Imagina que mañana por la mañana no puedes acceder a tu única dirección de correo. Sin dramas, solo un mensaje automático del proveedor que dice que no puede confirmar que la cuenta es tuya. ¿Qué se rompe antes del almuerzo? Quizá lo primero sea el acceso de emergencia a tu gestor de contraseñas. Después, cualquier sitio donde necesitarías un enlace de restablecimiento, todas las cuentas que dependen de «Iniciar sesión con Google» si la dirección es de Google, los avisos de seguridad de tu banco, el enlace de check-in de la aerolínea para el viernes y las facturas que te pide tu contable. Ahora haz la versión contraria: alguien más entra. Tiene todas las mismas puertas, y tú te quedas fuera del lugar donde llegarían las advertencias.
Esa prueba muestra lo que tiene que hacer una estrategia de privacidad del correo. El plan que aguanta en la mayoría de los casos es una dirección principal reservada para la identidad, el dinero y la recuperación, una dirección secundaria para compras, listas y comunidades, y direcciones de corta duración para lo puntual, con la recuperación de cuentas conectada de modo que las cuentas menos protegidas nunca puedan abrir las mejor protegidas. El resto de este artículo explica cómo hacer la prueba con tus propias cuentas, cómo montar cada nivel y cómo pasar de una dirección sobrecargada a este esquema a lo largo de unas semanas.
Haz la prueba sobre el papel
Diez minutos con una lista lo vuelven concreto. Apunta las cuentas que más echarías de menos y, para cada una, anota qué dirección usa y cómo recuperarías el acceso si esa dirección desapareciera. Este es un ejemplo de cómo podría verse la lista de una persona.
| Cuenta | Dirección registrada | Si esa dirección desapareciera | Veredicto |
|---|---|---|---|
| Banco | Gmail principal | Visita a la sucursal con documento de identidad, lento pero posible | Molesto |
| Gestor de contraseñas | Gmail principal | La recuperación necesita un enlace enviado por correo | Grave, y bloquea todo lo demás |
| Almacenamiento de fotos | Gmail principal, la misma cuenta | Se pierde junto con el buzón | Grave |
| Registrador de dominio de un sitio pequeño | Una dirección de ese mismo dominio | Circular: sin dominio no hay correo y sin correo no hay dominio | Grave |
| Tienda en línea | Gmail principal | Cuenta nueva, historial de pedidos perdido | Fastidioso |
| Foro de aficionados | Gmail principal | Cuenta nueva | Trivial |
Normalmente saltan a la vista dos cosas. Las cuentas triviales comparten dirección con las graves, así que cada foro de aficionados es un lugar más por el que se puede filtrar tu dirección clave. Y algunas dependencias van en círculo, algo que no notarás hasta que necesites usar una. Los niveles que siguen arreglan el primer problema, y la sección de recuperación arregla el segundo.
Lo que te cuesta una sola dirección
La mayoría empieza con una sola dirección y echa todo en ella durante quince años. Para entonces está en cientos de bases de datos, y de ese único hábito han crecido tres problemas distintos.
El volumen es el obvio. Cada registro es una posible lista de correo, algunas empresas comparten datos de contacto con socios y los mensajes importantes quedan enterrados bajo cupones. Es también el problema menos peligroso.
La exposición es más seria. Cada una de esas empresas puede perder sus datos. Cuando una sufre una filtración de datos, tu dirección y a veces tu contraseña pasan a las listas que usan los atacantes para estafas dirigidas y para el relleno de credenciales, que consiste en probar contraseñas filtradas en otros sitios. Tú no elegiste la seguridad del foro al que te uniste en 2011, y sigue teniendo tu dirección.
El tercer problema es estructural. La bandeja que recibe códigos de descuento es también la que puede restablecer tu banco, tu almacenamiento en la nube y tus cuentas sociales, así que cualquier estafa que aterrice entre esos cupones apunta a tu llave maestra. Las direcciones separadas rompen ese vínculo. La filtración de una dirección de compras no revela nada sobre la dirección que controla la recuperación, y como nunca llega nada importante a la de compras, un falso mensaje del «banco» allí destaca de inmediato.
Tres niveles, definidos por dos preguntas
Pregunta de cualquier cuenta: ¿cuánto dolería perderla y cuánto tiempo la voy a necesitar? Las respuestas te dan tres grupos.
La dirección principal es la que protegerías a cualquier precio. Se ocupa de la banca, los pagos, los impuestos, los seguros y las pensiones, los servicios públicos, los proveedores de salud, tu gestor de contraseñas y tu almacenamiento en la nube, y de la recuperación de otras cuentas importantes. Si quieres, puede tenerla tu familia cercana. Como mucho unas pocas decenas de servicios deberían verla, y no debería aparecer en foros públicos, perfiles sociales ni registros ocasionales. Su buzón se mantiene tranquilo, y esa calma es una medida de seguridad.
La dirección secundaria es una bandeja real y permanente para la vida en línea corriente: tiendas y confirmaciones de pedidos, boletines que lees, foros, entradas de eventos, programas de fidelización y apps que piensas conservar, donde una pérdida sería fastidiosa y nada peor. Esperas que reciba marketing y algo de spam. Aun así necesita una contraseña fuerte y un segundo factor, porque de ella cuelgan cuentas reales, y tienes que poder recuperarla.
Las direcciones de corta duración son bandejas temporales que se usan una vez y se abandonan, cuando necesitas recibir un mensaje o dos y no quieres nada más. Son buenos casos un archivo de muestra que exige confirmación por correo, un contenido restringido al que no volverás, la página wifi de un local, probar el correo de registro en una aplicación que estás construyendo, o ver qué envía un sitio desconocido antes de confiarle algo permanente. Comprueba siempre que las condiciones del sitio lo permitan.
| Propiedad | Principal | Secundaria | De corta duración |
|---|---|---|---|
| Vida útil | Décadas | Años | De minutos a aproximadamente un día |
| Quién la recibe | Instituciones y personas de confianza | Comercios, comunidades, apps que conservas | Sitios que no esperas volver a usar |
| Correo basura esperado | Casi ninguno | Algo de marketing, spam ocasional | No importa, caduca |
| Protección | Contraseña única, el segundo factor más fuerte, códigos de respaldo | Contraseña única, segundo factor | Ninguna cuenta que proteger, nada se guarda a largo plazo |
| ¿Se puede recuperar? | Debe poder | Debe poder | No, y nunca debería hacer falta |
| ¿Cuentas importantes? | Sí | Solo moderadamente importantes | Nunca |
| Herramientas típicas | Un proveedor consolidado, quizá un dominio propio | Un segundo buzón, alias, etiquetas con signo más | Un servicio de correo temporal |
Elegir dónde vive la principal
Dependerás de esta elección durante mucho tiempo, así que merece más reflexión que las otras dos juntas. Fíjate primero en la longevidad, porque mudarse más tarde es doloroso. Luego en las funciones de seguridad: un segundo factor que incluya llaves de seguridad o passkeys, alertas de inicio de sesión y una vista clara de los dispositivos con sesión iniciada. El Programa de Protección Avanzada de Google, por ejemplo, añade controles más estrictos pensados para personas con mayor riesgo de ataques dirigidos.
A continuación, lee cómo funciona de verdad la recuperación y sé sincero con la tensión que hay en ella. Un proceso fácil para ti suele serlo también para un atacante. Uno estricto te protege y luego te deja tirado si pierdes tus códigos de respaldo, y los grandes proveedores gratuitos a menudo no tienen a ningún humano al que apelar. Comprueba también cómo usa el proveedor tus datos, dónde los guarda y si puedes llevártelos. Google Takeout exportará Gmail, y la mayoría de los demás proveedores te dejan descargar el correo o leerlo por IMAP con un programa de escritorio. Prueba la exportación una vez. Una copia de seguridad que nunca se ha probado es solo una esperanza.
¿Dirección gratuita o tu propio dominio?
Una dirección como you@yourname.example es portátil. Si un proveedor cambia sus condiciones o cierra, apuntas el dominio a un proveedor nuevo y conservas la misma dirección, y esa independencia es la razón principal para hacerlo. Dar buena imagen profesional es un extra agradable. También acaba con el problema del comienzo de este artículo, en el que una decisión automática de un proveedor puede quitarte la dirección.
La contrapartida es una obligación que no desaparece. Si olvidas renovar, pasado el periodo de gracia que ofrezca el registrador, otra persona puede registrar el dominio y recibir tu correo, incluidos los restablecimientos de contraseña. Si eliges este camino para cuentas importantes, toma estas precauciones:
- Activa la renovación automática, registra varios años de una vez y mantén al día la tarjeta de pago.
- Protege la cuenta del registrador con una contraseña única y un segundo factor, porque en la práctica controla tu correo.
- Da al registrador una dirección de contacto que no esté en el mismo dominio, para que los avisos de renovación te sigan llegando aunque el correo del dominio deje de funcionar. Esta es la dependencia circular de la lista de ejemplo.
- Publica registros SPF, DKIM y DMARC para que otros no puedan enviar fácilmente correo haciéndose pasar por ti.
- Deja anotado, en el plan descrito más abajo, dónde está registrado el dominio. La gente lo olvida tras diez años de renovación automática.
Para la mayoría de las personas, una dirección gratuita o económica de un proveedor consolidado, con buena protección, es una principal perfectamente sólida. Un dominio propio conviene a quienes lo van a mantener con constancia.
La secundaria es más sencilla
Una cuenta gratuita aparte con un proveedor de confianza funciona bien, igual que un segundo buzón en tu propio dominio. Usar un proveedor distinto del de tu principal tiene un beneficio modesto, ya que un bloqueo en una empresa deja en pie a la otra. Dale su propia contraseña y un segundo factor.
La recuperación es donde fallan la mayoría de los planes
Puedes hacer todo lo demás bien y deshacerlo aquí. Todo buzón tiene opciones de recuperación, normalmente un número de teléfono y una dirección de respaldo, y forman una cadena: quien controla la dirección de recuperación suele poder hacerse con la cuenta que hay detrás.
El sentido seguro va de lo menos fiable a lo más fiable. La secundaria indica la principal como su dirección de recuperación. La principal se apoya en un número de teléfono que controlas, en códigos de respaldo guardados sin conexión y, si quieres, en una dirección de recuperación dedicada que no se use para nada más. Las direcciones de corta duración nunca aparecen como opción de recuperación en ningún sitio.
Piensa cómo se ve el sentido equivocado, como ejemplo. Supón que tu principal indica tu secundaria como dirección de recuperación, porque era la única otra dirección que tenías al configurarla. Años después, una tienda filtra la dirección secundaria junto con una contraseña que reutilizaste en ese buzón. Ahora un atacante puede entrar en la secundaria, pedir a la principal un mensaje de recuperación y leerlo allí. Tu cuidadosa separación le ha dado una escalera. El mismo problema surge con los bucles, donde dos cuentas se recuperan cada una a través de la otra, y cuando pierdes una la otra no puede ayudar.
La otra mitad de la cadena: tu teléfono
Los segundos factores también tienen dependencias. Si todos los códigos llegan por mensaje de texto, perder tu número, o que un fraude lo transfiera a la SIM de otra persona, ataca la cuenta directamente. Si tus códigos viven en una app autenticadora en un solo teléfono, un teléfono roto es un bloqueo. Así que repite la prueba mental, ahora sin el teléfono: ¿cómo entras en la principal desde un portátil prestado?
Una respuesta sólida suele combinar varias cosas. Los códigos de app, las llaves de seguridad o las passkeys son más fuertes que los SMS. Una segunda llave de seguridad o una passkey en un segundo dispositivo elimina el punto único de fallo. Los códigos de respaldo impresos y guardados con tus documentos importantes te permiten entrar cuando falta todo lo demás. En las cuentas de Google los encontrarás en Seguridad, Verificación en dos pasos, y la mayoría de los grandes proveedores tienen algo equivalente. En cuanto cambies de número de teléfono, actualiza el número de recuperación, porque más adelante ese número puede pasar a otra persona.
Una lista de comprobación para la cuenta principal
- Usa una contraseña larga y única guardada en un gestor de contraseñas.
- Activa un segundo factor, con el método más fuerte que de verdad vayas a seguir usando.
- Genera códigos de respaldo y guárdalos sin conexión.
- Confirma que el teléfono y la dirección de recuperación están al día y apuntan en el sentido seguro.
- Revisa los dispositivos con sesión iniciada. Gmail tiene un enlace Detalles al pie de la bandeja web que muestra la actividad reciente, y la Revisión de seguridad de Google cubre dispositivos y más.
- Comprueba el reenvío y los filtros por si hay algo que no creaste. En Gmail eso significa Configuración, Ver todos los ajustes, Reenvío y correo POP/IMAP, y luego Filtros y direcciones bloqueadas. Los atacantes que entran a veces añaden un reenvío silencioso para conservar una copia de tu correo después de que cambies la contraseña.
- Revisa las apps de terceros con acceso al buzón y revoca las que no reconozcas.
Alias, etiquetas con signo más y direcciones comodín
Un alias de correo es una dirección adicional que entrega en un buzón existente, de modo que puedes repartir muchas direcciones y leerlas en un solo lugar. Pertenecen sobre todo al nivel secundario, y los distintos tipos se comportan de forma bastante diferente.
Las direcciones con signo más son lo más simple. Muchos proveedores entregan name+anything@provider.example en name@provider.example, así que puedes etiquetar cada sitio, filtrar por la etiqueta y ver qué sitio cedió tu dirección cuando llegue basura con esa etiqueta. Recuerda lo que no hacen: la dirección base sigue visible, cualquiera puede quitar la etiqueta, algunos formularios rechazan el signo más aunque los estándares lo permiten y no todos los proveedores lo admiten. Es un sistema de archivo. Nunca lo uses en tu principal para sitios casuales, porque eso reparte tu principal con una etiqueta puesta. La costumbre de Gmail de ignorar los puntos en un nombre de usuario (first.last y firstlast llegan a la misma bandeja) tampoco ofrece privacidad.
Los servicios de alias de reenvío van más allá. Servicios dedicados, algunos proveedores de correo y algunos navegadores generan direcciones aleatorias que reenvían a tu bandeja, y puedes apagar una sola cuando atrae basura. Sirven para cuentas que quieres conservar y de las que esperas marketing. El inconveniente es que el servicio de alias pasa a estar en tu cadena de recuperación. Si falla o te bloquea, todas las cuentas detrás de esos alias tienen un problema, así que protégelo al menos tan bien como el buzón secundario y comprueba qué pasa con tus alias si dejas de pagar.
Con tu propio dominio también puedes configurar una dirección comodín, en la que todo lo que llega al dominio entra en un solo buzón, e inventar una dirección por sitio sobre la marcha. Es flexible, y también acepta todos los nombres aleatorios que adivine un spammer, así que muchos prefieren crear alias explícitos y dejar que el servidor rechace los nombres desconocidos.
La diferencia entre un alias y una bandeja de corta duración es la persistencia. Un alias reenvía a tu buzón real hasta que lo detienes, y está vinculado a ti a través del proveedor de alias. Una bandeja temporal no está vinculada a ninguna cuenta y caduca sola. Una sirve para relaciones que quizá conserves; la otra, para las que no.
Decidir en el momento del registro
Un plan fracasa si exige deliberar en cada formulario. Hazte estas preguntas en orden y para en el primer sí.
- ¿Implica dinero, identidad, salud, administración pública, trabajo o la recuperación de mis otras cuentas? Usa la principal, o una dirección de trabajo para el trabajo.
- ¿Podría necesitar esta cuenta dentro de un mes, o tener que recuperarla, disputar una compra o demostrar la titularidad? Usa la secundaria o un alias.
- ¿Solo necesito una confirmación o un archivo, ahora mismo? Una dirección de corta duración es razonable, si las condiciones del sitio lo permiten y la cuenta no importa.
- ¿Tengo dudas sobre el sitio? Empieza con un alias, o con una dirección de corta duración para algo trivial. Si más tarde quieres conservar la cuenta, cambia su correo a tu secundaria enseguida, mientras aún puedas recibir la confirmación.
Si un sitio rechaza una dirección temporal, ya ha tomado su decisión. Usa ahí tu secundaria o un alias y no pierdas tiempo buscando la forma de esquivarlo.
| Situación | Dirección | Por qué |
|---|---|---|
| Abrir una cuenta bancaria | Principal | Es financiero y legalmente relevante, y debe poder recuperarse |
| Portal de impuestos o de la administración | Principal | Identidad oficial. Nunca correo temporal |
| Gestor de contraseñas | Principal | Guarda las llaves de todo lo demás |
| Citas médicas | Principal | Sensible e importante |
| Solicitudes de empleo | Principal o una dirección profesional dedicada | Los empleadores tienen que poder localizarte durante semanas |
| Perfil principal de redes sociales | Principal o una secundaria dedicada | Difícil de reemplazar y con frecuencia usado para iniciar sesión en otros sitios |
| Una tienda donde compras con regularidad | Secundaria o alias | Los recibos y las devoluciones importan, y se espera marketing |
| Un boletín que lees cada semana | Secundaria o alias | Continuo y de bajo riesgo |
| Un foro de aficionados | Secundaria o alias | Una cuenta continua en una comunidad de cara al público |
| Una plantilla gratuita, descargada una vez | De corta duración, si se permite | Hace falta un mensaje y no hay relación continuada |
| La página wifi de una cafetería | De corta duración, si se permite | Una lista de marketing que no te ofrece nada |
| Probar el correo de registro de tu propia app | De corta duración | Una bandeja limpia para cada prueba |
Los nombres delatan
Una dirección puede revelar más de lo que pretendes. Para la principal, nombre y apellido está bien, ya que las personas e instituciones que la reciben ya saben quién eres. Evita los años de nacimiento y detalles parecidos que aparecen en las preguntas de seguridad. Para la secundaria, un alias neutro dificulta vincular tu actividad de compras y foros con tu identidad legal, y usar uno distinto de tus perfiles sociales públicos ayuda si quieres mantenerlos separados.
Para las direcciones de corta duración, lo mejor es lo aleatorio. Las bandejas temporales públicas generalmente no tienen contraseña, así que cualquiera que conozca o adivine una dirección puede abrirla. En VookMail eso es así como en servicios similares: un nombre escrito, como el tuyo o una palabra común, podría ser encontrado por otra persona, mientras que el botón amarillo «Aleatorio» produce una dirección aleatoria mucho más difícil de adivinar. Nuestro artículo sobre si el correo temporal es seguro explora ese riesgo. Es una razón más para que este nivel reciba solo correo de poca importancia, y nunca contratos, documentos de identidad ni archivos médicos.
Pasar desde una sola dirección
Seguramente ya tienes años de cuentas en una sola dirección. Intentar mover todas en un fin de semana es la forma en que la gente se rinde. Ve por etapas y acepta que seguirás encontrando rezagadas el año que viene.
Empieza con un inventario. Tu gestor de contraseñas y los inicios de sesión guardados en el navegador son las mejores fuentes. Busca en tu correo frases como «welcome», «verify your email», «confirm your account» y «receipt», y revisa las conexiones «Iniciar sesión con» en los ajustes de seguridad de tus cuentas principales, que revelan las apps que entran a través de ellas. Una hoja de cálculo con servicio, dirección actual, nivel de destino y estado es más que suficiente.
Luego resuelve una pregunta que sorprende a la gente: ¿qué dirección pasa a ser qué nivel? Tu dirección actual ha estado expuesta durante años, así que suele ser mejor secundaria. Lo más limpio suele ser crear una principal nueva que nadie haya visto, protegerla por completo con la lista de comprobación anterior y mover a ella tus cuentas importantes, mientras la vieja dirección conocida sigue con las compras y las listas. Protege primero la nueva, porque pasar tu banco a una bandeja débilmente protegida te dejaría peor que antes.
Ahora mueve las cuentas por orden de daño. Empieza por el gestor de contraseñas y el almacenamiento en la nube, y luego el banco, la administración y las cuentas de salud. Muchos servicios envían una confirmación tanto a la dirección antigua como a la nueva, así que mantén ambas abiertas durante el cambio. Actualiza todo lo que indique la dirección antigua como opción de recuperación, y ten cuidado con las cuentas de «Iniciar sesión con», donde el inicio de sesión pertenece al proveedor y cambiar la dirección de contacto puede no cambiar cómo entras. Repartidas en unas cuantas tardes, las veinte cuentas principales son un trabajo manejable.
Mantén viva la dirección antigua. No la cierres, sea cual sea el nivel en el que termine. Las cuentas olvidadas seguirán enviándole correo, lo que te dice qué falta por actualizar, y cerrarla pronto puede dejarte fuera de una cuenta que se recupera a través de ella. Entra también de vez en cuando, porque los proveedores tienen reglas de actividad. La política de Google desde 2023, por ejemplo, permite eliminar las cuentas que no se usan durante dos años, y otros proveedores fijan sus propios límites y algunos han vuelto a asignar nombres de usuario abandonados a otras personas. Un nombre reciclado así recibiría los correos de restablecimiento que aún apunten a él.
Por último, limpia y cambia el hábito. Date de baja de las listas que ya no lees, cierra las cuentas que no usas porque cerrarlas reduce lo que puede filtrarse, y empieza a usar alias o etiquetas en los registros nuevos. A partir de ahí, las descargas puntuales y las páginas wifi van a algo de vida corta. Este último paso es donde está la ganancia a largo plazo, porque la secundaria deja de crecer sin límite.
Cómo cambia el uso diario
La principal se lee con atención pero rara vez. Recibe pocos mensajes, casi todos importantes, así que es el buzón en el que conviene mantener las notificaciones activadas. La secundaria se hojea, con los boletines y los recibos archivados por filtros y las notificaciones desactivadas. Un gestor de contraseñas en todos los niveles lo mantiene coherente, y sus entradas pueden registrar qué dirección usa cada cuenta.
Las direcciones de corta duración se usan a demanda. Con VookMail, como ejemplo, la dirección está ahí al cargar la página, sin registro ni contraseña. La copias, la usas, y la bandeja busca correo cada pocos segundos, con los códigos de verificación y los enlaces de confirmación mostrados sobre el mensaje. Puedes pulsar Nuevo para escribir un nombre de usuario y elegir entre más de 30 dominios, mantener varias direcciones en un mismo navegador o usar el botón QR para pasar una dirección a un teléfono y abrir allí la misma bandeja. Todo se elimina pasado aproximadamente un día, lo cual es correcto para este nivel e incorrecto para cualquier otro. Hay apps en Google Play y Huawei AppGallery, y nuestros términos y condiciones detallan para qué no se pueden usar, incluidos el fraude, el abuso y la evasión de bloqueos.
Un beneficio subestimado aparece pasados unos meses: el contexto se convierte en una señal de seguridad. Cada dirección tiene un conjunto esperado de remitentes, así que los atípicos destacan. Un correo que dice ser de tu banco y llega a la secundaria es falso, porque tu banco solo ha tenido la principal. Un aviso de «tu pedido ha sido enviado» en la principal es sospechoso por la misma razón. Esa comprobación rápida funciona con mensajes bien redactados que pasarían cualquier otra prueba, y nuestra guía para detectar correos de phishing explica qué hacer con los que no atrapa. La comprobación tiene un límite: una filtración o un contacto compartido pueden poner con el tiempo cualquier dirección en manos de un estafador, así que una dirección esperada no prueba que un mensaje sea auténtico.
Trabajo, familia y quienes te rodean
Tu dirección de trabajo pertenece a tu empleador. No registres cuentas personales con ella ni la uses para la recuperación personal. Cuando te vayas perderás el acceso, a menudo el mismo día, y mientras tanto tu empleador podría poder leerla. Del mismo modo, evita usar direcciones personales para sistemas de trabajo salvo que la política de tu empleador diga otra cosa.
Una dirección compartida del hogar funciona bien para suministros, mensajes del colegio y servicios domésticos que varias personas necesitan ver. Trátala como nivel secundario con protección fuerte, y asegúrate de que más de un adulto pueda recuperarla. Piensa qué pasa si la persona que la configuró deja de estar disponible.
Para los niños, tiene mucho más sentido una cuenta gestionada por un padre o una madre con los controles familiares que ofrece un proveedor de correo que una bandeja temporal. Los servicios desechables son herramientas de uso general y no están pensados para niños.
Si llevas un proyecto paralelo o un pequeño negocio, dale su propia dirección o dominio, separado de tu principal personal. Las direcciones de cara al cliente son públicas por naturaleza y atraerán spam. Conviene también tener a mano bandejas limpias para probar el correo de registro y de notificaciones, para que un buzón real no se llene de mensajes de prueba.
Si no puedes volver a iniciar sesión nunca más
La prueba mental tiene una versión más que pocos hacen. Tu buzón principal guarda el camino hacia la mayor parte de tu vida digital, y tu familia puede necesitarlo algún día en que tú no puedas ayudar. Una contraseña en un sobre cerrado sirve, pero las grandes plataformas ofrecen ahora algo más formal. El Administrador de cuentas inactivas de Google te permite nombrar a personas a las que se avisará, y a las que opcionalmente se dará acceso a datos elegidos, cuando tu cuenta lleve inactiva el periodo que fijes. El Contacto de legado de Apple genera una clave de acceso que, junto con un certificado de defunción, permite a una persona designada solicitar tus datos, aunque no las contraseñas de tu llavero ni los datos de pago. Muchos otros servicios no tienen un proceso así. Elijas lo que elijas, menciona en tu testamento o entre tus papeles importantes que el plan existe, y consulta a un abogado si tu situación es complicada, porque las normas sobre el acceso a las cuentas de una persona fallecida difieren entre países.
Cuando llega un aviso de filtración
Los niveles cambian lo que significa un aviso de filtración, y aquí es donde esta organización compensa el esfuerzo. Si el servicio afectado tenía una dirección de corta duración, normalmente no hay nada que hacer. La dirección era temporal y no estaba conectada a nada, aunque si reutilizaste ahí una contraseña, cámbiala en todos los sitios donde la usaste.
Si tenía tu secundaria, cambia la contraseña de ese servicio, vigila las estafas dirigidas a esa dirección y, si usaste un alias, desactívalo y emite uno nuevo. Tus otras cuentas en la secundaria solo se ven afectadas si compartían la contraseña, algo que un gestor de contraseñas evita.
Si tenía la principal, cambia la contraseña, revisa los dispositivos y las reglas de reenvío del buzón y espera estafas convincentes que mencionen el servicio por su nombre. Las filtraciones en servicios del nivel principal también deberían ser menos frecuentes, simplemente porque menos servicios tienen esa dirección. Comprobar de vez en cuando tus direcciones permanentes en un servicio de avisos de filtraciones, como Have I Been Pwned, es un hábito sensato.
Un plan que cabe en una página
Ponerlo por escrito convierte una buena intención en algo que puedes seguir, y permite que aún encuentres los detalles dentro de diez años. Aquí tienes un ejemplo para adaptar. Guarda el tuyo en un lugar seguro, como las notas seguras de tu gestor de contraseñas, y anota qué dirección y qué nivel, sin escribir contraseñas en él.
Principal: nombre.apellido en un proveedor consolidado. Banco, impuestos, salud, gestor de contraseñas, almacenamiento en la nube, familia. Recuperación: teléfono más códigos de respaldo impresos guardados con los pasaportes. Nunca se usa para compras ni registros.
Secundaria: alias neutro en un segundo proveedor, más alias para tiendas concretas. Compras, boletines, foros, suscripciones. Recuperación: la principal.
De corta duración: dirección temporal aleatoria, donde las condiciones del sitio lo permitan. Descargas puntuales, páginas wifi, pruebas, probar sitios desconocidos. Nada que vaya a necesitar después de hoy.
Reglas: cada cuenta tiene una contraseña única. El gestor de contraseñas anota qué dirección usa cada cuenta. Revisar los ajustes de seguridad de la principal cada seis meses. El dominio se renueva cada marzo.
Mantenimiento, en pequeñas dosis
Una vez al mes, sal de las listas del nivel secundario que has dejado de leer, y mueve cualquier cuenta que empezó con una dirección de corta duración y resultó ser útil. Si no lo has hecho en un día, da por hecho que has perdido el acceso a esa dirección y gestiónalo desde los ajustes del propio sitio o su soporte, si puedes.
Dos veces al año, revisa los dispositivos con sesión iniciada, las reglas de reenvío y las apps conectadas en ambos buzones permanentes. Confirma los números de recuperación y comprueba que tus códigos de respaldo siguen donde crees. Entra en cualquier dirección antigua que hayas conservado. Comprueba tus direcciones en un servicio de filtraciones y, si tienes un dominio, confirma la renovación automática y la tarjeta que hay detrás.
Una vez al año, cierra las cuentas que ya no uses y pregúntate si los niveles aún encajan con tu vida, sobre todo tras un cambio de trabajo o una mudanza. Una estrategia escrita para una versión de tu vida se va desviando, y ajustarla cuesta mucho menos esfuerzo que la configuración original.
Dónde fallan estos planes
La mayoría de los fallos son pequeñas excepciones que se acumulan. «Solo esta vez» con la principal es el clásico. Si un sitio no merecía esa dirección la semana pasada, tampoco la merece esta, y un alias se crea en segundos. Muy cerca está la reutilización de contraseñas entre niveles, porque las direcciones separadas sirven de poco si la filtración de un foro revela la contraseña de tu buzón.
El error contrario es construir en exceso. Una persona con once direcciones, cada una con sus propias reglas, dejará de seguirlas en primavera. Dos direcciones permanentes y una opción de corta duración cubren casi todo. Añade otra solo por un motivo claro, como un negocio. Tratar las etiquetas con signo más como privacidad, usar una dirección de corta duración para algo que luego importa y cerrar demasiado pronto una dirección antigua provocan bloqueos reales, mientras que una secundaria sencilla y algo de paciencia evitan los tres.
Preguntas sobre cómo ponerlo en marcha
¿Es sospechoso usar direcciones distintas en sitios distintos?
No. Separar las direcciones es una práctica normal de privacidad y organización. Lo que cuenta es que cada cuenta que te importa esté en una dirección que vas a controlar todo el tiempo que necesites la cuenta, y que respetes las normas de cada sitio sobre las direcciones que acepta.
¿Van dos cuentas de correo contra las normas de un proveedor?
En general no para el uso personal normal, aunque las condiciones varían y la creación automatizada en masa es otra cosa. Mucha gente tiene varias para fines distintos. Consulta las condiciones de tu proveedor si tienes alguna duda.
¿Puede un solo buzón con muchos alias reemplazar una cuenta secundaria?
Puede, si los alias son direcciones de reenvío reales que ocultan el buzón, y aceptas que un proveedor se convierte en un punto único de fallo mayor. Las etiquetas con signo más por sí solas no pueden, porque revelan tu dirección base a cualquiera que quite la etiqueta.
¿Debería estar mi número de teléfono en la principal?
Para la mayoría de la gente sí, porque un teléfono de recuperación que funciona evita muchos más bloqueos de los que causa. Si sufres ataques dirigidos, por ejemplo por tu trabajo o tu perfil público, plantéate quitar el SMS como método de inicio de sesión y apoyarte en llaves de seguridad, con un manejo cuidadoso de los códigos de respaldo.
¿Ayuda algo de esto si se filtra mi propio proveedor?
En parte. Tu contraseña y tu segundo factor siguen protegiéndote de muchos tipos de incidente, y una secundaria aparte en otra empresa significa que no todo está en un solo lugar. Conservar una exportación del correo importante ayuda en todos los escenarios, incluido el de que simplemente pierdas el acceso.
¿Cuánto tarda toda la migración?
La configuración y las veinte cuentas principales pueden llevar unas cuantas tardes. La larga cola de cuentas olvidadas lleva meses, y es lo esperado. Se delatan cuando llega correo a la dirección antigua, y puedes ocuparte de cada una según aparezca. Para más contexto sobre el proyecto, consulta la página sobre nosotros o el blog de VookMail. VookMail forma parte de la red de herramientas gratuitas de PAYATE.