Antes de restablecer una contraseña, comprueba dónde estás

Un mensaje que anuncia un problema con la contraseña provoca prisa. El botón suele estar a pocos centímetros y promete resolverlo todo en un minuto. Precisamente por eso prefiero no dejar que el correo elija la puerta de entrada. Antes de escribir una contraseña nueva, compruebo qué cuenta intento recuperar y llego al servicio por un camino que ya conozco.

No hace falta convertirse en especialista en direcciones web. La idea es más doméstica: separar el aviso de la acción. El correo puede servir para saber que existe una incidencia, pero la recuperación debe empezar desde la aplicación, un marcador guardado o la portada oficial escrita por nosotros mismos.

Primero, confirma qué ha ocurrido

No todos los mensajes de recuperación significan que alguien haya entrado en la cuenta. A veces otra persona escribe por error una dirección parecida. Google explica en su ayuda sobre correos de asistencia de contraseña no solicitados que, si no iniciamos la solicitud, no es necesario completar el cambio solo por haber recibido el mensaje.

La primera pregunta es, por tanto, si acabamos de pedir el restablecimiento. Si la respuesta es no, no pulso el enlace. Abro el servicio por separado y reviso los avisos de seguridad o la actividad reciente. Un mensaje inesperado merece atención, pero no obediencia automática.

Si sí pedí el cambio, miro la hora y la cuenta destinataria. Es fácil iniciar una recuperación para una dirección y tener abierta otra cuenta en el navegador. Anotar el correo concreto evita cambiar la contraseña equivocada.

Entrar por una puerta conocida

La opción más tranquila es abrir una pestaña nueva y escribir la dirección habitual del servicio, o usar su aplicación oficial. Desde allí busco “He olvidado mi contraseña” o el apartado de seguridad. Este recorrido puede tener un paso más, pero elimina la necesidad de decidir si un botón recibido es auténtico.

Un marcador guardado con anterioridad también sirve, siempre que sepamos qué contiene. No uso como referencia el primer anuncio de un buscador ni una dirección copiada de un mensaje reenviado. La recuperación de una cuenta importante merece una entrada estable.

Si el servicio solo permite continuar mediante el enlace que acaba de enviar, comparo el remitente y el destino con su documentación oficial. Aun así, no escribo credenciales si el navegador muestra una advertencia de certificado, una dirección inesperada o una petición de datos que el proceso normal no usa.

Una contraseña nueva debe ser realmente nueva

Restablecer no consiste en mover una mayúscula o añadir el año. Si la contraseña anterior pudo quedar expuesta, reutilizar su base conserva buena parte del problema. Creo una clave larga y exclusiva para esa cuenta, preferiblemente con el generador de un gestor de contraseñas.

No copio la contraseña de otra cuenta importante. La reutilización convierte una filtración aislada en una llave para varias puertas. Tampoco la guardo en una nota sin protección ni me la envío por correo.

Cuando el servicio ofrece cerrar otras sesiones, reviso esa opción. Cambiar la contraseña no siempre expulsa de inmediato todos los dispositivos. También compruebo el correo y el teléfono de recuperación. Deben ser datos que reconozco y a los que aún tengo acceso.

Los códigos de un solo uso no se comparten

Durante la recuperación puede llegar un código por correo o SMS. Ese código se escribe únicamente en la pantalla oficial que acabamos de abrir. Si una persona llama o escribe para pedirlo, detengo el proceso. El soporte legítimo no necesita que le dictemos un código destinado a verificar que somos nosotros.

También leo el texto del mensaje. Algunos códigos indican expresamente que no deben compartirse y muestran la operación que autorizan. Si yo estaba cambiando una contraseña y el aviso habla de añadir un dispositivo o aprobar un pago, no continúo.

La prisa es mala compañera aquí. Un código suele tener una validez corta, pero dejarlo caducar es preferible a introducirlo en una pantalla dudosa. Siempre se puede iniciar otro intento desde la puerta correcta.

Después del cambio, conserva una salida

Antes de cerrar la sesión, confirmo que la contraseña nueva quedó guardada en el gestor y que puedo acceder desde el dispositivo habitual. No pruebo en cinco aparatos a la vez. Una comprobación controlada basta.

Guardo también los códigos de recuperación si el servicio los ofrece, pero fuera del correo y de la misma cuenta que protegen. No los incluyo en capturas ni en documentos compartidos. Son una salida de emergencia, no una lista para tener a la vista.

Si el aviso inicial hablaba de actividad desconocida, reviso dispositivos conectados, aplicaciones con acceso y cambios recientes en la seguridad. Hago cada modificación por separado y anoto lo que retiro. Así puedo distinguir una sesión antigua de algo realmente ajeno.

Separar el mensaje de la decisión

Un correo puede ser verdadero y, aun así, no requerir que actuemos. También puede imitar con mucha precisión el aspecto del servicio. Por eso la apariencia no es mi criterio principal. La pregunta es si puedo llegar a la misma acción desde una entrada conocida.

Cuando abro yo la puerta, sé qué cuenta estoy recuperando, dónde escribo el código y qué sesión queda activa. El cambio tarda quizá dos minutos más. A cambio, la contraseña nueva empieza su vida en el lugar correcto.