La entropía es el único número que importa
La fuerza de una contraseña es cuántos intentos necesita un atacante, y eso lo fija cómo se creó, no cómo se ve. Una contraseña elegida uniformemente al azar entre N posibilidades tiene log₂ N bits de entropía; cada bit adicional duplica el trabajo. Dieciséis caracteres aleatorios de un conjunto de 94 símbolos dan 16 × log₂ 94 ≈ 105 bits. Cinco palabras aleatorias de una lista de 6.032 dan 5 × 12,6 ≈ 63 bits, y son mucho más fáciles de escribir y recordar.
Los patrones que inventa la gente no cuentan. «Verano2026!» tiene once caracteres de un conjunto grande pero quizá 25 bits de entropía real, porque los crackers prueban primero palabras con mayúscula inicial, años y un símbolo al final. El modo «Evaluar la mía» penaliza los patrones comunes, pero solo puede estimar; un secreto generado es el único con entropía conocida.
Cuánto es suficiente
| Uso | Bits | Por qué |
|---|---|---|
| Inicio de sesión web con límite de intentos | 40–50 | Adivinar en línea es lento; el riesgo real es la reutilización, así que hazla única. |
| Cualquier cosa que pueda filtrarse como hash (la mayoría de las cuentas) | 60–70 | El descifrado sin conexión de bcrypt/Argon2 va a decenas de miles de intentos por segundo y GPU. |
| Contraseña maestra, cifrado de disco, frase de clave SSH | 80+ | Hashes rápidos o secretos a largo plazo; deben sobrevivir décadas de mejora del hardware. |
| Claves criptográficas y tokens de API | 128+ | No los escribe una persona, así que la longitud no cuesta nada. |
Frases de contraseña
La lista de palabras de aquí son 6.032 palabras inglesas comunes de 4 a 7 letras elegidas por frecuencia, de espíritu similar a la lista larga de la EFF (7.776 palabras, 12,9 bits cada una). Las palabras se eligen con aleatoriedad uniforme, así que la frase es tan fuerte como su número de bits, por corrientes que sean las palabras. Añadir una mayúscula o un número para cumplir las reglas de un formulario añade unos pocos bits como mucho; añadir una sexta palabra añade doce.
Usa un gestor
La mejor contraseña es una que nunca ves: deja que un gestor de contraseñas genere una larga y aleatoria por sitio y la recuerde. Usa esta página para los pocos secretos que debes escribir tú mismo: la contraseña maestra del gestor, tu contraseña de inicio de sesión y las frases de cifrado.
Preguntas
¿Es seguro usar este generador?
La aleatoriedad viene de crypto.getRandomValues, la misma fuente que usan los navegadores para las claves TLS, y la página no tiene código de red. Aun así, para tus secretos más importantes prefiere un gestor de contraseñas o un generador que funcione sin conexión, ya que cualquier página web podría en principio modificarse en tránsito; leer el código fuente de aquí es tarea de 100 líneas.
¿Las frases de contraseña son realmente más fuertes que las contraseñas complejas?
Una frase de cinco palabras (63 bits) supera con mucho a una típica contraseña «compleja» de ocho caracteres (unos 30–40 bits de entropía real), y la puedes recordar. Una contraseña aleatoria de 16 caracteres (105 bits) es aún más fuerte, pero su sitio es un gestor.
¿Cómo se calcula el tiempo de descifrado?
Los intentos esperados son 2^(bits−1) (la mitad del espacio, de media), divididos por la velocidad del atacante. Las velocidades mostradas van de 10 por segundo (en línea, limitado) a 10¹¹ por segundo (un equipo de GPU contra MD5). La fila correcta depende de cómo guarda el servicio tu contraseña, cosa que normalmente no sabes, así que asume la rápida.
¿Debo cambiar las contraseñas periódicamente?
No por calendario; cámbialas cuando haya un motivo (una filtración, un dispositivo compartido, un compañero que se va). La rotación forzada lleva a contraseñas más débiles y con patrones. Las directrices del NIST dicen lo mismo desde 2017.