Hai unha diferenza enorme entre unha regra que incumpres e unha regra que non podes cumprir. «Un contrasinal distinto en cada sitio» é a segunda.
De todo o catecismo que aprendemos —a maiúscula, o número, o símbolo, o cambio periódico obrigatorio—, o NIST tirou case todo pola borda no SP 800-63B. A lonxitude pasou a importar máis que o retorcemento. A rotación forzada desapareceu agás indicio de compromiso. Iso de esixir símbolos substituíuse por algo moito máis sensato: comprobar o contrasinal contra listas dos xa filtrados.
Sobreviviu unha soa regra. A de non repetir. E é á que menos caso lle fixemos, porque para cumprila facía falta algo que ningún cartel da intranet mencionaba.
Por que a túa memoria non pode
Pensa en cantas contas tes. Non as que usas: as que tes. O banco, o correo, o outro correo, a tenda onde mercaches unhas zapatillas en 2019, o foro, a aeroliña, a app do aparcadoiro, o xestor da comunidade de veciños, o sitio da administración que te obrigou a rexistrarte para un trámite de cinco minutos.
Agora imaxina memorizar unha cadea longa, aleatoria e distinta para cada unha. Non é que sexa difícil. É que non é un obxectivo alcanzable por un cerebro humano, e soster o contrario durante anos foi unha das crueldades menores da seguridade informática.
Así que fixemos o único que se podía facer: un contrasinal bo e as súas
variacións. Grelos2019! para o banco e Grelos2019? para o foro. Ou
directamente o mesmo en todas partes, cun asterisco mental de «bo, no banco teño
outro».
E aí está o problema, porque o ataque real non consiste en adiviñar o teu contrasinal. Consiste en probar o que xa che roubaron noutro sitio. O foro de 2019 fíltrase —os foros de 2019 fíltranse—, alguén colle esa lista de correos e contrasinais e próbaa, automatizada, contra todos os servizos que se lle ocorren. Non fai falta romper nada. Ti xa lle deches a chave; só está probando portas. Iso é credential stuffing, e funciona exactamente porque a única regra que importaba é a que ninguén podía cumprir.
Un xestor non é comodidade
Aquí é onde adoita venderse o xestor de contrasinais como un luxo: que cómodo, enche el só, non tes que teclear. É verdade, e é o de menos.
Un xestor non che aforra traballo: faiche posible unha regra que sen el é inalcanzable. É a diferenza entre pedirche que corras cen quilómetros e darche unha bicicleta. A cifra non cambia; cambia se a podes facer.
Con un diante, todo o demais do SP 800-63B resólvese só. Longos antes que complexos? O xestor xéraos da lonxitude que queiras, porque non os vas teclear. Distintos en cada sitio? Trivial, por definición. Nada de rotación forzada? Perfecto: só cambias o que se filtrou, e moitos xestores avísanche cando iso pasa. O único que segues tendo que memorizar é o mestre, e ese si merece que o xeres con coidado —catro ou cinco palabras ao chou no xerador e comprobar que tal aguanta no comprobador—.
A obxección honesta
«Meter todos os ovos na mesma cesta.» Oína mil veces e non é unha parvada. Se alguén entra no teu xestor, entra en todo. É un punto único de fallo, e quen che diga que non o é estáche vendendo algo.
A resposta tamén ten que ser honesta: si, é unha cesta única, pero a alternativa non é ter os ovos repartidos. É telos polo chan. Sen xestor non acabas con oitenta contrasinais independentes; acabas co mesmo contrasinal en oitenta sitios, que é a mesma cesta pero sen peche, sen cifrado e replicada en oitenta servidores alleos cuxa seguridade descoñeces por completo.
Fíxate no modelo de ameaza real. Que alguén rebente a bóveda cifrada dun xestor serio require, ou ben un fallo grave do produto, ou ben o teu contrasinal mestre. Que alguén probe no teu correo o contrasinal que usaches nunha tenda en liña non require absolutamente nada: é un script e unha lista. Estás comparando un ataque que necesita moito con un que xa está a ocorrer, constantemente, en piloto automático.
O que si é unha precaución razoable: un mestre longo e único, segundo factor activado no xestor, e ser consciente de que o mestre é agora o teu punto crítico. Trátao como tal.
Cal, e por que non hai unha resposta única
Aquí toca dicir algo incómodo para un sitio que ten ligazóns de afiliado: o mellor xestor é o que vas usar, e hai máis dun bo.
Bitwarden é software libre, ten un plan gratuíto que cobre o que necesita case todo o mundo e podes aloxalo ti se che apetece. Que o seu código sexa auditable non é marketing: significa que non dependes da palabra de ninguén.
KeePass —e os seus derivados— garda todo nun ficheiro local. Sen nube, sen conta, sen provedor. Se a túa preocupación é «non quero que os meus contrasinais estean no servidor doutro», esa preocupación está literalmente resolta. A cambio, a sincronización entre os teus dispositivos é cousa túa.
1Password é de pago e é ao que ligamos desde aquí —afiliado, para que conste—. O que fai ben é a parte que adoita decidir se un xestor sobrevive nunha casa: que a xente non técnica o entenda, o comparta coa súa parella e non o abandone á semana. Non é máis seguro que Bitwarden por ser de pago. É, para moita xente, máis fácil de non abandonar.
E o xestor do teu navegador. Gratis, xa o tes instalado, xa che ofrece gardar. Está por debaixo dos anteriores en control, en portabilidade e en compartir, e átate a un ecosistema. Dá igual: usar o do navegador é incomparablemente mellor que non usar ningún, porque resolve o problema grande. Calquera que che diga o contrario está a poñer a pureza por diante do risco real.
A frase que resume todo
Durante anos dixéronnos como tiña que ser cada contrasinal e case nunca nos dixeron como iamos lembrarnos de todos. Era o paso que faltaba, e sen el a única regra que sobreviviu non era unha regra: era un reproche.
Escolle un. Calquera deles. O debate sobre cal é marxinal comparado coa distancia que hai entre ter xestor e non telo.
Fontes: NIST SP 800-63B, «Digital Identity Guidelines: Authentication and Lifecycle Management» (lonxitude sobre complexidade, sen rotación forzada agás indicio de compromiso, cotexo contra listas de contrasinais comprometidos) · documentación e modelos de seguridade publicados por Bitwarden, KeePass e 1Password.