Proteger las cuentas empieza por saber cuáles permiten recuperar las demás
Las pautas de INCIBE sobre claves únicas, gestores y autenticación multifactor permiten ordenar una revisión de accesos sin prometer protección absoluta.
La ficha de contraseñas de INCIBE identificada como edición 2024 reúne pautas que incluyen no reutilizar claves, emplear gestores y añadir autenticación multifactor cuando esté disponible. También menciona las ciberllaves o passkeys en plataformas compatibles. Es documentación de referencia consultada en octubre de 2026, no una alerta sobre un ataque nuevo ni un diagnóstico de una cuenta particular.
Para convertir esas pautas en una revisión manejable, proponemos empezar por un inventario de dependencias. La pregunta es qué cuenta se utiliza para recuperar el acceso a otras. Un correo de recuperación, por ejemplo, puede tener una función distinta a una cuenta utilizada solo para leer un foro. El ejemplo es hipotético y no describe la configuración real de ningún lector.
El segundo paso es comprobar qué métodos de acceso y recuperación están habilitados en los servicios importantes. No basta con recordar que se activó una medida hace tiempo. Conviene saber cómo se recuperaría legítimamente el acceso si el dispositivo habitual dejara de estar disponible. La revisión debe hacerse desde el sitio oficial del servicio, sin compartir contraseñas ni códigos con quien los solicite por un mensaje inesperado.
Un gestor y un segundo factor cubren necesidades relacionadas, pero diferentes. Organizar las claves no convierte en fiable cualquier página que las pida. Añadir una comprobación de acceso tampoco garantiza que los métodos de recuperación estén bien configurados. La decisión práctica consiste en revisar el conjunto, comprobar las instrucciones de cada proveedor y conservar los mecanismos de recuperación de forma protegida.
No proponemos cambiar a ciegas todos los ajustes ni asegurar que una lista de pasos elimina cualquier riesgo. Una revisión termina mejor cuando puede explicar qué protege cada medida y cómo se mantendrá. Si ya hay señales de acceso ajeno, la respuesta requiere además el procedimiento de recuperación e incidentes del proveedor correspondiente; esta guía general no acredita que un compromiso haya quedado resuelto.