Envía el secreto por una vía y la llave que lo abre por otra. Esa sola regla es casi toda la respuesta. Una contraseña pegada en un correo es una contraseña que ahora vive en tu carpeta de enviados, en la bandeja de entrada de la otra persona, en dos servidores de correo y en las copias de seguridad que guarden esas empresas — y no puedes borrar nada de eso. Una contraseña enviada como bloque cifrado por correo, con la frase de paso dictada por teléfono, es una contraseña que nada en ninguno de los dos archivos puede abrir. El resto de esto es cómo hacerlo sin convertir un favor de dos minutos en un proyecto.
Por qué pegarla en un correo o un chat es peor de lo que parece
El transporte suele estar bien. Los servidores de correo se hablan por TLS y la mayoría de las apps de chat cifran en tránsito. El problema es que los mensajes se almacenan, en más lugares de los que estás contando:
- Tu copia y la suya. Borrar la tuya no le hace nada a la de la otra persona. No tienes idea de cuánto tiempo guarda las cosas su bandeja de entrada, ni de quién más puede abrirla.
- La búsqueda. Los dos buzones están indexados por texto completo. Cualquiera que entre después en cualquiera de las dos cuentas puede escribir la palabra "contraseña" y obtener una lista.
- Los administradores. En un sistema de correo corporativo o en un espacio de chat de pago, un administrador suele poder exportar el historial — y, según el plan, eso puede incluir los mensajes directos. Nadie tiene que ser malintencionado para que esto duela; pasa durante una retención legal de rutina.
- El reenvío. Quien lo recibe le responde a un colega con todo el hilo citado debajo, y ahora está en una cuarta bandeja de entrada.
- Copias de seguridad y dispositivos. El teléfono que lo recibió hace una copia de sí mismo. La computadora que lo leyó sincroniza su almacén de correo. Cada una es otra copia con su propia vida.
Nada de esto requiere que nadie intercepte nada. El mensaje hace el daño con solo seguir existiendo.
Separa el secreto de la llave que lo abre
El principio que funciona se llama entrega fuera de banda (out-of-band) y no es complicado: lo que envías y lo que lo desbloquea tienen que viajar por canales que no se verían comprometidos por el mismo evento.
En la práctica, conviertes la contraseña en algo inútil por sí solo antes de que vaya a ninguna parte. Pégala en una herramienta de cifrado en el navegador, elige una frase de paso y obtienes un bloque en base64 que puedes soltar sin miedo en un correo, un ticket o un mensaje de chat. Es AES-256-GCM con una clave derivada de tu frase de paso mediante PBKDF2 a lo largo de 250.000 rondas, y se ejecuta en la página: no se sube nada, así que ningún tercer servidor guarda tu secreto. Después le dices la frase de paso a la otra persona de viva voz.
Ahora un atacante necesita las dos mitades, desde dos lugares distintos. El archivo de correo le da un bloque de base64; la llamada escuchada le da una frase de paso sin nada que abrir.
Qué cuenta como segundo canal
Uno que falle de forma independiente del primero. El bloque por correo y la frase de paso por correo diez minutos después es un solo canal usado dos veces.
- Bien: una llamada telefónica, en persona, o una app de mensajería en otra cuenta y en un dispositivo distinto del que recibió el bloque.
- Aceptable: el SMS. Realmente débil — los SIM swaps existen — pero falla por razones distintas que el correo corporativo, que es justo el punto.
- No es un segundo canal: un segundo correo, una respuesta en el mismo hilo o la misma app de chat que acabas de usar. Misma cuenta, mismo compromiso.
Los métodos que de verdad funcionan, más o menos en orden
La función de compartir de tu gestor de contraseñas
Si los dos ya usan el mismo gestor de contraseñas, esta es la mejor opción y por mucho. La credencial se comparte como una entrada y no como texto, así que nunca llega a caer en un mensaje, puedes revocar el acceso después y, cuando la contraseña cambia, la otra persona recibe la nueva. Varios gestores también generan enlaces de un solo uso para gente de fuera de tu cuenta, normalmente con caducidad y un límite de visualizaciones. Mira qué admite el tuyo: el conjunto de funciones varía mucho entre productos y planes.
Un enlace que se autodestruye
Servicios que guardan un secreto una vez, te dan una URL y borran el secreto después de que se lee. Cómodo, y los que están bien hechos mantienen la clave de descifrado en el fragmento de la URL — la parte después del #, que los navegadores nunca envían al servidor — así que quien opera el servicio no puede leer lo que guarda.
Dos cosas lo estropean. Estás confiando en que la página que te entregaron es la que crees que es, y eso no lo puedes comprobar desde fuera. Y las vistas previas de enlaces son una plaga: las apps de chat y los clientes de correo visitan las URL automáticamente para armar una miniatura, así que si el secreto va en la ruta y no en el fragmento, el bot de la vista previa puede quemar la única visualización antes de que la otra persona haga clic. Cuando te dicen que el enlace ya está usado, normalmente fue eso.
Un bloque cifrado más una frase de paso dicha en voz alta
Más fricción, ningún tercero involucrado en ningún momento. Bueno cuando el secreto tiene que atravesar un sistema que guarda registros a propósito — un ticket de soporte, un buzón compartido, el portal de compras de un cliente — porque el registro que guarda no significa nada.
Simplemente leerla en voz alta
Subestimado para secretos cortos. Ninguna copia en ninguna parte, ningún software, ningún servidor en el que confiar. Usa el alfabeto fonético de la OTAN para cualquier cosa que distinga mayúsculas y lleva treinta segundos. Se cae a pedazos con una API key de 32 caracteres, que es cuando las opciones de arriba se ganan su fricción.
La frase de paso es la parte más débil, siempre
El cifrado te da un bloque que vale solo lo que valga aquello que lo protege, y un atacante que tiene el bloque lo adivina offline — en su propio hardware, en paralelo, durante todo el tiempo que quiera. Sin límite de intentos, sin bloqueo, sin nadie mirando. Una palabra del diccionario con un número detrás no sobrevive a eso, sea cual sea el cifrado.
Usa cuatro o cinco palabras realmente al azar. "Al azar" es lo que hace el trabajo en esa frase: las palabras que eliges tú se agrupan alrededor de lo que te gusta y de lo que hay en la habitación, y eso reduce el espacio de búsqueda. Un generador que elija por ti elimina ese problema, y la diferencia entre una frase de paso y una contraseña explica por qué una frase elegida por una máquina le gana a una elegida con ingenio por una persona por unos treinta bits de entropía.
Y es solo para este mensaje. No uses la que abre tu computadora.
La mejor versión de esto es no enviar ninguna contraseña
Antes de cifrar nada, mira si el sistema tiene un flujo de invitación. La mayoría lo tiene. Una invitación para que creen sus propias credenciales significa que no existe ningún secreto compartido, que no hay nada que interceptar ni nada que acordarse de rotar. Lo mismo vale para el SSO, para los tokens de API con permisos acotados y caducidad, y para una contraseña temporal que el sistema les obliga a cambiar en el primer inicio de sesión.
Cuando de verdad tienes que entregar una contraseña real — una cuenta heredada, un acceso de facturación compartido, un router — trata el momento de compartirla como el inicio de una caducidad. La contraseña ya está en su historial de portapapeles, posiblemente en una nota que escribieron para no olvidarla, y en cualquier lugar donde la pegaron por error. Cámbiala cuando termine el motivo por el que la compartiste, y de inmediato si la persona se va.
De qué no te protege nada de esto
El enfoque del bloque cifrado puede parecer más completo de lo que es.
No protege una máquina comprometida. Con un keylogger en cualquiera de los dos extremos, el secreto se pierde en el momento en que se escribe o se pega, y el cuidado en el tránsito no cambia nada.
El portapapeles es compartido. Tanto el bloque como el resultado descifrado pasan por él, y otras aplicaciones de la misma máquina a menudo pueden leerlo. Algunos gestores de portapapeles guardan meses de historial buscable.
No prueba nada sobre quién lo envió. Un bloque que se descifra limpiamente no fue modificado por nadie que no tuviera la frase de paso — eso es lo que te garantiza el tag de autenticación de GCM. No prueba quién lo escribió, porque cualquiera con la frase de paso puede escribir uno. El cifrado, la firma y lo que un hash garantiza y lo que no son tres trabajos distintos, y confundirlos es la razón por la que la gente termina confiando en lo que no debe.
Los hábitos de quien lo recibe están fuera de tu control. Puedes entregar una contraseña a la perfección y ver cómo la pegan en una hoja de cálculo compartida llamada Accesos. Diles dónde ponerla, no solo qué es.
Para los casos en los que una contraseña tiene que cruzar un canal que guarda registros, la herramienta de cifrado de texto de aquí la convierte en un bloque que puedes pegar en cualquier parte, con la clave derivada en tu navegador y sin enviar nada a ningún servidor. Después dile la frase de paso en voz alta a la persona, y las dos mitades nunca se encuentran en el mismo archivo.
Separar el secreto es solo la mitad de la defensa, eso sí. La otra mitad es hacer que la contraseña valga menos para quien acabe encontrándola, que es lo que hace un segundo factor — cómo se generan esos códigos de seis dígitos explica por qué una contraseña robada por sí sola deja de ser suficiente.
Preguntas frecuentes
¿Cómo envío una contraseña de forma segura por correo?
No pongas la contraseña en el mensaje. Conviértela primero en un bloque cifrado y envía la frase de paso por otra vía, como una llamada telefónica, o compártela a través de un gestor de contraseñas. El correo se almacena indefinidamente en al menos cuatro lugares que no controlas, así que cualquier cosa legible en el cuerpo hay que darla por permanente.
¿Es seguro enviar una contraseña por Slack o Teams?
No más que por correo. El transporte va cifrado, pero el mensaje se conserva, es buscable y, en los espacios de trabajo de pago, un administrador suele poder exportar el historial, que según el plan puede incluir los mensajes directos. Si ya lo hiciste, cambia la contraseña en vez de borrar el mensaje.
¿WhatsApp o Signal son suficientes para enviar una contraseña?
Son mejores que el correo porque el mensaje va cifrado de extremo a extremo en tránsito, así que el proveedor no puede leerlo. Las copias en los dos teléfonos siguen ahí, eso sí, junto con todo lo que esos teléfonos respalden. Úsalos como segundo canal para una frase de paso, no como el lugar donde pegas la credencial completa.
¿Qué es un enlace de secreto de un solo uso y puedo confiar en él?
Es un servicio que guarda un secreto, te da una URL y borra el secreto después de la primera visualización. Los mejores mantienen la clave de descifrado en el fragmento de la URL, así que el servidor nunca la recibe, pero sigues confiando en que la página que te entregaron se comporta como promete. Cuidado con las vistas previas de enlaces en las apps de chat: pueden consumir la única visualización antes de que la otra persona haga clic.
¿Debo cambiar una contraseña después de compartirla con alguien?
Sí, en cuanto termine el motivo por el que la compartiste, y de inmediato si la persona deja el equipo. Después de compartirla, la contraseña existe en su historial de portapapeles, posiblemente en una nota que escribió, y en cualquier lugar donde la pegó por accidente. Trata el momento de compartirla como el inicio de su caducidad.
¿Cuál es la forma más segura de enviarle una contraseña a un cliente no técnico?
Mira primero si el sistema puede enviarle una invitación para que ponga su propia contraseña, lo que elimina el secreto compartido por completo. Si no, léesela por teléfono y que la escriba directamente en la pantalla de inicio de sesión. Los secretos cortos dichos por voz le ganan a cualquier herramienta por la que haya que guiarlos.
Última actualización 19 de septiembre de 2026