Verificador de seguridad de contraseñas

Qué mide en realidad la "seguridad"

Una contraseña no es fuerte ni débil por sí sola. Es fuerte o débil según el orden en el que alguien la adivine. Los atacantes no empiezan en aaaaaaaa y cuentan hacia arriba: empiezan por las contraseñas que la gente real ya usó, las pasan por reglas que agregan un dígito, ponen la primera letra en mayúscula, cambian e por 3, y solo recurren a la fuerza bruta cuando se acaban los trucos baratos.

La entropía en bits es la forma de ponerle un número a eso. Un bit significa dos posibilidades, diez bits unas mil, veinte bits alrededor de un millón, y cada bit adicional duplica el trabajo. Contra el peor caso realista — un archivo de contraseñas robado que el sitio guardó con un hash malo — 40 bits te entregan en menos de un segundo, 60 bits aguantan cerca de una semana y 80 bits resisten algo así como diecinueve mil años. Esa es toda la escala, y es más empinada de lo que parece.

Cómo lo estima esta página

La contraseña se corta en las piezas reconocibles más largas posibles, y a cada pieza se le cobra lo que le costaría a un atacante llegar hasta ella. Una palabra de diccionario cuesta unos 14 bits, que es lo que implica recorrer una lista de 20.000 palabras. Un año cuesta unos 7 bits, porque solo hay alrededor de 150 plausibles. Una secuencia de teclado no cuesta casi nada. Los caracteres que no pertenecen a ningún patrón se cobran al precio completo del conjunto de caracteres en uso.

Toma Garden2019!. Once caracteres sacados de un conjunto de 95 dan 72 bits si haces la multiplicación, lo que suena excelente. Con el precio que le pondría un atacante: una palabra (14 bits), un bit por la mayúscula, un año (7 bits) y un único símbolo impredecible (7 bits). Veintinueve en total. Escríbela arriba y eso es lo que sale: menos de una hora contra una filtración bien hasheada, instantáneo contra una mal hasheada. Esa diferencia es todo el sentido de esta herramienta. La longitud solo ayuda cuando la longitud es impredecible.

Por qué el número es un techo y no una promesa

• La lista de palabras de aquí es diminuta. Un diccionario de crackeo real tiene millones de entradas sacadas de bases de datos filtradas, letras de canciones, nombres de lugares y todos los idiomas que quepan en un disco. Todo lo que esta página no conoce se cobra al precio completo: cambia Garden por Fluffy en el ejemplo de arriba y el puntaje salta de 29 bits a 53, puramente por ignorancia. La cifra real suele ser más baja que la que se muestra.
• No sabe nada de ti. El nombre de tu perro, tu calle, el año de nacimiento de tu hijo y tu equipo le parecen cadenas aleatorias, y son las primeras conjeturas de cualquiera que te tenga en la mira.
• Lee de izquierda a derecha, con la coincidencia más larga primero. Eso es rápido y bastante aproximado, pero puede existir una descripción más astuta de tu contraseña que este análisis no encuentre.
• No puede decirte si la contraseña se filtró. Comprobar eso significa preguntarle a una base de datos de filtraciones, y eso significa una petición de red. Esta página no hace ninguna, a propósito. Es un agujero real: una contraseña puede salir marcada como Muy fuerte aquí y estar igual en un volcado público porque la usaste en un sitio que fue hackeado.

Qué suponen los tiempos de crackeo

Se muestran tres atacantes, y la distancia entre ellos es más grande que cualquier decisión que tomes sobre tu contraseña. Adivinar en una página de inicio de sesión que bloquea cuentas es desesperante para el atacante: unos 350 intentos por hora. Un archivo de contraseñas robado que fue hasheado con bcrypt cuesta unas 100.000 conjeturas por segundo. El mismo archivo hasheado con MD5 cuesta un billón por segundo en hardware de gaming alquilado. La misma contraseña, diez millones de veces de diferencia, y lo decide por completo una elección que hizo el sitio web y que nunca te contó.

Las cifras suponen que el atacante encuentra tu contraseña a mitad de la búsqueda, que es el caso promedio, y están redondeadas a un orden de magnitud a propósito. Tómalas como "segundos, días o siglos", no como una cuenta regresiva.

Qué protege de verdad una cuenta

Desde 2017, el organismo de estándares de Estados Unidos, el NIST, recomienda lo contrario de lo que todavía exigen la mayoría de las reglas de contraseñas: fijar un mínimo de 8 caracteres, permitir al menos 64, aceptar cualquier carácter incluidos los espacios, cotejar las contraseñas nuevas con listas de contraseñas ya filtradas y dejar de imponer reglas de composición y caducidad programada. Se demostró que esas reglas empujaban a la gente a comportamientos predecibles: Password1! que se convierte en Password2! cada noventa días.

La versión práctica es corta. Que sea larga antes que ingeniosa; cuatro o cinco palabras aleatorias le ganan siempre a una palabra retorcida. Nunca uses la misma contraseña dos veces, porque la forma más común de perder una cuenta es el relleno de credenciales: una contraseña filtrada de un foro en 2019 probada hoy contra tu correo. Usa un gestor de contraseñas, porque recordar contraseñas únicas es justamente la parte que los humanos no pueden hacer. Y activa la autenticación en dos pasos, que vale más que todos los bits de entropía de esta página, porque es lo único que ayuda cuando escribes tu contraseña perfecta en un formulario de inicio de sesión falso y convincente.

Última actualización 19 de septiembre de 2026