Crear una cuenta parece una decisión menor: una dirección de correo electrónico, una contraseña, una casilla marcada. También es el momento en que le entregas a una empresa un registro sobre ti y un acceso que otras personas pueden intentar vulnerar. La mayoría de los problemas de las cuentas comienzan en el registro, y la mayoría son más baratos de prevenir ahí que de solucionar después.
Esta página explica qué entregas cuando te registras, cómo se comparan las formas principales de crear una cuenta y cómo decidir entre ellas. Trata sobre la creación de cuentas. La elección de contraseñas, la configuración de la autenticación de dos factores y la eliminación de cuentas son temas independientes.
Qué es una cuenta, en términos sencillos
Una cuenta se compone de dos cosas: un inicio de sesión que demuestra que eres tú, y un registro que el servicio conserva sobre ti. El inicio de sesión se puede robar. El registro se puede filtrar, vender o utilizar para algo que nunca aceptaste.
Toma como ejemplo la aplicación de fidelización de una cadena de cafeterías. Para obtener un descuento das una dirección de correo electrónico y un número de teléfono, y la aplicación también puede guardar tu historial de compras. Si la cadena sufre una brecha de seguridad, esos datos se escapan junto con todo lo demás, vinculados a la misma dirección de correo que usas para tu banco.
Qué puede salir mal al registrarte
Las filtraciones son el problema más común. El Centro de Denuncias de Delitos en Internet (IC3) del FBI recibió 67.456 denuncias de filtraciones de datos personales en 2025, el cuarto tipo más común por volumen. Esos son datos de EE. UU. y solo cuentan las denuncias que las personas presentaron. Una dirección de correo filtrada se convierte después en una lista de objetivos. Privacy Guides señala que tras un hackeo puedes empezar a recibir phishing y spam en la dirección que utilizaste.
Una brecha en un servicio también puede abrir otros. El estudio de Google sobre el secuestro de cuentas descubrió que la mayoría de los intentos procedían de bots automatizados que utilizaban contraseñas expuestas en filtraciones de otros sitios. Una contraseña débil o reutilizada en un sitio pequeño es un riesgo para tus otras cuentas. La página de amenazas comunes cubre esto con más detalle.
El propio servicio puede hacer un uso indebido de lo que le proporcionas. La Comisión Federal de Comercio de EE. UU. (FTC) alegó que entre 2013 y 2019 Twitter pidió a los usuarios sus números de teléfono y direcciones de correo bajo afirmaciones como “Protege tu cuenta”, para luego permitir que los anunciantes los usaran para dirigir publicidad. Más de 140 millones de usuarios se vieron afectados, según la FTC. Twitter pagó 150 millones de dólares en 2022 para resolver el caso y se le ordenó ofrecer opciones de dos factores que no requieran un número de teléfono. Twitter afirmó que el uso fue inadvertido y que nunca compartió los detalles con los anunciantes directamente.
Las reglas y la automatización también importan. Los grandes servicios hacen cumplir sus términos de servicio mediante sistemas automatizados que a veces cometen errores. Privacy Guides señala que hay personas que se han quedado sin acceso a sus cuentas por usar una VPN o un número de teléfono basado en internet, y que las apelaciones a menudo también están automatizadas. Algunos servicios son difíciles de abandonar, y unos pocos guardan un historial completo de los cambios en tu cuenta.
El Reglamento General de Protección de Datos (RGPD) de la Unión Europea ofrece un estándar útil para los formularios de registro, incluso si no vives en la UE. El artículo 5 establece que los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para la finalidad. Si un formulario pide más de lo que el servicio necesita para funcionar, considera eso como información sobre la conducta del propio servicio.
Las formas principales de crear una cuenta
| Método | Qué compartes | Riesgo principal | A menudo adecuado para |
|---|---|---|---|
| Correo electrónico y contraseña | Una dirección de correo o un alias | Reutilización de contraseñas y filtraciones | La mayoría de las cuentas |
| “Iniciar sesión con” un gran proveedor | Nombre y correo, y el proveedor se entera de que usas el servicio | Una cuenta bloqueada o hackeada afecta a muchas otras | Servicios de poco riesgo en los que confías |
| Número de teléfono | Un número que te identifica entre servicios | Rastreo, intercambio de SIM, marketing | Servicios que realmente lo necesiten |
| Solo nombre de usuario y contraseña | Poco o nada identificable | Sin forma de recuperar la cuenta | Cuentas donde el anonimato importa |
| Llave de acceso (passkey) | Una clave pública, ningún secreto | Recuperación si pierdes tu dispositivo | Servicios que lo admitan |
Correo electrónico y contraseña
Sigue siendo la opción por defecto. La regla principal es usar una contraseña diferente para cada cuenta, lo que la mayoría de las personas gestiona con un gestor de contraseñas.
También puedes darle a cada servicio una dirección de correo diferente. Un alias de correo electrónico es una dirección que reenvía los mensajes a tu bandeja de entrada real. Privacy Guides destaca tres beneficios: ayuda a prevenir el rastreo entre servicios por la dirección de correo, te permite filtrar el marketing por alias y, si un servicio es hackeado, un alias único te muestra cuál fue. La función Ocultar mi correo electrónico de Apple funciona así. Cada servicio recibe una dirección aleatoria, Apple reenvía el correo y el remitente nunca ve tu dirección real. Puedes desactivar un alias si empieza a atraer spam.
El costo es la confianza y la recuperación. El correo pasa por los servidores del proveedor de alias, y si el proveedor llega a cerrar tu cuenta, también se pierden los alias. Conserva tu dirección real para las cuentas que no te puedas permitir perder, como tu banco y tu correo principal.
Botones de “Iniciar sesión con”
“Iniciar sesión con Google”, Apple, Facebook y botones similares utilizan un protocolo llamado Open Authorization (OAuth). Le demuestras quién eres al gran proveedor y el nuevo servicio recibe una confirmación. Tu contraseña no se comparte. El servicio suele recibir datos básicos como tu nombre y correo, los cuales puedes revisar durante el registro.
Las ventajas son reales. Te apoyas en la seguridad de un gran proveedor en lugar de la de un servicio pequeño, y gestionas menos contraseñas. Los costos también son reales. El proveedor se entera de qué servicios usas. Si esa cuenta principal es hackeada o bloqueada, todo lo vinculado a ella se ve afectado. Algunos inicios de sesión también solicitan más accesos de los que necesita un login, como tus contactos o la capacidad de publicar en tu nombre, así que lee la lista de permisos. Privacy Guides sugiere tratar estos botones como una comodidad para servicios en los que confías y proteger la cuenta principal con autenticación de dos factores.
Número de teléfono
Los servicios piden un número para verificarte, ayudarte a recuperar la cuenta o enviarte marketing. Un número te identifica a través de diferentes servicios de una forma en que no lo hace una contraseña, y es difícil de cambiar. El caso de Twitter mencionado anteriormente muestra lo que le puede pasar a un número proporcionado por motivos de seguridad.
Si un número de teléfono custodia una cuenta, un intercambio de SIM puede alcanzarla. La página de amenazas comunes explica cómo. No intentes esquivar la solicitud con un número falso o uno basado en internet para cuentas importantes. Privacy Guides advierte que esto puede activar controles de fraude o dejarte sin acceso, ya que los servicios usan tu número para verificación. Si un servicio ofrece una aplicación de autenticación o una llave de seguridad en su lugar, elígela.
Solo nombre de usuario y contraseña
Unos pocos servicios te permiten registrarte sin ningún correo electrónico ni número de teléfono. Privacy Guides indica que estos pueden ofrecer más anonimato, pero lo más probable es que no haya forma de recuperar la cuenta si olvidas la contraseña. Esto los hace poco adecuados para cualquier cosa que lamentarías perder.
Llaves de acceso (passkeys)
Una llave de acceso reemplaza la contraseña por un par de claves criptográficas. La FIDO Alliance, el grupo de la industria que redactó el estándar, explica que tu dispositivo conserva la clave privada y registra la clave pública en el servicio, y cada llave de acceso es única para un servicio. Al no haber secretos compartidos, las llaves de acceso están diseñadas para resistir el phishing y la reutilización de contraseñas. Apruebas el inicio de sesión con una huella dactilar, reconocimiento facial, PIN del dispositivo o llave de seguridad.
Un servicio que solo almacena tu clave pública no tiene nada que permita a un atacante iniciar sesión como tú si sufre una brecha de seguridad. La desventaja es la recuperación. Si pierdes el dispositivo, necesitas otra vía de acceso, como llaves de acceso sincronizadas a través de la cuenta de tu teléfono o computadora, o bien una segunda llave de seguridad. En una encuesta de 2024 encargada por la FIDO Alliance, el 53% de las personas afirmó haber activado llaves de acceso para al menos una cuenta. Es de esperar que aún te encuentres con servicios que sigan exigiendo una contraseña.
Leer los términos y la política de privacidad
No necesitas leer cada palabra, y casi nadie lo hace. Revisa rápidamente cuatro puntos: qué recopila el servicio, si comparte datos con anunciantes u otros terceros, cuánto tiempo conserva los datos y cómo puedes eliminar tu cuenta.
La política de privacidad describe lo que la empresa dice que hará. Privacy Guides señala que el alcance del compromiso legal de la empresa depende de tu jurisdicción. El caso de Twitter muestra por qué sigue siendo importante: la denuncia de la FTC se centró en la brecha entre la razón que dio Twitter para recopilar los números y lo que realmente hizo con ellos.
Cómo decidir antes de registrarte
Estos pasos van de los más útiles a los menos indispensables.
- Pregúntate si realmente necesitas una cuenta. Si un sitio ofrece pago como invitado y no vas a volver, úsalo.
- Proporciona lo mínimo con lo que funcione el formulario. Deja en blanco los campos opcionales. Si un servicio insiste en pedir un número de teléfono sin una razón clara, tómalo como una advertencia.
- Usa un inicio de sesión que no se pueda reutilizar. Una llave de acceso es lo mejor si la ofrecen. De lo contrario, usa una contraseña única.
- Elige qué correo electrónico utilizar. Usa un alias para las cuentas que te puedas permitir perder y tu dirección real para las que no.
- Configura la recuperación y las alertas. Have I Been Pwned te permite comprobar una dirección de correo contra filtraciones conocidas y registrarte para recibir alertas. Una coincidencia no significa que hayas sido hackeado, pero es un motivo para cambiar la contraseña de esa cuenta.
Cuánto de esto debes poner en práctica depende de lo que proteja la cuenta, que es lo que el modelado de amenazas te ayuda a decidir. Un sitio de recetas requiere menos cuidado que cualquier cosa relacionada con dinero, salud o identidad.
Fuentes
- Account Creation, Privacy Guides, 2025.
- Twitter apologizes for abusing user security information after $150 million FTC settlement, The Record, 2022.
- Twitter fined $150M after using 2FA phone numbers for marketing, Malwarebytes, 2022.
- Twitter Used People’s Contact Info for Ads. Now It Is Being Fined $150 Million., Consumer Reports, 2022.
- 2025 Losses to Cybercrime Exceeded $20 Billion, HIPAA Journal, 2026 (informando sobre datos del IC3 del FBI).
- New research: How effective is basic account hygiene at preventing hijacking, Google Security Blog, 2019.
- Artículo 5, Principios relativos al tratamiento de datos personales, texto del RGPD, consultado en octubre de 2026.
- Should You Opt to ‘Sign in with’ Facebook, Google, Apple?, Bitdefender, consultado en octubre de 2026.
- What is Apple’s “Hide My Email”, soporte de Saily, consultado en octubre de 2026.
- How Does Apple’s Private Email Relay Work?, Bird, consultado en octubre de 2026.
- How FIDO works, FIDO Alliance, consultado en octubre de 2026.
- Passkeys, FIDO Alliance, consultado en octubre de 2026.
- Get Breach Notifications, Have I Been Pwned, consultado en octubre de 2026.
- Tips: How to use Have I Been Pwned?, Universidad de Villanova, consultado en octubre de 2026.