Cómo crear una contraseña segura
La fortaleza de una contraseña reside en ser larga e impredecible. Cada carácter adicional multiplica el número de combinaciones que un atacante debe probar, así que la longitud es la palanca más eficaz que tienes. Usa al menos 12 caracteres para las cuentas del día a día y 16 o más para el correo, la banca y tu gestor de contraseñas.
Combinar mayúsculas, minúsculas, números y símbolos amplía el conjunto de caracteres posibles y aumenta la entropía de cada posición. La aleatoriedad importa igual: las contraseñas que eligen las personas siguen patrones — un nombre y un año, una palabra con @ en lugar de a, o una secuencia de teclado como qwerty. Un generador basado en la Web Crypto API no tiene ese sesgo.
- Evita palabras del diccionario, nombres, fechas de nacimiento y caracteres consecutivos.
- No confíes en sustituciones previsibles como P@ssw0rd.
- Nunca reutilices una contraseña en más de un sitio.
Entropía y tiempo de descifrado
La entropía, medida en bits, expresa lo difícil que es adivinar una contraseña. Es aproximadamente la longitud multiplicada por el logaritmo en base 2 del tamaño del conjunto de caracteres. Cada bit adicional duplica el esfuerzo necesario para romperla por fuerza bruta.
- Menos de 40 bits — débil; puede caer en segundos u horas.
- Unos 60 bits — aceptable para cuentas de poco valor.
- De 75 a 100 bits — fuerte; inviable por fuerza bruta con el hardware actual.
- Más de 100 bits — excelente; apta para contraseñas maestras y claves de cifrado.
El tiempo de descifrado que muestra el comprobador supone unos 10 000 millones de intentos por segundo, lo que consigue un equipo moderno de GPU contra un hash rápido. Las cifras reales varían según el algoritmo de hash y los recursos del atacante, así que tómalo como una guía relativa, no como una garantía.
Cómo se ven comprometidas las contraseñas
Una contraseña fuerte y única frena los ataques que se basan en adivinar, pero no todos funcionan así:
- Los ataques de fuerza bruta y por máscara prueban todas las combinaciones, o todas las que encajan en un patrón conocido.
- Los ataques de diccionario recorren listas de palabras y bases de datos de contraseñas filtradas en brechas anteriores.
- El relleno de credenciales toma un usuario y contraseña robados en un sitio y los prueba en todos los demás — por eso reutilizar es tan peligroso.
- El phishing te engaña para que escribas tu contraseña en una página de acceso falsa.
- El malware y los registradores de teclas capturan lo que escribes por muy fuerte que sea la contraseña.
La longitud y la aleatoriedad resuelven los dos primeros. Para el resto necesitas verificación en dos pasos y una sana desconfianza ante peticiones de acceso inesperadas.
Buenas prácticas para gestionar contraseñas
- Una contraseña única por cuenta. Así, una brecha en un servicio no abre los demás.
- Usa un gestor de contraseñas como Bitwarden, KeePassXC o 1Password. Memorizas una frase maestra fuerte y él guarda todo lo demás.
- Activa la verificación en dos pasos siempre que se ofrezca, mejor con una app de autenticación o una llave de seguridad física que con códigos por SMS.
- Cambia una contraseña cuando haya motivo — tras un aviso de brecha o una sospecha de compromiso. Las directrices actuales (NIST) desaconsejan la rotación periódica obligatoria, que empuja hacia contraseñas más débiles y con patrones.
- Nunca compartas una contraseña por correo o chat, ni la guardes en un archivo de texto plano o una hoja de cálculo.
Frases de contraseña frente a cadenas aleatorias
Una frase de contraseña son varias palabras sin relación elegidas al azar, como violín puerto níquel deriva. Con cuatro a seis palabras realmente aleatorias es muy fuerte y mucho más fácil de escribir y recordar que una cadena aleatoria. Una contraseña de caracteres aleatorios concentra más entropía en cada carácter y es la mejor opción cuando un gestor la rellena por ti y nunca la tecleas a mano.
Un reparto práctico: usa una frase larga para la única contraseña maestra que debes recordar y deja que este generador produzca cadenas aleatorias para cada cuenta concreta.
¿Es este generador privado y seguro?
Todo ocurre en tu navegador. La página no tiene servidor: las contraseñas se construyen localmente en JavaScript y nunca se envían por la red. La aleatoriedad procede de crypto.getRandomValues(), el generador criptográficamente seguro del navegador, no del previsible Math.random().
No hay cookies, ni analítica, ni registros. Puedes abrir la página, desconectarte de internet y seguirá funcionando — y puedes comprobar que no se transmite nada vigilando la pestaña Red en las herramientas de desarrollo del navegador.
Más información
- NIST SP 800-63B — Digital Identity Guidelines
- OWASP — Password Storage Cheat Sheet
- Have I Been Pwned — check for breached accounts
¿Generaste una contraseña fuerte? Necesitas dónde guardarla de forma segura →
Términos relacionados: Entropía · Fuerza bruta · Frase de contraseña · Gestor de contraseñas · CSPRNG