Cómo proteger tu cuenta de correo: guía completa

Actualizado el 23 de septiembre de 2026

Tu dirección de correo es la llave de casi todas tus cuentas: quien la controla puede restablecer tus demás contraseñas. Protegerla es la medida de seguridad más rentable.

Por qué el correo es el objetivo número uno

El enlace «¿Has olvidado tu contraseña?» de la mayoría de webs envía un mensaje a tu dirección de correo. Un atacante que entra en tu buzón puede hacerse en minutos con tus redes sociales, tus compras en línea y a veces servicios más sensibles. Además encuentra facturas, documentos de identidad escaneados y conversaciones privadas.

1. Una contraseña larga y única

Única: no usada en ningún otro sitio. Es la regla más importante, porque las filtraciones de otras webs se usan para probar las mismas credenciales en tu correo.
Larga: al menos 16 caracteres aleatorios, o una frase de varias palabras sin relación.
Guardada en un gestor de contraseñas, integrado en el navegador o en el teléfono, mejor que en un archivo o una libreta.

2. La verificación en dos pasos, imprescindible

La verificación en dos pasos añade una segunda prueba a la contraseña. Aunque te la roben, ya no basta.

Método	Nivel de protección	Nota
Llave de acceso (passkey)	Muy alto	Resistente al phishing, ligada a tu dispositivo
Llave de seguridad física	Muy alto	Resistente al phishing, ideal para cuentas críticas
Aplicación de autenticación	Alto	Códigos generados sin conexión en el teléfono
Aviso en el teléfono	Alto	Rechaza toda solicitud que no hayas iniciado
Código por SMS	Medio	Mejor que nada, pero vulnerable al duplicado de SIM

Las llaves de acceso, que ya ofrecen los grandes proveedores de correo, sustituyen la contraseña por una comprobación en tu dispositivo (huella, rostro, PIN del aparato) y no se pueden escribir en una web falsa.

3. Opciones de recuperación al día

En los ajustes de seguridad, comprueba:

el número de teléfono y el correo de recuperación: deben estar vigentes y ser tuyos;
los códigos de respaldo de la verificación en dos pasos: imprímelos o guárdalos en tu gestor de contraseñas;
las preguntas de seguridad, si el servicio aún las usa: las respuestas no deben poder encontrarse en tus redes sociales.

4. Revisa los accesos con regularidad

Una vez por trimestre, repasa estas páginas de ajustes:

Dispositivos y sesiones conectados: cierra lo que no reconozcas.
Aplicaciones de terceros con acceso a la cuenta: quita las que ya no uses.
Reglas de reenvío y filtros: es clave. Un atacante discreto suele añadir una regla que reenvía tu correo a su dirección o borra las alertas de seguridad. Elimina cualquier regla que no hayas creado tú.
Actividad reciente: la mayoría de servicios de correo listan los últimos accesos con su país.

5. Hábitos diarios

No escribas nunca tu contraseña después de pulsar un enlace de un correo: abre tú mismo la web o la aplicación.
Rechaza las solicitudes de aprobación que no hayas iniciado: si se repiten, alguien suele tener tu contraseña.
Mantén actualizados el teléfono, el ordenador y el navegador.
Evita los ordenadores públicos para el correo; si no hay más remedio, cierra sesión y no guardes nada.
Da menos tu dirección: una dirección desechable para los registros puntuales reduce filtraciones y phishing dirigido.

Señales de un buzón comprometido

Tus contactos reciben mensajes que no has enviado.
Hay mensajes leídos, movidos o borrados sin que tú lo hayas hecho.
Recibes alertas inesperadas de inicio de sesión o de cambio de contraseña.
Llegan restablecimientos de contraseña de otras webs que no has pedido.

Qué hacer si te hackean

Cambia la contraseña desde un dispositivo limpio y cierra todas las demás sesiones.
Activa o restablece la verificación en dos pasos y genera nuevos códigos de respaldo.
Borra las reglas de reenvío y filtros sospechosos y revisa el correo y el teléfono de recuperación.
Usa el proceso oficial de recuperación de tu proveedor si ya no puedes entrar.
Cambia las contraseñas de las cuentas importantes ligadas a esa dirección, empezando por el banco y las compras en línea.
Avisa a tus contactos de que pueden haber recibido mensajes fraudulentos en tu nombre.

Obtener una dirección desechable

Preguntas frecuentes

¿Basta la verificación en dos pasos por SMS?

Ya detiene la gran mayoría de ataques, pero un atacante puede secuestrar un número de teléfono o engañarte para que le des el código. Una aplicación de autenticación o una llave de acceso protegen mucho mejor.

¿Hay que cambiar la contraseña del correo con frecuencia?

Las recomendaciones actuales priorizan una contraseña larga y única con verificación en dos pasos, que solo se cambia si sospechas un robo o una filtración. Los cambios frecuentes llevan a menudo a elegir contraseñas más débiles.

¿Cómo sé si mi dirección ha aparecido en una filtración?

Servicios de alerta como Have I Been Pwned indican si tu dirección figura en filtraciones conocidas. Los gestores de contraseñas integrados en los navegadores también avisan de las contraseñas comprometidas.