Generador de Contraseñas

Entropía por longitud y conjunto de caracteres

Lo que significa la entropía en la práctica

• 40 bits — crackeable en días con una sola GPU hoy. Adecuado para cuentas desechables.
• 60 bits — resiste ataques en línea pero vulnerable a cracking offline dedicado.
• 80 bits — fuerte contra el cracking offline para el hardware actual.
• 100 bits — prácticamente imposible de descifrar hasta que madure la computación cuántica.
• 128 bits — iguala la fuerza de clave AES-128.

Para la mayoría de las cuentas en línea, 16 caracteres del conjunto completo (105 bits) son más que suficientes. Las cuentas bancarias, las contraseñas maestras de los gestores y las billeteras de criptomonedas merecen más de 20 caracteres.

Por qué importan las clases de caracteres

Cada clase añade opciones por carácter. Con 26 letras minúsculas, un carácter contribuye log2(26) = 4.7 bits. Añadir mayúsculas da 52 caracteres y 5.7 bits por carácter. Añadir dígitos da 62 caracteres y 5.95 bits. Añadir símbolos alcanza 94 caracteres y 6.55 bits. Más de 16 caracteres, esa diferencia se acumula a ~30 bits — la diferencia entre “crackeable” y “no vale la pena intentarlo.”

Cuándo excluir caracteres ambiguos

Si la contraseña se escribirá de la pantalla a un dispositivo sin un camino de copiar-pegar — instaladores de consola, algunas billeteras de hardware, usuarios mayores leyendo contraseñas en voz alta — excluir 0, O, 1, l, I previene errores de transcripción. El costo de entropía es mínimo (2-3 bits de 80+).

Flujo de trabajo del gestor de contraseñas

1. Instala un gestor de contraseñas (Bitwarden, 1Password, KeePass).
2. Establece una frase de paso maestra fuerte (6-8 palabras aleatorias — consulta el generador de frases de paso).
3. Usa el generador del gestor para cada sitio, aceptando la configuración fuerte por defecto.
4. Nunca reutilices contraseñas entre sitios, incluso las “desechables”.
5. Habilita 2FA en todo lo que lo soporte.

Las contraseñas escritas manualmente deberían ser raras — solo para la contraseña maestra del gestor, el cifrado de disco completo y posiblemente el inicio de sesión de tu ordenador de trabajo.

Cosas que no ayudan

• Cambiar cada 90 días. La rotación forzada fomenta patrones predecibles (Verano2024 → Otoño2024). NIST SP 800-63B lo desaconseja explícitamente.
• Escribir en papel en una billetera. Más seguro que reutilizar contraseñas débiles, pero peor que un gestor de contraseñas.
• Preguntas de seguridad con respuestas reales. “Primera escuela” está a un Google de distancia para la mayoría de las personas. Genera respuestas falsas aleatorias y guárdalas en tu gestor.