"¿Cómo guarda todo el mundo realmente sus contraseñas?". Respondamos a eso con datos de encuestas fiables y luego trabajemos hacia atrás hasta llegar a un método seguro. La versión corta: los hábitos de almacenamiento más comunes son justo los que explotan los atacantes.
Lo que dicen los datos sobre "cómo las guarda todo el mundo"
Las cifras varían según el país y la encuesta, pero varios estudios fiables muestran el mismo patrón.
El informe anual de Security.org halla que más de la mitad de los adultos de EE. UU. confían en métodos que no son un gestor (memoria, navegador, papel). El almacenamiento en el navegador también va en aumento — pero muchas de las personas que guardan contraseñas en el navegador no se dan cuenta de la diferencia de seguridad frente a un gestor dedicado.
Por qué ser "como todo el mundo" es arriesgado
Los hábitos comunes llevan directo a la reutilización, las contraseñas débiles y la pérdida — justo el terreno en el que mejor se desenvuelven los atacantes.
Cuando "gestionas de memoria", limitas tus contraseñas a lo que puedes recordar — así que reutilizas las mismas o variantes parecidas. Entonces basta con que se filtre un solo servicio para que un atacante pruebe ese par en todas partes (credential stuffing). El hecho de que la mayoría de las contraseñas filtradas estén reutilizadas muestra cómo priorizar el "fácil de recordar" se convierte directamente en una cadena de compromiso.
Qué tan seguro es cada método de almacenamiento
Común pero arriesgado
- Memoria: limitada a lo que puedes recordar → empuja a la reutilización y a cadenas débiles
- Papel / notas adhesivas: vulnerable a la pérdida, a las miradas indiscretas y a desaparecer; no escala
- Almacenamiento en el navegador: mejor que nada, pero débil ante la toma del dispositivo y pobre en monitorización/uso compartido
- Texto plano en una hoja de cálculo / app de notas: la filtración de un solo archivo lo expone todo
Métodos seguros
- Gestor de contraseñas: genera y guarda automáticamente una contraseña robusta y única por sitio; no autocompleta en sitios falsos = resistente al phishing
- Passkeys: un inicio de sesión sin ningún secreto compartido que se pueda robar
- MFA: frena el uso indebido aunque se filtre una contraseña
- Papel solo para códigos de recuperación: limítalo a códigos de recuperación y similares
La idea no es "deja de usar la memoria o el papel" — es eliminar la necesidad de recordar por completo. El gestor hace que cada inicio de sesión sea único y los recuerda por ti, de modo que solo tienes que proteger una contraseña maestra robusta (y su copia de seguridad).
La visión de este sitio: los datos reflejan a la mayoría, no a unos pocos descuidados
Lo que destaca es que el almacenamiento arriesgado no es cosa de un puñado de personas descuidadas — es el statu quo dominante. Justamente por eso una solución sistémica vence a la fuerza de voluntad. Primero haz que cada cuenta sea única con un gestor de contraseñas, luego refuerza las cuentas importantes que usas para recuperar las demás — correo, nube — con passkeys y MFA resistente al phishing. Eso por sí solo elimina la mayoría de las "debilidades comunes" que señalan los datos de arriba.
Qué método de almacenamiento encaja con tu situación
Aunque en principio lo mejor sea un gestor dedicado, la opción realista depende de tus dispositivos y de tu hogar. Elige algo que vayas a seguir usando.
| Tu situación | Lugar recomendado | Por qué |
|---|---|---|
| Solo iPhone y Mac | La app Contraseñas integrada (Llavero de iCloud) | Generación, autocompletado y avisos de filtración sin suscripción adicional |
| Sobre todo Android y Chrome | Gestor de contraseñas de Google | Ya viene integrado en Chrome y en el teléfono, con la revisión de contraseñas (Password Checkup) |
| Plataformas mezcladas, p. ej. Windows más iPhone | Un gestor de contraseñas dedicado en la nube | Una sola bóveda en todos los sistemas operativos |
| Compartir cuentas con la familia | Un gestor dedicado con función para compartir | Sin enviar contraseñas por chat o correo |
| Un familiar al que le cuesta la tecnología | El almacén integrado del sistema, más la información de recuperación en papel | Pocos pasos, fácil de mantener. Una hoja en un lugar fijo de casa |
| Cuentas del trabajo | Lo que indique tu empresa | No mezcles los accesos del trabajo en un gestor personal |
Los almacenes de contraseñas integrados en el sistema son mucho más seguros que la memoria, el papel o una app de notas. Si dudas, empieza por el almacén del dispositivo que ya usas y pasa a un gestor dedicado cuando necesites cruzar plataformas.
Cómo revisar tus propios hábitos de almacenamiento
Puedes detectar los puntos débiles en unos diez minutos.
Haz una revisión de las contraseñas guardadas
En Chrome: tu perfil arriba a la derecha → «Contraseñas» (o Más → «Contraseñas y autocompletar» → «Gestor de contraseñas de Google») → "Checkup" (revisión) a la izquierda. Muestra las contraseñas comprometidas, reutilizadas y débiles. En iPhone, la sección «Seguridad» de la app Contraseñas agrupa el mismo tipo de avisos.
Busca copias en texto plano
Busca "contraseña", "password" o "pass" en tu app de notas, las fotos del teléfono (capturas de pantalla), los mensajes que te envías a ti mismo y las hojas de cálculo o archivos de texto. Pasa lo que encuentres a un almacén adecuado y borra los originales, también de la papelera.
Corrige primero la reutilización en las cuentas importantes
Aunque el paso 1 muestre muchos avisos, no hace falta arreglarlos todos a la vez. Cambia primero el correo, la cuenta de Apple/Google, el banco y las tiendas online.
Comprueba la fortaleza de las contraseñas que debes elegir tú
Para las que tienes que elegir tú, como una contraseña maestra, comprueba la longitud y lo fácil que es adivinarlas con el comprobador de fortaleza de contraseñas.
Errores habituales y cómo corregirlos
- Rotar cambiando solo el último dígito: es fácil de adivinar a partir de la anterior. Cámbiala por algo completamente distinto, y solo cuando recibas un aviso de filtración.
- "Una contraseña robusta para todo": la fortaleza no importa si una sola filtración expone todas las cuentas. Usa una distinta por servicio.
- Conservar las notas o la hoja de cálculo antiguas tras importarlas a un gestor: borra los originales en texto plano una vez importados.
- Guardar los códigos de recuperación solo dentro del gestor: no podrás llegar a ellos si te quedas fuera. Guárdalos también en otro sitio, por ejemplo en papel.
Ejemplos reales: cómo influyó el almacenamiento en el daño
Dos casos de los análisis de incidentes de este sitio en los que el almacenamiento y la reutilización alimentaron directamente el daño.
- Takufile-bin (2019): el operador guardaba las contraseñas de inicio de sesión en texto plano, y se filtraron junto con unos 4,8 millones de registros. Los usuarios que reutilizaban esas contraseñas en otros sitios también corrían riesgo allí. Lo que podían hacer los usuarios: dar a cada servicio su propia contraseña.
- 7pay (2019): no había verificación en dos pasos, así que bastaban un ID y una contraseña para iniciar sesión. Una contraseña reutilizada de una filtración en otro sitio podía entrar directamente. Del lado del usuario, lo que ayuda es dejar de reutilizar y activar la verificación en dos pasos donde se ofrezca.
En ambos casos, aunque hubiera fallos del lado del operador, los usuarios con una contraseña única por servicio podían evitar que el daño se extendiera a sus otras cuentas.
Sigue leyendo
- Comprueba filtraciones: cómo saber si tu contraseña se ha filtrado (Have I Been Pwned)
- En la práctica: cómo elegir un gestor de contraseñas (el paso básico que elimina la necesidad de recordar)
- Una pregunta común: ¿es seguro guardar contraseñas en Google Drive?
- Siguiente paso: qué es una passkey / cómo elegir MFA
- El lado de quien construye: cómo guardar contraseñas con seguridad (hashing y salt)
Fuentes
- Security.org, "Password Manager Annual Report (2024)": security.org
- Bitwarden, "World Password Day Global Survey (2024)": bitwarden.com
- Verizon, "2024 Data Breach Investigations Report (DBIR)": verizon.com
- NIST, "SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management" (agosto de 2025): pages.nist.gov
- Google, "Check if your passwords have been exposed or are weak" (Password Checkup): support.google.com
- Apple Platform Security, "Password security recommendations": support.apple.com