Qué hace fuerte una contraseña, con números sencillos

Una contraseña segura es larga y aleatoria, y la aleatoriedad tiene que venir de un generador, no de ti. Cada carácter o palabra aleatoria multiplica el número de intentos que necesita un atacante, por eso la longitud hace más trabajo que trucos como cambiar letras por símbolos. Genera una contraseña única para cada cuenta, guárdala en un gestor de contraseñas y nunca la reutilices.

Generador de contraseñasNecesito una contraseña seguraÚsalo gratis

Por qué fallan los trucos

Los atacantes casi nunca adivinan una cuenta a mano, una a una. Pasan listas de contraseñas comunes y palabras del diccionario por patrones conocidos, como @ por a, 0 por o y un símbolo añadido al final. Prueban primero esas variantes, porque muchas contraseñas de la gente salen de los mismos patrones. Una contraseña como P@ssw0rd! parece complicada para una persona, pero es una de las primeras variantes que probará la lista de un atacante. Su complejidad aparente dice poco sobre lo difícil que es de adivinar.

La entropía con palabras sencillas

La entropía mide cuántas posibilidades igual de probables podría haber tenido una contraseña, y se expresa en bits. Cada bit extra duplica el número de intentos necesarios. Lo importante es que la entropía describe el proceso que generó la contraseña, no cómo se ve. Una cadena aleatoria y una frase fácil de recordar pueden parecer igual de raras y tener una entropía muy distinta. Un identificador aleatorio tampoco es una contraseña, porque está pensado para ser único, no secreto. UUID v4 o v7 explica la diferencia.

Para una contraseña hecha con caracteres aleatorios, el cálculo es:

bits = longitud × log2(tamaño del conjunto de caracteres)

Para una frase de paso hecha con palabras aleatorias, es:

bits = número de palabras × log2(tamaño de la lista de palabras)

La tabla muestra valores de ejemplo. Cada fila supone que todas las elecciones fueron aleatorias e igual de probables.

Creada así	Posibilidades	Bits
8 letras minúsculas aleatorias	26^8	37.6
12 letras y dígitos aleatorios	62^12	71.5
20 caracteres aleatorios de 94 símbolos imprimibles	94^20	131.1
4 palabras aleatorias de una lista de 7.776	7.776^4	51.7
5 palabras aleatorias de una lista de 1.024	1.024^5	50.0
6 palabras aleatorias de una lista de 7.776	7.776^6	77.5

La primera fila muestra por qué las cadenas aleatorias cortas son débiles: 38 bits dejan poco margen para una cuenta importante. La tercera fila muestra lo que aporta la longitud. Una contraseña que inventas, como Sunset!2026, tiene muchas menos posibilidades reales de las que sugiere su longitud, porque la elegiste entre un conjunto pequeño de formas conocidas.

Frases de paso que puedes escribir

Si tienes que escribir la contraseña, por ejemplo para entrar en el portátil o como contraseña maestra de un gestor, una frase de paso con palabras aleatorias es la opción práctica. Seis palabras aleatorias de una lista de 7.776 dan unos 77.5 bits, y las palabras son mucho más fáciles de recordar que una cadena de símbolos. Las palabras tienen que ser aleatorias. Cuatro palabras que elegiste tú aportan mucha menos entropía de la que aparentan, porque la gente escoge palabras familiares en parejas familiares. Por eso son habituales las listas de palabras basadas en dados: los dados hacen la elección, no tus costumbres. El generador de contraseñas crea una frase de paso de esta forma, con un separador que eliges y una mayúscula y un dígito opcionales.

Reutilizar es el riesgo mayor

La longitud importa, pero la reutilización es lo que suele convertir una filtración en muchas. Cuando un sitio sufre una brecha, sus pares de correo y contraseña se prueban a menudo en otros sitios populares. Esto se llama credential stuffing. Una contraseña que es fuerte sobre el papel falla por completo si también la usas en otro lugar.

Un gestor de contraseñas elimina el problema. Genera una contraseña única para cada cuenta, la guarda y la rellena por ti, así solo recuerdas una contraseña maestra fuerte. Los navegadores y los sistemas de los teléfonos incluyen gestores, y también existen aplicaciones independientes. Uses el que uses, activa primero la verificación en dos pasos para tu correo y tu banca, porque el correo es la llave para restablecer las demás cuentas.

El NIST, el organismo de estándares de EE. UU., prefiere la longitud a las reglas de complejidad como los símbolos obligatorios, y descarta los cambios periódicos forzados salvo que haya señales de que la contraseña se ha visto comprometida. Un sitio que te obliga a cambiar la contraseña cada pocos meses, o que rechaza las contraseñas largas o pegarlas, sigue costumbres antiguas. Eso es una debilidad del sitio, no un motivo para elegir una contraseña más débil.

Una lista breve

• Genera las contraseñas en lugar de inventarlas.
• En las cuentas que no puedes recuperar fácilmente, busca al menos 16 caracteres aleatorios, o seis palabras aleatorias.
• Usa una contraseña única por cuenta y guárdalas en un gestor.
• Activa la verificación en dos pasos siempre que se ofrezca.
• Cambia una contraseña de inmediato si un servicio que usas informa de una brecha.

Si la contraseña es la de tu router, compartir el Wi-Fi con un código QR muestra cómo darla sin tener que dictarla en voz alta.

Cómo hacerlo con fixmint

1. Abre el generador de contraseñas y deja seleccionado Caracteres aleatorios.
2. Pon Longitud en al menos 16, y en 20 o más para una cuenta importante. El valor por defecto es 20, con los cuatro conjuntos de caracteres marcados.
3. Lee Fuerza estimada. La herramienta considera débil por debajo de 50 bits, aceptable entre 50 y 69, fuerte entre 70 y 99, y muy fuerte a partir de 100.
4. Pulsa Regenerar para obtener un nuevo lote de cinco y copia una en tu gestor de contraseñas. No la uses en ningún otro sitio.
5. Para una contraseña maestra que tengas que escribir, elige Frase de paso, pon Palabras en seis y mantén un separador que puedas escribir.

Respuestas rápidas

¿Hacen falta símbolos para una contraseña segura?

No. Los símbolos aleatorios añaden algunos bits, pero la longitud añade más, y una cadena larga y aleatoria de letras y dígitos es segura.

¿Cuántas palabras hacen falta para una frase de paso segura?

Seis palabras aleatorias de una lista de 7.776 dan unos 77.5 bits, un objetivo sólido para la mayoría de las cuentas.

¿Es seguro dejar que el navegador guarde las contraseñas generadas?

Para la mayoría de personas es una opción razonable, siempre que el dispositivo tenga bloqueo de pantalla y el perfil del navegador esté protegido. El riesgo principal está en el dispositivo, no en la contraseña.