¿Es segura mi contraseña?
Cuántas combinaciones tendría que probar un atacante y cuánto tardaría, con la cuenta a la vista. Spoiler: la longitud importa más que los símbolos.
Lo que escribes no sale de tu navegador: no se envía a ningún sitio. Aun así, no escribas tu contraseña real; escribe una parecida.
Incrusta esta demo en tu web
Copia este código y pégalo en tu web, tu blog o tu aula virtual. Es gratis; solo te pedimos que dejes el pie con el enlace.
Ver cómo queda ↗Mejor una frase que un jeroglífico
Cuatro o cinco palabras elegidas al azar (con dados, no inventadas) de una lista de 7776 son más fáciles de recordar quek#9Lm!2v y aguantan más. Cada palabra aporta log₂(7776) ≈ 12,9 bits:
| Palabras al azar | Bits | Equivale a caracteres al azar (95 símbolos) |
|---|---|---|
| 3 | 38,8 | 6 |
| 4 | 51,7 | 8 |
| 5 | 64,6 | 10 |
| 6 | 77,5 | 12 |
La clave está en al azar: una frase famosa o una canción está en los diccionarios de los atacantes. Y lo mejor sigue siendo un gestor de contraseñas y un segundo factor.
Las cuentas, de cerca
- Con un alfabeto de N símbolos y longitud L hay NL contraseñas. Los bits son L · log₂(N).
- De media, un atacante acierta tras probar la mitad: tiempo ≈ NL / (2 · intentos por segundo).
- Las velocidades de la tabla son las cuatro de zxcvbn, el medidor de Dropbox: 100 intentos por hora, 10 por segundo, 104 y 1010por segundo.
- Si la contraseña está en la lista de las 10 000 más filtradas, el atacante la prueba en su puesto, sin fuerza bruta.
Las mismas cuentas sirven para entender por qué RSA usa números de 2048 bits: lo puedes probar en RSA paso a paso.
Preguntas frecuentes
¿Cuánto se tarda en descifrar una contraseña de 8 caracteres?
Si mezcla minúsculas, mayúsculas, cifras y símbolos al azar, hay 95⁸ ≈ 6,6·10¹⁵ combinaciones. A 10 000 millones de intentos por segundo (una base de datos robada y mal protegida), se encuentra de media en unos 4 días. Si es una palabra con un número al final, en segundos.
¿Qué es la entropía de una contraseña?
El número de bits que hacen falta para contar todas las contraseñas posibles: con un alfabeto de N símbolos y longitud L, son L·log₂(N). Cada bit más duplica el trabajo del atacante. Solo tiene sentido si la contraseña se ha elegido al azar.
¿Es mejor una contraseña larga o una con símbolos?
Larga. Añadir un carácter multiplica las combinaciones por el tamaño del alfabeto, y pasar de 62 a 95 símbolos solo añade 0,6 bits por carácter. Por eso el NIST pide longitud (al menos 15 caracteres sin segundo factor) y prohíbe exigir mezclas de tipos de caracteres.
¿Esta página guarda mi contraseña?
No. Todo se calcula en tu navegador y no se envía nada a ningún sitio; puedes comprobarlo desconectando internet. Aun así, no escribas tu contraseña real en ninguna web: escribe una parecida.
Fuentes
- NIST, SP 800-63B-4, Authenticators (longitud mínima, listas de contraseñas prohibidas y sin reglas de composición).
- D. L. Wheeler, «zxcvbn: Low-Budget Password Strength Estimation», USENIX Security 2016, y el README de zxcvbn (escenarios de ataque).
- NCSC (Reino Unido), lista de las 100 000 contraseñas más filtradas de Have I Been Pwned; usamos las 10 000 primeras, en la copia de SecLists.
- A. G. Reinhold, Diceware (listas de 7776 palabras).
Comprobado el 20 de octubre de 2026.
Cómo citar esta página
Fernando Hernando (2026). ¿Es segura mi contraseña? [Herramienta web], versión del 20 de octubre de 2026. El bit perdido. https://elbitperdido.com/herramientas/seguridad-contrasena
@misc{hernando2026seguridadcontrasena,
author = {Fernando Hernando},
title = {¿Es segura mi contraseña?},
year = {2026},
howpublished = {El bit perdido},
url = {https://elbitperdido.com/herramientas/seguridad-contrasena},
note = {Herramienta web, versión del 20 de octubre de 2026}
}