Una contraseña que valga la pena: longitud, aleatoriedad y qué significa «fuerte»

Por qué te interesa

La mayoría de las contraseñas débiles no lo son porque alguien olvidara poner un símbolo. Lo son porque las eligió una persona. La gente escoge nombres, fechas, patrones del teclado y pequeños cambios sobre una contraseña antigua, y los atacantes construyen sus listas de intentos a partir de esos mismos hábitos. Una contraseña extraída por una máquina de un conjunto grande de posibilidades no tiene ningún hábito que explotar.

Dos cosas determinan lo difícil que es adivinar una contraseña: de cuántas posibilidades salió y si el sorteo fue realmente aleatorio. Esta guía cubre ambas, muestra cómo crear una contraseña o una frase de contraseña con el Generador de contraseñas y explica cómo leer la etiqueta de fuerza sin fiarte de ella más de la cuenta.

Cómo hacerlo, con la herramienta

El Generador de contraseñas tiene dos pestañas, Generar y Comprobar, y todo se ejecuta en tu navegador.

1. Quédate en Generar. En Tipo, elige Caracteres aleatorios, Pronunciable o Frase de contraseña (palabras).
2. Ajusta las opciones. Para caracteres, el control Longitud va de 8 a 64 y empieza en 20. Marca Mayúsculas (A-Z), Minúsculas (a-z), Dígitos (0-9) y Símbolos (!@#$…) según lo que permita el sitio donde te registras. Marca Excluir caracteres ambiguos (I l 1 O 0 o) si alguna vez vas a leer la contraseña en voz alta o a copiarla de un papel. Para una frase, fija el Número de palabras de 3 a 10, un Separador y, si quieres, Añadir un dígito al final.
3. Elige cuántas. Cuántas contraseñas (1-20) te deja generar un lote y quedarte con una.
4. Genera y copia. Pulsa Generar y luego Copiar junto a la que quieras. Volver a generar crea un conjunto nuevo. Pega el resultado directamente en un gestor de contraseñas.
5. Comprueba una que ya tengas. Cambia a Comprobar y escribe o pega una contraseña. Obtienes una puntuación de Muy débil a Fuerte, una estimación en Tiempo para descifrarla (ataque sin conexión) y sugerencias.

Como el generador crea la contraseña, nunca necesita ver una que ya uses.

A qué prestar atención

La aleatoriedad viene de la fuente segura del navegador, no de Math.random. La herramienta usa crypto.getRandomValues, el generador criptográfico del navegador, y nunca Math.random, que está pensado para juegos y animaciones y no es seguro para secretos. Hay un matiz más: convertir un número aleatorio en un elemento de una lista puede favorecer en silencio a algunos elementos. Si tomas un número aleatorio de 32 bits y calculas el resto de dividirlo por la longitud de la lista, los primeros elementos salen algo más a menudo siempre que esa longitud no divide el rango de forma exacta. La herramienta lo evita con muestreo por rechazo: calcula el rango más grande divisible de forma exacta, descarta cualquier valor que caiga fuera y vuelve a sortear. Así cada carácter y cada palabra tienen la misma probabilidad.

La longitud pesa más que la complejidad. Con las letras, dígitos y símbolos de la herramienta, cada carácter extra multiplica las posibilidades. Una contraseña de 20 caracteres con mayúsculas, minúsculas y dígitos tiene unos 119 bits de imprevisibilidad, muy por encima de cualquier esfuerzo realista de adivinación. Añadir la clase de símbolos ayuda un poco, pero más longitud ayuda más. Algunos sitios limitan la longitud o rechazan símbolos, así que marca solo lo que acepte el sitio.

Las frases de contraseña son más fáciles de llevar. La lista tiene unas 310 palabras cortas y comunes, de modo que cada palabra aporta unos 8,3 bits. Con las 4 palabras por defecto son unos 33 bits, algo modesto. Seis palabras dan unos 50 bits y diez dan unos 83. Si la frase es lo que tienes que recordar, como la contraseña maestra de un gestor, elige seis palabras o más y conserva el separador. Estas cifras cuentan solo el sorteo aleatorio, porque las palabras salen de una lista y se supone que el atacante la conoce.

Pronunciable es un intercambio. Es más fácil de decir y de escribir, pero tiene menos imprevisibilidad por carácter que los caracteres totalmente aleatorios. Hazla más larga para compensar.

El medidor de fuerza es una estimación. La puntuación y el tiempo de descifrado salen de un estimador basado en patrones. Busca palabras de diccionario, repeticiones y secuencias del teclado, y supone un ataque sin conexión contra una contraseña guardada con un hash lento. No puede saber cómo guarda las contraseñas un sitio concreto, si la tuya se filtró en otro lugar o si un programa malicioso vigila lo que escribes. Considera «Fuerte» una señal útil, no la promesa de que nada pueda romper la contraseña.

Nunca se guarda ni se envía. Nada de lo que escribes o generas se almacena, se registra ni se transmite, y la herramienta no tiene historial. Si usas un enlace compartido, lleva solo tus ajustes, nunca una contraseña. Al cerrar la pestaña las contraseñas desaparecen, así que copia la que vayas a usar en un gestor de contraseñas antes de salir.

Preguntas frecuentes

¿Qué longitud debe tener mi contraseña?

Para cualquier cosa que proteja dinero, correo o un gestor de contraseñas, apunta a al menos 16 caracteres aleatorios, o seis o más palabras en una frase. La herramienta empieza en 20 caracteres y permite hasta 64. Usa la longitud máxima que acepte el sitio en las cuentas importantes y mantén una contraseña distinta para cada una.

¿Es mejor una frase de contraseña que los caracteres aleatorios?

Por carácter, los caracteres aleatorios son más densos, pero una frase es mucho más fácil de escribir y recordar. Para una contraseña que debes memorizar, usa una frase más larga. Para una que guardará un gestor, usa caracteres aleatorios y deja que el gestor la recuerde.

¿Puedo fiarme de la cifra de «tiempo para descifrarla»?

Úsala para comparar dos contraseñas, no como pronóstico. Supone un tipo concreto de ataque y una velocidad de intentos concreta. Los atacantes reales y los métodos de almacenamiento reales varían, así que lo fiable es una contraseña larga y aleatoria, y el número es solo una guía aproximada.