MFA y contraseñas seguras
Mejores prácticas reales para reducir el riesgo
Combinar MFA con buenas contraseñas no es un “checklist”. Es una estrategia para reducir el impacto de fallos, phishing y robo de credenciales.
1) Empieza por el objetivo: limitar el daño
Una cuenta comprometida rara vez se rompe por una sola causa. Lo habitual es una cadena: alguien obtiene una contraseña (por reutilización, phishing o fuga), y luego intenta entrar desde otro dispositivo. La MFA reduce la probabilidad de que ese paso final tenga éxito.
El valor práctico es simple: incluso si una contraseña cae, necesitas un segundo factor que el atacante no pueda adivinar ni “reutilizar”.
2) Elige el segundo factor con criterio
No todos los métodos de verificación tienen el mismo nivel de resistencia frente a técnicas modernas.
- Autenticadores (TOTP): suelen ser una buena opción si no puedes usar llaves físicas.
- Llaves de seguridad (FIDO2/WebAuthn): normalmente ofrecen la mejor protección frente a phishing, porque el proceso depende de la clave del dispositivo.
- SMS: como capa adicional puede servir, pero es el menos robusto frente a ciertos ataques.
Si tu servicio permite varias opciones, prioriza primero llaves de seguridad y después autenticación basada en aplicación.
3) Contraseñas: largas, únicas y memorizables de forma inteligente
Las contraseñas “complejas” no sirven si se reutilizan. La regla operativa es:
Usa frases largas, únicas por servicio, y evita la reutilización.
Piensa en una frase que puedas recordar, pero que sea difícil de reconstruir. Ejemplo conceptual: una combinación de palabras con un patrón personal que no sea adivinable por un tercero. Cuanto más larga sea la contraseña, más difícil es el ataque por fuerza bruta o por listas.
4) Gestiona credenciales con un gestor de contraseñas
Un gestor no es “comodidad”. Es reducción de riesgo: minimiza que repitas contraseñas, mejora el manejo de sitios nuevos y centraliza el control. Si el servicio lo permite, configura también la verificación adicional para la cuenta del gestor (porque si se compromete, el impacto es alto).
5) Quita el acceso residual y revisa la configuración
MFA puede “parecer” activada, pero a veces hay huecos. Revisa con frecuencia:
- Dispositivos autorizados.
- Emails de recuperación y teléfonos asociados.
- Sesiones abiertas en dispositivos que ya no usas.
- Alertas de inicio de sesión (si existen).
Si cambias de número o de dispositivo, actualiza recuperación y vuelve a probar el proceso de inicio con tu segundo factor.
6) No confíes solo en la contraseña “correcta”
El phishing está diseñado para engañar el momento exacto de autenticación. Por eso, la mejor defensa incluye:
- Atención al dominio y a la ruta del sitio.
- Desconfianza de urgencias (“verifica ahora”, “bloqueo en curso”).
- Preferir métodos resistentes al phishing cuando estén disponibles.
7) Rutina de seguridad: un hábito corto que marca diferencia
Una vez al mes, dedica pocos minutos a:
- Actualizar MFA donde falte.
- Revisar cuentas clave (correo, banco, gestores, redes principales).
- Verificar que la recuperación apunta a lo correcto.
Checklist rápida (para aplicar hoy)
Activa MFA en tus cuentas más importantes.
Usa un segundo factor resistente (llave o app, según disponibilidad).
Contraseñas únicas y largas, sin reutilización entre servicios.
Revisa recuperación (email y teléfono) y dispositivos autorizados.
Si quieres una ruta clara para el aprendizaje, puedes seguir este enfoque por niveles: primero proteger el acceso (MFA y contraseñas), luego reforzar hábitos contra el phishing y, por último, revisar recuperación y sesiones.