Contraseñas frente a códigos

Gestor de contraseñas o aplicación de autenticación: ¿en qué se diferencian?

Un gestor de contraseñas y una aplicación de autenticación resuelven problemas distintos, aunque ambos ayudan a proteger las cuentas. El gestor guarda nombres de usuario, contraseñas y otros datos secretos en un almacén cifrado; también puede crear contraseñas largas y únicas y rellenarlas automáticamente al iniciar sesión. La aplicación de autenticación genera códigos de un solo uso, normalmente de seis cifras. Estos códigos duran poco y se utilizan como confirmación adicional de identidad después de introducir la contraseña.

La principal ventaja del gestor de contraseñas es la comodidad y su enfoque integral. El usuario no tiene que recordar decenas de combinaciones: basta con proteger el almacén con una contraseña maestra. El servicio puede avisar de que una contraseña está repetida o comprometida y crear otra rápidamente. Esto es especialmente importante porque reutilizar una misma contraseña puede permitir que un delincuente acceda a varios servicios de golpe.

El gestor de contraseñas también ahorra tiempo: rellena los datos en sitios web y aplicaciones, y algunas soluciones sincronizan la información entre el ordenador y el móvil. Sin embargo, esa comodidad exige confiar en el propio gestor. Si alguien descubre la contraseña maestra, todo el almacén puede quedar en peligro. También existen riesgos relacionados con extensiones maliciosas, sitios de phishing, errores de software y filtraciones del proveedor del servicio. Por eso conviene elegir una solución conocida que cifre los datos, activar la autenticación multifactor y guardar los códigos de recuperación por separado.

La aplicación de autenticación suele tener una función más limitada: no guarda todas las contraseñas ni las rellena automáticamente, sino que genera un código temporal para el segundo factor. Así se reducen las consecuencias del robo de una contraseña. Aunque un delincuente la averigüe, le resultará más difícil entrar en la cuenta sin el código. La aplicación suele funcionar sin cobertura móvil ni conexión a internet, ya que el código se calcula en el propio dispositivo.

Pero también tiene puntos débiles. Perder el móvil, restablecer el dispositivo o borrar la aplicación puede complicar el acceso si antes no se han guardado los códigos de recuperación o configurado la transferencia de las entradas. Además, un código de un solo uso no sustituye a una contraseña sólida: si la contraseña es débil o se reutiliza en varios sitios, la protección sigue siendo incompleta. Los códigos por SMS suelen considerarse una opción menos segura para el segundo factor, porque alguien puede apoderarse del número mediante una estafa con la tarjeta SIM.

La elección depende de la necesidad. Un gestor de contraseñas resulta útil para quien necesita guardar de forma segura muchas contraseñas únicas y utilizarlas en varios dispositivos. Una aplicación de autenticación sirve para confirmar el inicio de sesión con un factor adicional. En la práctica, no son herramientas rivales, sino complementarias: conviene guardar contraseñas sólidas y únicas en el gestor y proteger las cuentas importantes con códigos de una aplicación de autenticación u otro método de autenticación multifactor resistente.

Para las cuentas críticas —el correo electrónico, los servicios bancarios, las plataformas de la Administración y los sistemas de trabajo— es sensato activar ambos niveles de protección. La contraseña maestra del gestor debe ser larga y única, y los códigos de recuperación deben guardarse en un lugar seguro al que no tengan acceso otras personas. Ninguna herramienta vuelve invulnerable al usuario, pero combinar un gestor de contraseñas con una aplicación de autenticación reduce notablemente el riesgo de sufrir una oleada de accesos no autorizados.