contraseña, no de que te convenzan de entregarla.
🚪 Revisar lo que ya has concedido
Una costumbre que casi nadie tiene y que cuesta diez minutos al año.
Las cuentas acumulan accesos: sesiones abiertas en dispositivos que ya no usas, aplicaciones a las que diste permiso una vez, conexiones de terceros que olvidaste. Cada una es una puerta que sigue abierta.
Casi todos los servicios tienen una sección de seguridad donde se ven las sesiones activas y las aplicaciones autorizadas. Revisarla de vez en cuando y cerrar lo que no reconozcas es de las cosas más rentables que se pueden hacer en poco tiempo.
En el mundo cripto existe el equivalente: los permisos que concedes a aplicaciones para operar con tus fondos. Se revocan igual, y conviene hacerlo con lo que ya no uses.
📌 En resumen
Contraseña, clave privada y frase de recuperación son cosas distintas. Una contraseña protege un acceso; la frase ES el acceso.
El correo es la llave maestra: recupera todo lo demás. Merece tu protección más fuerte.
En contraseñas importa la longitud y sobre todo no repetirlas. Una excelente reutilizada es tan débil como el peor sitio donde la pusiste.
Segundo factor: el SMS es el más débil; una aplicación de códigos es el equilibrio razonable; una llave física, lo más resistente.
Guarda los códigos de respaldo del segundo factor, y no en la aplicación que protege.
El segundo factor no protege de una web falsa donde tú entregas ambos datos.
Revisa una vez al año las sesiones abiertas y los permisos concedidos.
➡️ Qué viene después
Todo lo anterior se apoya en algo que damos por seguro sin pensarlo: el dispositivo desde el que lo haces. En la siguiente lección vemos por qué es parte del sistema de seguridad y qué lo convierte en el eslabón débil.