# O teu xestor contra a túa memoria: a única regra que sobreviviu

> De todas as regras de contrasinais que nos ensinaron, só unha segue en pé: unha distinta en cada sitio. É tamén a única que ninguén cumpre, porque coa memoria é literalmente imposible.

2026-07-02 · David Carrero · password.es
Original: https://password.es/gl/blog/o-teu-xestor-contra-a-tua-memoria/

---

Hai unha diferenza enorme entre unha regra que incumpres e unha regra que non
podes cumprir. **«Un contrasinal distinto en cada sitio» é a segunda.**

De todo o catecismo que aprendemos —a maiúscula, o número, o símbolo, o cambio
periódico obrigatorio—, o NIST tirou case todo pola borda no SP 800-63B.
A lonxitude pasou a importar máis que o retorcemento. A rotación forzada
desapareceu agás indicio de compromiso. Iso de esixir símbolos substituíuse por
algo moito máis sensato: comprobar o contrasinal contra listas dos xa filtrados.

Sobreviviu unha soa regra. A de non repetir. E é á que menos caso lle fixemos,
porque para cumprila facía falta algo que ningún cartel da intranet mencionaba.

## Por que a túa memoria non pode

Pensa en cantas contas tes. Non as que usas: as que tes. O banco, o correo, o
outro correo, a tenda onde mercaches unhas zapatillas en 2019, o foro, a
aeroliña, a app do aparcadoiro, o xestor da comunidade de veciños, o sitio da
administración que te obrigou a rexistrarte para un trámite de cinco minutos.

Agora imaxina memorizar unha cadea longa, aleatoria e distinta para cada unha.
Non é que sexa difícil. **É que non é un obxectivo alcanzable por un cerebro
humano**, e soster o contrario durante anos foi unha das crueldades menores da
seguridade informática.

Así que fixemos o único que se podía facer: un contrasinal bo e as súas
variacións. `Grelos2019!` para o banco e `Grelos2019?` para o foro. Ou
directamente o mesmo en todas partes, cun asterisco mental de «bo, no banco teño
outro».

E aí está o problema, porque o ataque real non consiste en adiviñar o teu
contrasinal. Consiste en **probar o que xa che roubaron noutro sitio**. O foro de
2019 fíltrase —os foros de 2019 fíltranse—, alguén colle esa lista de correos e
contrasinais e próbaa, automatizada, contra todos os servizos que se lle ocorren.
Non fai falta romper nada. Ti xa lle deches a chave; só está probando portas. Iso
é *credential stuffing*, e funciona exactamente porque a única regra que
importaba é a que ninguén podía cumprir.

## Un xestor non é comodidade

Aquí é onde adoita venderse o xestor de contrasinais como un luxo: que cómodo,
enche el só, non tes que teclear. É verdade, e é o de menos.

**Un xestor non che aforra traballo: faiche posible unha regra que sen el é
inalcanzable.** É a diferenza entre pedirche que corras cen quilómetros e darche
unha bicicleta. A cifra non cambia; cambia se a podes facer.

Con un diante, todo o demais do SP 800-63B resólvese só. Longos antes que
complexos? O xestor xéraos da lonxitude que queiras, porque non os vas teclear.
Distintos en cada sitio? Trivial, por definición. Nada de rotación forzada?
Perfecto: só cambias o que se filtrou, e moitos xestores avísanche cando iso pasa.
O único que segues tendo que memorizar é o mestre, e ese si merece que o xeres
con coidado —catro ou cinco palabras ao chou no [xerador](/gl/) e comprobar que
tal aguanta no [comprobador](/gl/comprobador/)—.

## A obxección honesta

«Meter todos os ovos na mesma cesta.» Oína mil veces e non é unha parvada. Se
alguén entra no teu xestor, entra en todo. É un punto único de fallo, e quen che
diga que non o é estáche vendendo algo.

A resposta tamén ten que ser honesta: **si, é unha cesta única, pero a
alternativa non é ter os ovos repartidos. É telos polo chan.** Sen xestor non
acabas con oitenta contrasinais independentes; acabas co mesmo contrasinal en
oitenta sitios, que é a mesma cesta pero sen peche, sen cifrado e replicada en
oitenta servidores alleos cuxa seguridade descoñeces por completo.

Fíxate no modelo de ameaza real. Que alguén rebente a bóveda cifrada dun xestor
serio require, ou ben un fallo grave do produto, ou ben o teu contrasinal mestre.
Que alguén probe no teu correo o contrasinal que usaches nunha tenda en liña non
require absolutamente nada: é un script e unha lista. **Estás comparando un
ataque que necesita moito con un que xa está a ocorrer, constantemente, en piloto
automático.**

O que si é unha precaución razoable: un mestre longo e único, segundo factor
activado no xestor, e ser consciente de que o mestre é agora o teu punto crítico.
Trátao como tal.

## Cal, e por que non hai unha resposta única

Aquí toca dicir algo incómodo para un sitio que ten ligazóns de afiliado: **o
mellor xestor é o que vas usar**, e hai máis dun bo.

**Bitwarden** é software libre, ten un plan gratuíto que cobre o que necesita case
todo o mundo e podes aloxalo ti se che apetece. Que o seu código sexa auditable
non é marketing: significa que non dependes da palabra de ninguén.

**KeePass** —e os seus derivados— garda todo nun ficheiro local. Sen nube, sen
conta, sen provedor. Se a túa preocupación é «non quero que os meus contrasinais
estean no servidor doutro», esa preocupación está literalmente resolta. A cambio,
a sincronización entre os teus dispositivos é cousa túa.

**1Password** é de pago e é ao que ligamos desde
[aquí](https://opensecurity.es/1password) —afiliado, para que conste—. O que fai
ben é a parte que adoita decidir se un xestor sobrevive nunha casa: que a xente
non técnica o entenda, o comparta coa súa parella e non o abandone á semana. Non
é máis seguro que Bitwarden por ser de pago. É, para moita xente, máis fácil de
non abandonar.

E **o xestor do teu navegador**. Gratis, xa o tes instalado, xa che ofrece gardar.
Está por debaixo dos anteriores en control, en portabilidade e en compartir, e
átate a un ecosistema. Dá igual: **usar o do navegador é incomparablemente mellor
que non usar ningún**, porque resolve o problema grande. Calquera que che diga o
contrario está a poñer a pureza por diante do risco real.

## A frase que resume todo

Durante anos dixéronnos como tiña que ser cada contrasinal e case nunca nos
dixeron como iamos lembrarnos de todos. Era o paso que faltaba, e sen el a única
regra que sobreviviu non era unha regra: era un reproche.

Escolle un. Calquera deles. O debate sobre cal é marxinal comparado coa distancia
que hai entre ter xestor e non telo.

---

*Fontes: NIST SP 800-63B, «Digital Identity Guidelines: Authentication and
Lifecycle Management» (lonxitude sobre complexidade, sen rotación forzada agás
indicio de compromiso, cotexo contra listas de contrasinais comprometidos) ·
documentación e modelos de seguridade publicados por Bitwarden, KeePass e
1Password.*