Qué hace fuerte de verdad a una contraseña
La fortaleza de una contraseña se reduce a un concepto: la **entropía**, es decir, cuántas combinaciones tendría que probar alguien para adivinarla. Mucha entropía significa mucho tiempo de descifrado, incluso con hardware dedicado.
La fórmula: si tu contraseña usa un alfabeto de N caracteres y tiene una longitud L, las combinaciones posibles son N^L. Duplicar la longitud eleva al cuadrado el espacio de búsqueda. Añadir tipos de carácter (mayúsculas, símbolos) lo multiplica.
Por qué "P@ssw0rd1" es débil aunque cumpla los "requisitos"
Las políticas antiguas (mínimo 8 caracteres, una mayúscula, un número, un símbolo) generaron patrones muy predecibles. Las personas ponemos la mayúscula en la primera letra, añadimos un número y un ! al final y sustituimos los caracteres más obvios. Quien ataca ha creado programas basados en reglas que prueban justo esos patrones primero.
Una contraseña como P@ssw0rd1 cae en segundos ante herramientas actuales que parten de palabras de diccionario y les aplican reglas de mutación.
Los escenarios de ataque reales
**Ataques en línea**: alguien prueba contraseñas a través del formulario de acceso. Los sitios con límite de intentos y bloqueos hacen que esto sea lentísimo. Incluso una contraseña aleatoria de 6 caracteres sobrevive a la mayoría de ataques en línea.
- 8 letras minúsculas: se descifra en segundos con una tarjeta gráfica actual
- 12 letras minúsculas aleatorias: alrededor de un año con hardware actual
- 16 caracteres ASCII imprimibles aleatorios: en la práctica, irrompible con la tecnología de hoy
- 20 caracteres o más de un juego completo: descifrarla es matemáticamente inviable
Los dos enfoques que sí funcionan
**Opción 1: contraseñas largas y aleatorias** (guardadas en un gestor) Genera 20 caracteres o más al azar entre letras, números y símbolos. No tienes que memorizarlos: tu gestor los guarda y los rellena por ti.
Ejemplo: x7K!mR2@qLpN9#sW4vYj
**Opción 2: frases de contraseña tipo Diceware** (para las que sí tienes que escribir o recordar) Elige entre 5 y 6 palabras al azar de una lista. La seguridad viene de que la elección sea verdaderamente aleatoria, no de que las palabras te gusten.
Ejemplo: caballo-correcto-batería-grapa-lunar
Una frase Diceware de 5 palabras tiene unos 64 bits de entropía, el equivalente a una contraseña aleatoria de 12 caracteres, pero mucho más fácil de recordar y de teclear.
Cómo generar contraseñas seguras en local
- La longitud (recomendamos 20 caracteres o más si van a un gestor)
- Los tipos de carácter incluidos (mayúsculas, minúsculas, números, símbolos)
- La exclusión de caracteres ambiguos (0 y O, 1 y l) para contraseñas que tengas que teclear
El generador funciona íntegramente en tu navegador. No se transmite nada. La contraseña existe solo en tu cabeza o en tu gestor.
Comprobar la entropía de tu contraseña
- **50 bits o más**: suficiente para cuentas de poco valor
- **70 bits o más**: lo recomendable para correo, banca y redes sociales
- **90 bits o más**: lo adecuado para contraseñas maestras y claves de cifrado
¿Y los gestores de contraseñas?
Un gestor (Bitwarden, 1Password, KeePass) elimina por completo la necesidad de recordar contraseñas. Solo necesitas una frase maestra robusta y el gestor guarda contraseñas únicas y aleatorias para cada sitio. La contrapartida: si alguien consigue tu contraseña maestra o se filtra tu bóveda, queda todo expuesto. Bitwarden es de código abierto y permite alojarlo tú, y KeePass guarda la bóveda en tu propio equipo.
Si decides no usar un gestor, una frase de contraseña tipo Diceware es tu mejor opción para todo lo que necesites recordar.