Cómo crear contraseñas seguras: longitud, entropía y gestores
La mayoría de las contraseñas se rompen no por ser «adivinadas» con ingenio, sino por ser cortas, previsibles o repetidas. Esta guía explica con números qué hace realmente fuerte a una contraseña y cómo gestionarlas sin volverse loco.
Cómo te atacan de verdad
Imaginar a un hacker adivinando tu contraseña a mano es un error. Los ataques reales son automáticos y siguen tres vías principales:
- Relleno de credenciales (credential stuffing). Se toman usuarios y contraseñas filtrados de una web y se prueban en otras. Si reutilizas contraseña, una filtración en un sitio menor compromete tu correo o tu banco.
- Ataques de diccionario. Se prueban primero millones de contraseñas habituales y sus variantes («Contraseña1!», «Madrid2024», nombres con el año de nacimiento).
- Fuerza bruta. Se prueban todas las combinaciones posibles. Es la vía contra la que protegen la longitud y la aleatoriedad.
La conclusión práctica: una contraseña es buena si no está en ningún diccionario, es larga y es única para cada cuenta.
Entropía: medir la fuerza en bits
La entropía mide cuántas combinaciones tiene que probar un atacante en el peor caso. Se expresa en bits: cada bit adicional duplica el esfuerzo. Para una contraseña generada al azar, la fórmula es sencilla:
entropía = longitud × log₂(tamaño del alfabeto)
Con el alfabeto del generador de kitbox (26 minúsculas, 26 mayúsculas, 10 dígitos y 23 símbolos, 85 caracteres en total), cada carácter aporta unos 6,4 bits. Solo con minúsculas, 4,7 bits. De ahí que añadir longitud sea más eficaz que añadir «rarezas».
La entropía solo es válida si la contraseña se elige al azar. «Pa$$w0rd!» parece compleja, pero como los atacantes conocen esas sustituciones, su fuerza real es mínima. Lo que cuenta es el proceso de generación, no el aspecto.
Cuánto tarda en romperse: una tabla con supuestos explícitos
La tabla siguiente asume un atacante con un equipo potente que prueba 100.000 millones de combinaciones por segundo contra un hash rápido y mal protegido, y que de media encuentra la contraseña tras probar la mitad del espacio. Es un supuesto pesimista: servicios bien diseñados usan algoritmos lentos y limitan los intentos, lo que alarga mucho estos tiempos. Aun así, sirve para comparar.
| Contraseña aleatoria | Entropía | Tiempo medio |
|---|---|---|
| 8 minúsculas | 38 bits | alrededor de un segundo |
| 8 caracteres (mayús., minús., números y símbolos) | 51 bits | 4 horas |
| 12 caracteres, alfabeto completo | 77 bits | 22.537 años |
| 16 caracteres, alfabeto completo | 103 bits | más que la edad del universo (≈ 13.800 millones de años) |
| 20 caracteres, alfabeto completo | 128 bits | más que la edad del universo (≈ 13.800 millones de años) |
Dos lecciones: una contraseña de 8 caracteres, por «complicada» que parezca, es frágil ante un ataque offline; y a partir de unos 16 caracteres aleatorios la fuerza bruta deja de ser una amenaza realista.
Frases de contraseña: fáciles de recordar, difíciles de romper
Una frase de contraseña (passphrase) son varias palabras elegidas al azar, como «Mapa-29-Plata-Cisne-Perro-Nube». Es más fácil de memorizar que una cadena aleatoria y, con suficientes palabras, igual de resistente. Cada palabra aporta log₂(N) bits, siendo N el tamaño de la lista de la que se sacan.
Aquí conviene ser transparentes: la lista de palabras que incorpora el generador de kitbox tiene 156 entradas, es decir, unos 7,3 bits por palabra, bastante menos que las listas profesionales de 7.776 palabras (unos 12,9 bits por palabra). Por eso la herramienta muestra siempre la entropía real de lo que genera y permite hasta 10 palabras. Para cuentas importantes, usa 7 palabras o más, o prefiere la contraseña aleatoria de 16 caracteres.
Mitos que conviene olvidar
- «Hay que cambiarla cada 90 días». Las directrices del NIST (SP 800-63B) desaconsejan los cambios periódicos obligatorios: llevan a contraseñas previsibles («Verano1», «Verano2»). Solo hay que cambiarla si hay indicios de que se ha filtrado.
- «Debe llevar mayúscula, número y símbolo». Las mismas directrices desaconsejan imponer reglas de composición. La longitud aporta más que los requisitos arbitrarios.
- «Apuntarla en un papel es peor que memorizarla». Depende del riesgo. Una contraseña larga y única guardada en un cajón es mejor que una corta y repetida en la cabeza. Aun así, un gestor es la solución más cómoda.
Las recomendaciones oficiales evolucionan; la revisión 4 del NIST SP 800-63B eleva la longitud mínima recomendada cuando la contraseña es el único factor de autenticación. Consulta siempre la versión vigente.
Gestores de contraseñas y segundo factor
Nadie puede recordar decenas de contraseñas largas y únicas. Un gestor de contraseñas las genera, las guarda cifradas y las rellena por ti; solo tienes que recordar una contraseña maestra larga (aquí sí conviene una frase de 7 palabras o más). Hay opciones de pago y gratuitas, y los navegadores y sistemas operativos incluyen gestores básicos.
Activa además la verificación en dos pasos (2FA) en el correo, el banco y las redes sociales. Prefiere una aplicación de códigos o una llave de seguridad antes que los SMS. Y cuando un servicio ofrezca claves de acceso (passkeys), merece la pena adoptarlas: no hay contraseña que filtrar.
Una rutina razonable
- Instala un gestor y protégelo con una contraseña maestra larga que solo uses ahí.
- Genera una contraseña única de al menos 16 caracteres para cada cuenta nueva.
- Empieza por las cuentas críticas: correo electrónico, banca y redes sociales.
- Activa 2FA en esas mismas cuentas.
- Comprueba de vez en cuando si tu correo aparece en filtraciones conocidas (servicios como Have I Been Pwned lo permiten) y cambia las contraseñas afectadas.
Sobre generar contraseñas en una web
Es legítimo preguntarse si es seguro pedirle una contraseña a una página. En kitbox se genera en tu dispositivo con crypto.getRandomValues, el generador criptográfico del navegador, con muestreo sin sesgo; no se envía a ningún servidor ni se almacena. Aun así, si prefieres no confiar en ninguna web, el generador integrado en tu gestor de contraseñas es una alternativa igual de válida.
Guías relacionadas
Este artículo tiene carácter informativo y se revisa de forma periódica. Si detectas un error o quieres proponer un tema, escríbenos desde la página de contacto.