Qué hace segura una contraseña
Una contraseña es tan segura como el número de intentos que necesita un atacante. Ese número lo marcan la longitud y el azar real, no sustituciones ingeniosas como una @ en lugar de una a.
Entropía: contar los intentos
La seguridad de una contraseña se mide en bits de entropía. Una contraseña elegida al azar entre N posibilidades tiene log2(N) bits, y cada bit extra duplica el trabajo del atacante. Una contraseña aleatoria de 12 caracteres entre 94 caracteres imprimibles tiene unos 79 bits. La clave está en la palabra aleatoria: una contraseña elegida por una persona, como un nombre con un año y un signo de exclamación, tiene muchos menos bits de lo que sugiere su longitud, porque los atacantes prueban primero esos patrones.
Diceware y frases de contraseña
En 1995 Arnold Reinhold publicó diceware: se tiran cinco dados para elegir una palabra de una lista de 7776 y se repite. Cada palabra aporta unos 12,9 bits, así que seis palabras dan unos 77 bits y siguen siendo fáciles de escribir. La Electronic Frontier Foundation publicó listas mejoradas en 2016, y este generador usa su lista grande. La idea se hizo famosa con el cómic de 2011 que comparaba correct horse battery staple con la difícil de recordar pero débil Tr0ub4dor&3.
Qué dicen las pautas
Las NIST Digital Identity Guidelines (SP 800-63B) prefieren la longitud a las reglas de composición: permitir contraseñas y frases largas, comprobar las nuevas contraseñas contra listas de filtraciones y no obligar a cambios periódicos sin motivo. Las reglas de complejidad forzadas suelen llevar a patrones predecibles. La longitud con azar real, y una contraseña distinta para cada sitio, importan mucho más.
A qué velocidad adivinan los atacantes
Cuando un sitio sufre una filtración, los atacantes prueban sin conexión contra los hashes robados. Con hashes rápidos y tarjetas gráficas modernas pueden ser miles de millones de intentos por segundo, la suposición detrás del tiempo que se muestra aquí. Los hashes lentos como bcrypt o Argon2 reducen mucho ese ritmo, pero no sabes qué usa cada sitio. Apunta a al menos 70 u 80 bits, contraseñas únicas, un gestor de contraseñas y la autenticación en dos pasos.
Preguntas frecuentes
¿Qué longitud debe tener una contraseña?
Para una contraseña aleatoria con letras, dígitos y símbolos, 16 caracteres o más dan más de 100 bits. Para una frase, usa al menos 5 o 6 palabras aleatorias. La longitud es la forma más sencilla de ganar seguridad.
¿Son seguras sustituciones como P@ssw0rd?
No. Los atacantes conocen las sustituciones habituales y las prueban automáticamente, así que aportan muy poco. Lo que hace segura una contraseña es el azar real.
¿Debo cambiar las contraseñas con frecuencia?
Las pautas actuales dicen que no, salvo que haya un motivo como una filtración. Los cambios forzados frecuentes suelen producir contraseñas más débiles y predecibles. Usa contraseñas únicas y cambia una cuando pueda haberse filtrado.
Herramientas relacionadas
Generador de contraseñas
Generador de contraseñas gratis: contraseñas y frases aleatorias seguras con crypto.getRandomValues, con longitud, conjuntos de caracteres, exclusión de caracteres parecidos, generación masiva, entropía, indicador de seguridad y tiempo para descifrarlas. No se guarda ni se envía nada.
Generador de lorem ipsum
Generador de lorem ipsum gratis: texto de relleno en párrafos, frases, palabras, elementos de lista o bytes, en latín clásico, en el Cicerón original o con vocabularios temáticos, con salida HTML, títulos y semilla reproducible.
Conversor de mayúsculas y minúsculas
Conversor de mayúsculas gratis: MAYÚSCULAS, minúsculas, tipo título con reglas de idioma, tipo oración, camelCase, PascalCase, snake_case, kebab-case, CONSTANT_CASE, dot.case y slugs de URL, además de limpieza de espacios, saltos de línea, viñetas y emojis.
Formateador JSON
Formateador y validador JSON gratuito: embellece o minifica JSON, encuentra la línea y la columna de un error, ordena claves, recorre un árbol, copia rutas y convierte arrays a CSV, todo en tu navegador.
La historia del lorem ipsum
De dónde viene el lorem ipsum: un pasaje del De finibus bonorum et malorum de Cicerón, del 45 a. C., alterado como texto de relleno y difundido por las hojas Letraset en los años sesenta y por programas de autoedición como Aldus PageMaker.
¿Listo para probarlo?
Abra PictorX en su navegador: no requiere instalación ni tarjeta de crédito para comenzar.
Abrir el generador de contraseñas