Tu router tiene dos contraseñas, y casi nadie lo sabe.
Una es la del wifi: la que dictas por teléfono, la que está apuntada en un papel en la cocina, la que le lees al fontanero. La otra es la de administración del propio aparato, la que abre el panel donde se configura todo. Esa segunda casi nunca se toca, y si tú no la has tocado sigue siendo exactamente la que venía impresa en la pegatina de debajo.
Las dos protegen cosas distintas y fallan de maneras distintas. Merece la pena separarlas, porque veinte años de conversación sobre «la contraseña del wifi» han servido, entre otras cosas, para tapar a la otra.
La que te sabes y la que no has mirado nunca
La clave del wifi decide quién puede conectarse a la red. Es un permiso de entrada: con ella, un dispositivo entra en tu red local y convive con los demás.
La contraseña de administración decide quién puede cambiar cómo funciona la red. Desde ese panel se toca el nombre de la red, el tipo de cifrado, qué servidores DNS usa tu casa entera, qué puertos están abiertos hacia fuera y si el router se puede administrar desde internet. No es una puerta más: es la puerta desde la que se reconfiguran las demás.
Ahí está la asimetría incómoda. Si alguien tiene la clave del wifi, está en tu red. Si alguien tiene la de administración, tu red es suya: puede cambiar la clave del wifi, bajar el cifrado o desviar por dónde sale tu tráfico, y tú te enterarías por el efecto, nunca por un aviso.
La recomendación de CISA sobre esto no tiene matices: cambia el usuario y la contraseña de acceso al router, porque la información que trae de fábrica puede ser pública y estar al alcance de cualquiera, y pon una larga, aleatoria y única. Y añade otra que casi todo el mundo incumple sin darse cuenta: que no sea la misma que la del wifi. Son dos cosas distintas y se comparten de forma muy distinta —una la sabe medio barrio; la otra no debería saberla nadie.
2011 el botón que parecía cómodo
Hay un tercer secreto en tu router del que casi nunca se habla: el PIN de WPS, el sistema de emparejamiento rápido que aparece como un botón en el aparato y como un número de ocho cifras en la pegatina.
En diciembre de 2011, el CERT/CC publicó la nota de vulnerabilidad VU#723755, a partir del trabajo de Stefan Viehböck, sobre una debilidad de diseño en la comprobación de ese PIN. Lo relevante para ti no es el detalle técnico: es la respuesta oficial, que sigue siendo la misma quince años después. No había parche; había un interruptor. La recomendación era —y es— entrar en la configuración y desactivar WPS. CISA lo repite hoy en su guía para redes domésticas, en la misma lista donde pide desactivar la administración remota.
Es la parte más rentable de todo este artículo: dos casillas que se desmarcan una vez y no vuelven a molestarte.
2015 cuando la clave de fábrica venía calculada
Una contraseña de fábrica no es un secreto tuyo. Es un valor que eligió el fabricante, que está impreso en el aparato, que sale en el manual y que muchas veces se repite en todas las unidades de un modelo.
Y hay casos publicados de algo peor: claves de fábrica que no eran aleatorias sino calculadas a partir de datos que el propio router emite al aire. En el catálogo del NIST está el CVE-2015-0558, sobre un router doméstico que generaba su clave WPA a partir de una cadena fija y de su dirección MAC. Poco después, un aviso público de SEARCH-LAB sobre un módem de cable muy extendido en Europa lo decía con una frase que lo resume todo: «el SSID y la contraseña por defecto se derivan únicamente de la dirección MAC. Como la dirección MAC se emite por wifi, la contraseña por defecto se puede calcular fácilmente.» El operador acabó escribiendo a sus clientes para pedirles que la cambiaran.
No hace falta saber cómo se hacía eso —y aquí no se va a contar— para quedarse con lo único que importa: una clave que el fabricante pudo generar, otro pudo reproducirla. Tu clave de fábrica no es aleatoria por ser larga y fea. Es fea porque salió de un procedimiento, y los procedimientos se estudian.
La contraseña más fácil de hacer larga que vas a tener
Ahora la buena noticia, y es rara, porque casi ningún consejo de seguridad sale gratis.
Todas las contraseñas de tu vida arrastran el mismo enemigo escondido: hay que teclearlas. Muchas veces, a mano, en un móvil, con prisa. Por eso la gente las hace cortas y por eso «pon una de treinta caracteres» suena a castigo.
La del wifi no tiene ese problema. La escribes una vez por dispositivo y no vuelves a verla: el móvil, el portátil y la tele la recuerdan para siempre. Y cuando hay que dársela a alguien, casi todos los móviles y buena parte de los routers modernos la comparten con un código QR, sin que nadie teclee nada.
O sea: la longitud sale prácticamente gratis, y por eso no hay excusa para que sea corta. El estándar IEEE 802.11i, que define esto desde 2004, admite frases de paso de hasta 63 caracteres. Casi nadie llega ni a la mitad.
¿Qué poner? CISA propone algo muy concreto y muy fácil de seguir: una frase de paso memorable de cinco a siete palabras sin relación entre sí, con al menos dieciséis caracteres en total, y que no uses en ninguna otra cuenta. Es la lógica de diceware aplicada al salón de tu casa. Si prefieres una cadena aleatoria y dejar que el QR haga el trabajo, mejor todavía: sácala del generador y no la vuelvas a mirar. Y si la que tienes ahora te da dudas, pásala por el comprobador antes de decidir nada.
2018 qué es WPA3 y por qué cambia las cuentas
En 2018 la Wi-Fi Alliance presentó WPA3, el relevo de WPA2. Hoy es obligatorio para cualquier equipo que quiera llevar el sello Wi-Fi CERTIFIED.
El cambio de fondo tiene un nombre feo, SAE, y una consecuencia muy fácil de entender. Con WPA2, alguien que estuviera cerca podía capturar el saludo inicial entre tu móvil y el router, irse a su casa y probar contra ese fichero millones de claves por segundo, sin límite de intentos y sin que nadie se enterase. Es exactamente el problema de una filtración de contraseñas: cuando el material está en el disco del atacante, no hay nadie al otro lado que diga que no.
WPA3 rompe eso. En palabras de la propia Wi-Fi Alliance, «WPA3-Personal sustituye la clave precompartida de WPA2 (WPA2-PSK) por Simultaneous Authentication of Equals (SAE). A diferencia de WPA2-PSK, SAE es resistente a los ataques de diccionario fuera de línea.» Cada intento vuelve a exigir hablar con el router, y un router que recibe miles de intentos fallidos puede notarlo y frenar.
Y luego está la parte honesta, que el mismo documento se encarga de decir. Esa resistencia significa que «el peso de la seguridad de la contraseña deja de recaer sobre los usuarios», y que exigir mayúsculas y símbolos ya no es un requisito válido con SAE. Pero no es un permiso para poner una mala: el ataque activo sigue existiendo, y la especificación lo remata sin rodeos —las contraseñas usadas con SAE deben ser extremadamente difíciles de adivinar. Es lo mismo que el NIST lleva años diciendo del resto de tus contraseñas: la longitud manda sobre la retorcedura.
Dos avisos prácticos. Si tu router no llega a WPA3, CISA da por buenas WPA3 Personal y WPA2 con AES, y solo esas dos; una red abierta, WEP o TKIP no son una contraseña débil, son no tener ninguna. Y si activas el modo de transición, tu red acepta a la vez WPA3 y WPA2 para que entren los aparatos viejos: es una decisión razonable en una casa con una impresora de 2013, pero conviene saber lo que es —mientras esté puesto, tu red conserva una puerta WPA2—. Si todo lo tuyo entra por WPA3, quítalo.
2024 la ley se mete debajo de la pegatina
Durante décadas esto fue un problema de consejos. Ahora es también un problema de normativa.
El 29 de abril de 2024 entró en vigor en el Reino Unido el régimen de la PSTI, la ley de seguridad de productos conectados, que prohíbe las contraseñas por defecto universales en los aparatos de consumo: se acabó el modelo por el que todas las unidades de un producto salían de fábrica con la misma clave. La ley sí admite una contraseña por defecto única por unidad, que es justo el caso de la pegatina con una cadena distinta en cada router. En la Unión Europea, los requisitos de ciberseguridad de la Directiva de Equipos Radioeléctricos —el Reglamento Delegado (UE) 2022/30— son de aplicación obligatoria desde el 1 de agosto de 2025.
De ahí se deducen dos cosas, y no son la misma. La primera: los routers nuevos van a llegar mejor de fábrica. La segunda, que es la que te toca: nada de esto se aplica hacia atrás al aparato que ya tienes en el salón. Si lleva seis años ahí, en tu casa sigue rigiendo el mundo de antes.
La red de invitados, o dejar de dictar tu clave
Piensa en cuánta gente sabe tu clave del wifi. El cuñado, la canguro, el amigo que vino a cenar en 2022 y sigue teniendo el móvil configurado, el técnico que subió a instalar algo.
Ninguno de ellos tiene solo un permiso para salir a internet: tiene un dispositivo dentro de tu red local, al lado de tu disco en red, tu impresora y tus cámaras. Y no tienes ni idea de cómo está ese dispositivo.
La red de invitados es la respuesta, y es una función que ya tienes y no usas. CISA lo dice con todas las letras: si tu router tiene red de invitados, actívala, ponle una contraseña propia —larga, aleatoria y única— y que la use todo el que no se conecte a tu wifi de forma habitual. Y añade algo que casi nadie hace: manda ahí también a los cacharros conectados —el enchufe inteligente, la tele, el robot— si lo único que necesitan es salir a internet, para que no puedan descubrir al resto de aparatos de la casa.
Es el principio de todo este blog aplicado a la sala de estar: una credencial por sitio. Tu wifi principal es un sitio. Las visitas son otro.
Qué hacer, en orden
- Entra en el panel del router y cambia la contraseña de administración. Es la única de esta lista que probablemente no has tocado nunca y la que más manda. Larga, aleatoria y distinta de la del wifi.
- Pon una clave de wifi larga. Cinco a siete palabras sin relación, o una cadena del generador. La tecleas una vez y luego la compartes por QR.
- Sube a WPA3 si tu router lo permite. Si no, WPA2 con AES.
- Desactiva WPS y la administración remota. Dos casillas, una sola vez.
- Enciende la red de invitados y manda ahí a las visitas y a los cacharros.
- Actualiza el firmware y deja puestas las actualizaciones automáticas si las hay.
- No reutilices ninguna de las dos en otro sitio. Si dudas de alguna de las que ya usas, pásala por el comprobador.
Nada de esto lleva más de veinte minutos, y son veinte minutos que se hacen una vez.
El router es el aparato más importante de tu casa y el único que se administra solo mientras nadie lo administre. Lleva años encendido en un rincón, haciendo su trabajo sin quejarse, y precisamente por eso nunca parece el momento de mirarlo.
La contraseña de fábrica no es mala por corta ni por fea. Es mala porque no es tuya. La eligió otro, la imprimió en un adhesivo y la mandó a miles de casas iguales que la tuya. Cambiarla es lo más parecido que existe, en informática doméstica, a cambiar la cerradura cuando te mudas.
Fuentes: CISA, «Project Upskill · Module 5: Securing Your Home Wi-Fi», del Joint Cyber Defense Collaborative —cambiar el usuario y la contraseña de acceso al router porque la información de fábrica puede ser pública, frase de paso de cinco a siete palabras sin relación y al menos dieciséis caracteres, WPA3 Personal o WPA2 AES como únicos cifrados considerados seguros, desactivar WPS y la administración remota, y activar la red de invitados también para los dispositivos conectados— · Wi-Fi Alliance, «WPA3 Security Considerations Overview» (abril de 2019), sobre la sustitución de WPA2-PSK por SAE, su resistencia a los ataques de diccionario fuera de línea y la exigencia de que las contraseñas sigan siendo extremadamente difíciles de adivinar · CERT/CC, nota de vulnerabilidad VU#723755 (27 de diciembre de 2011), reportada por Stefan Viehböck, cuya solución recomendada es desactivar WPS · NVD (NIST), CVE-2015-0558, sobre un router doméstico que generaba su clave WPA a partir de una cadena fija y su dirección MAC · aviso público de SEARCH-LAB (Gergely Eberhardt) sobre el módem Ubee EVW3226, publicado en Full Disclosure en julio de 2016 · IEEE 802.11i, que define la frase de paso de entre 8 y 63 caracteres · Reino Unido, régimen de la Product Security and Telecommunications Infrastructure Act, en vigor desde el 29 de abril de 2024 · Unión Europea, Reglamento Delegado (UE) 2022/30 de la Directiva de Equipos Radioeléctricos, de aplicación obligatoria desde el 1 de agosto de 2025 · NIST SP 800-63B, sobre la longitud frente a la complejidad.
Foto de Jakub Zerdzicki · Pexels