Comprobador de seguridad de contraseñas

Qué premia la puntuación de comprobación

El veredicto sale de una sencilla puntuación de 0 a 6. Cada uno de estos suma un punto:

La longitud aporta por sí sola tres de los seis puntos, porque es el factor que más influye en la seguridad real.

Cómo se estiman la entropía y el tiempo de descifrado

La entropía es el número de bits que haría falta para describir la contraseña si cada carácter fuera aleatorio: longitud × log2(tamaño del alfabeto). El tamaño del alfabeto suma las clases que has usado: 26 para minúsculas, 26 para mayúsculas, 10 para dígitos y 33 para símbolos comunes, así que una contraseña que use las cuatro clases se nutre de 95 caracteres posibles.

La estimación del tiempo de descifrado supone un atacante sin conexión que ya tiene el hash robado y puede probar unos 10 000 millones (10^10) de intentos por segundo con GPU de consumo rápidas. Esa cifra encaja con hashes débiles y rápidos como MD5 o SHA-1. Los hashes lentos por diseño, como bcrypt o Argon2, reducen ese ritmo por un factor de millones, así que la misma contraseña es mucho más segura donde se usan.

Qué comprueba y qué no comprueba esta herramienta

• Sí comprueba la longitud, qué clases de caracteres están presentes, la entropía bruta en bits y una estimación del tiempo de descifrado a partir de esa entropía.
• No comprueba tu contraseña frente a diccionarios, listas de contraseñas filtradas, patrones de teclado (qwerty, 1qaz2wsx) ni sustituciones habituales (p@ssw0rd). Una contraseña puede superar todas las comprobaciones de clases de caracteres y seguir siendo trivial de adivinar si es una palabra conocida o una contraseña ya filtrada.

Toma la puntuación como un mínimo, no como una garantía: te dice que una contraseña es demasiado corta o demasiado simple, pero una puntuación alta no demuestra que la contraseña sea impredecible.

Qué hace realmente fuerte a una contraseña

1. La longitud primero. Cada carácter extra vale más que cualquier otro cambio por sí solo. Una contraseña aleatoria de 14 caracteres gana siempre a una compleja de 8.
2. Aleatoriedad. La gente inventa mala entropía en su cabeza. Deja que un generador elija los caracteres.
3. Reparte la variedad. Pon dígitos y símbolos en cualquier sitio, no solo pegados al final, donde los atacantes los esperan.
4. Una contraseña por sitio. Una contraseña fuerte reutilizada en 50 cuentas solo es tan segura como el sitio más débil que la almacena.

La recomendación segura

• Usa un gestor de contraseñas para crear y guardar una contraseña aleatoria única de más de 16 caracteres para cada sitio.
• Usa una frase de contraseña de 5 a 8 palabras aleatorias para las pocas contraseñas que tengas que teclear a mano, como la contraseña maestra de tu gestor.
• Activa la autenticación de dos factores en todos los sitios que la ofrezcan.
• Consulta pwnedpasswords.com antes de seguir reutilizando cualquier contraseña, ya que esta herramienta no puede ver si la tuya ya se ha filtrado.