Qué hace fuerte a una contraseña
La seguridad de una contraseña frente a un ataque por fuerza bruta depende de cuántas combinaciones tendría que probar el atacante. Esa cantidad se mide en bits de entropía: cada bit más duplica el número de intentos. Esta calculadora no te pide tu contraseña; solo necesita su longitud y el tipo de caracteres, o el número de palabras si usas una frase de contraseña.
Las fórmulas
Entropía (bits) = longitud × log₂(número de caracteres posibles)
Frase de contraseña: entropía = palabras × log₂(palabras de la lista)
Tiempo medio = 2^(bits − 1) ÷ intentos por segundo
Se toma la mitad del espacio de búsqueda porque, de media, el atacante acierta a mitad de camino.
Ejemplos resueltos
Frente a un atacante que prueba 10.000 millones de combinaciones por segundo, lo que permite una tarjeta gráfica contra un hash rápido robado:
- 8 minúsculas: 37,6 bits, unos 10 segundos.
- 8 caracteres de los 95 imprimibles: 52,6 bits, unos 4 días.
- 12 letras y números: 71,5 bits, más de 5000 años.
- 16 letras y números: 95,3 bits, fuera del alcance de cualquier fuerza bruta.
- 5 palabras Diceware: 64,6 bits, unos 45 años; con 6 palabras, 77,5 bits y cientos de miles de años.
La longitud gana a la complejidad: añadir cuatro caracteres a una contraseña alfanumérica multiplica el trabajo por casi 15 millones.
Elegir el atacante
- En línea: un servicio web que limita los intentos apenas permite unos miles por segundo, y a menudo bloquea la cuenta.
- Fuera de línea: si roban la base de datos de contraseñas cifradas con un hash rápido, el atacante prueba miles de millones por segundo en su propio equipo.
- Gran clúster: un atacante con muchos recursos puede llegar al billón de intentos por segundo.
Los servicios bien diseñados usan algoritmos lentos como bcrypt o Argon2, que reducen la velocidad de ataque en varios órdenes de magnitud.
El límite del cálculo
La entropía solo es real si la contraseña se genera al azar. «Verano2024!» tiene 11 caracteres de cuatro tipos, pero aparece en las primeras listas que prueba un ataque de diccionario y cae en segundos. Los nombres, las fechas, las palabras con sustituciones previsibles como «a» por «@» y las contraseñas filtradas en otras webs no tienen la entropía que aparentan.
Buenas prácticas
- Usa un gestor de contraseñas para generar y guardar una contraseña aleatoria distinta para cada servicio.
- Para las pocas que tienes que recordar, como la del gestor, usa una frase de contraseña de seis palabras al azar.
- Activa la verificación en dos pasos en el correo, el banco y las redes sociales.
- Comprueba si tu correo aparece en filtraciones conocidas y cambia las contraseñas afectadas.
El Instituto Nacional de Ciberseguridad (INCIBE) ofrece guías gratuitas y una línea de ayuda, el 017, para dudas de ciberseguridad.