Proteger tus cuentas: 2FA, passkeys, gestores de contraseñas y recuperación.

El correo con el que entras al gestor de contraseñas, a la tienda de samples, al distribuidor digital y a las redes del proyecto es la cerradura maestra de tu carrera: quien lo controla puede pedir cambios de contraseña, generar nuevas claves de dos pasos y vaciar cuentas durante días antes de que te enteres. La buena noticia es que protegerse no exige conocimientos de seguridad avanzados, sino una tarde bien ordenada y unas decisiones que después no hacen falta revisar cada semana.

El objetivo no es que sea imposible entrar en tus cuentas, porque eso no existe; el objetivo es que robar una sola contraseña no baste para nada. Esta guía recorre 2FA, Passkeys, Password managers y, sobre todo, la Reculneración de cuentas, que es el punto donde la mayoría se queda sin plan cuando de verdad lo necesita.

Qué se pierde cuando cae una cuenta

Empieza por inventariar qué hay detrás de cada acceso. No es solo la música: hay cuentas que guardan dinero, otras que guardan identidad y otras que guardan trabajo de años.

• Correo principal. Es el eje de todo: desde ahí se reinician las demás contraseñas. Pierderlo equivale a perder la llave del resto de la casa.
• Almacenamiento y biblioteca en la nube. Playlists, stems, masters y bases de datos sincronizadas. Un atacante puede borrarlas o vaciarlas; tú las recuperas solo si tenías copias, como se describe en backups de biblioteca con la regla 3-2-1.
• Cuentas de pago y comercio. Suscripciones de samples, licencias de plugins, entradas de plataformas: el daño es económico y a menudo inmediato.
• Perfiles artísticos y redes. Un perfil verificado robado se usa para estafar a tu público con mensajes de enlaces de pago falsos.
• Distribuidores y gestoras. Cambios de datos bancarios, bloqueos de catálogo o retenciones de regalías que tardan semanas en aclararse.

La ruta de ataque habitual es aburrida y efectiva: una contraseña reutilizada aparece en una fuga, se prueba en tu correo y, si ahí no había segundo factor, el atacante sigue la cadena de recuperación por su cuenta. Por eso este orden: correo primero, después el resto.

Passkeys, 2FA y Password managers: qué te compra cada uno

2FA añade un segundo comprobante además de la contraseña: una aplicación que genera códigos, una llave física o un código que llega por SMS. Aunque roben tu contraseña, sin ese segundo factor no entran. Su límite es que depende de que tú conserves el dispositivo o el código.

Passkeys van más allá: guardan un par de claves en tu dispositivo y autentican con el desbloqueo del móvil o del ordenador, sin escribir ninguna contraseña. Como la passkey está atada al sitio real, no funciona en una web falsa: el phishing que suplanta a tu plataforma deja de ser un riesgo práctico. Cuando un servicio las ofrece, es la opción más cómoda y más segura a la vez.

Password managers resuelven el problema previo: tener decenas de contraseñas distintas sin memorizarlas. Guardan credenciales cifradas, generan claves aleatorias y las rellenan solo en el sitio correcto. Sin gestor, la tentación de repetir contraseñas es constante, y esa repetición es lo que convierte una fuga menor en un incidente mayor.

2FA sin dolores: app, llave y códigos de rescate

Activa el segundo factor por este orden de prioridad:

1. Correo principal. Es el que encadena todo lo demás. Protege ahí primero.
2. App de autenticación o llave física. Las apps de códigos (TOTP) funcionan sin cobertura y son el punto de partida cómodo; las llaves físicas WebAuthn son la opción más resistente al fraude porque no se pueden teclear en una web falsa.
3. Códigos de respaldo. Casi todos los servicios generan una lista de códigos de un solo uso al activar 2FA. Descárgalos, imprímelos y guárdalos en un sitio físico seguro. Son tu puerta de salida si pierdes el móvil.
4. SMS solo como refuerzo. Sirve si no hay otra opción, pero no debe ser el único segundo factor.

Cuidado con el detalle que se olvida: activa 2FA también en el gestor de contraseñas y en el correo de recuperación. Un gestor con la contraseña maestra débil y sin segundo factor es una caja fuerte con la puerta abierta. Y si cambias de móvil, transfiere la app de códigos antes de dar de baja la línea vieja; muchos accesos se pierden justo ahí, no por un ataque sofisticado.

Password managers: reglas para usarlos sin miedo

La regla de oro es una sola: una contraseña distinta por cuenta y una sola contraseña maestra que tengas que memorizar. La maestra debe ser larga, de palabras poco relacionadas entre sí, y distinta de cualquier otra que hayas usado nunca. El resto de claves ni las ves ni las recuerdas; las genera el gestor.

Cinco condiciones que conviene exigirle a tu gestor: cifrado de los datos en reposo, autenticación multifactor para abrirlo, generador de contraseñas, aviso cuando una clave aparezca en una fuga conocida y exportación en caso de que quieras mudarte. Todo eso aparece en la guía de compra del NCSC y se resume fácil en una lista de comprobación antes de pagarlo.

Dos hábitos que marcan la diferencia:

• No guardes contraseñas en equipos ajenos. En un ordenador de biblioteca, de un amigo o de la sala de ensayo, el autellenado del navegador es una trampa.
• Revisa el autellenado. Los gestores modernos solo rellenan en el dominio correcto; si un sitio parecido intenta pedirte la clave a mano, ese es exactamente el momento de desconfiar.

Recuperación de cuentas: prepararla antes de perderla

La Recuperación de cuentas es lo que ocurre el día en que pierdes el móvil, olvidas la contraseña maestra o te quedas sin acceso al correo. Se prepara con calma y se ensaya una vez; no se improvisa a las dos de la mañana.

Qué dejar configurado antes de que pase algo:

• Datos de recuperación actualizados: teléfono alternativo y correo de respaldo que no sean el mismo que el que estás protegiendo.
• Códigos de respaldo impresos de cada servicio con 2FA, en un sobre, más una copia fuera de casa.
• Un canal de rescate conocido. Muchos proveedores ofrecen recuperación con identificación o con contactos de confianza; actívalas mientras tienes pleno control de la cuenta, porque después ya no podrás.
• Contraseña maestra fuera del gestor. Escrita a mano o memorizada: el gestor no puede recordártela por ti.
• Contacto de aviso. Anota a quién avisar si tu identidad se suplanta: plataformas, distribuidor y, si toca, las autoridades.

Haz una prueba real: en un equipo distinto al habitual, intenta recuperar acceso a tu correo y a una plataforma más. Si el proceso tarda más de diez minutos o te pide datos que no tienes a mano, sobran pasos por arreglar ahora, no después.

Puesta a cero en una tarde

Un plan que cabe en una sesión de trabajo y que, una vez hecho, no vuelve a requerir esfuerzo:

1. Hora 1: proteger el correo principal con 2FA y guardar sus códigos de respaldo.
2. Hora 2: instalar el gestor, importar las contraseñas existentes y cambiar las repetidas, empezando por las de dinero y publicación.
3. Hora 3: activar passkeys donde estén disponibles y 2FA con app en plataformas de música, tiendas y redes.
4. Hora 4: revisar datos de recuperación de cada servicio, descargar códigos nuevos y archivarlos en papel.
5. Cierre: copiar las contraseñas críticas al gestor y comprobar que el resto de tu material sigue protegido con las copias descritas en la organización de la biblioteca.

Con eso hecho, el vector más común de robo de cuentas deja de funcionar. Lo que queda por fuera —el engaño dirigido a que tú entregues la clave— es el objeto de la siguiente guía.

Siguiente paso

Una cuenta blindada sigue siendo atacable si quien ataca te habla a ti: estafas a artistas: phishing, falsos promotores, falsos contratos y malware en plugins.