2Sustituye la contraseña maestra por una passphrase larga y única
La contraseña maestra es el único secreto que el usuario memoriza y la única llave que abre la bóveda donde descansan todas las demás credenciales: es justo el punto donde un ataque automatizado rentabiliza mejor su esfuerzo. Los bots ya no se limitan a probar combinaciones al azar; herramientas como Atlantis AIO, documentada en febrero de 2025, lanzan millones de pares usuario-contraseña robados contra más de 140 plataformas, y la automatización con IA permite además imitar el ritmo y el comportamiento de una persona para esquivar los sistemas antifraude. Frente a esa escala, la longitud pesa más que la complejidad aparente: el NCSC británico recuerda que una contraseña de ocho caracteres con símbolos cae en minutos, mientras que una frase de tres palabras aleatorias resiste siglos. Sustituir la clave corta por una passphrase es, por tanto, el ajuste más barato y de mayor impacto inmediato.
La recomendación concreta es construida con cuatro o cinco palabras sin relación entre sí, siguiendo el método Diceware con una lista como la de la EFF, y no con citas de canciones, frases hechas ni datos personales, que ya figuran en los diccionarios de los atacantes. Cada palabra de esa lista aporta unos 12,9 bits de entropía, de modo que cinco rondan los 65 bits y seis se acercan a los 78. Debe ser única: la passphrase no puede repetirse en ningún otro servicio, porque el relleno de credenciales explota precisamente los secretos reutilizados cuando una filtración ajena los pone en circulación. Conviene además endurecer el KDF del gestor —Argon2id con 64 MiB, tres iteraciones y paralelismo 4, o PBKDF2 con al menos 600.000 iteraciones en Bitwarden—, porque encarece cada intento si el atacante trabaja ya sobre una copia cifrada. Si cuesta memorizarla, es mejor anotarla y guardarla en un lugar físico seguro que rebajar su fortaleza, y activar después segundo factor o passkeys.
