Comprobador de seguridad de contraseñas
Comprueba la fortaleza de una contraseña: entropía estimada, palabras y patrones fáciles de adivinar, y tiempo orientativo para descifrarla. El análisis se hace en tu navegador y la contraseña no se envía a ningún sitio.
Privacidad: esta página no envía ni guarda lo que escribes. Aun así, si vas a analizar una contraseña real, puedes desconectarte de internet antes de escribirla.
Cómo se calcula la fortaleza
Primero se calcula la entropía «ingenua», la que tendría la contraseña si cada carácter se hubiera elegido al azar:
Entropía máxima = longitud × log₂(tamaño del alfabeto)
El alfabeto se estima según los tipos de caracteres presentes: 26 minúsculas, 26 mayúsculas, 10 dígitos y unos 33 símbolos. «Verano2024!» usa los cuatro tipos (95 caracteres), así que en teoría tendría 11 × 6,57 ≈ 72 bits.
Pero las personas no elegimos al azar, y los programas de ataque lo saben. Por eso la herramienta busca patrones y los sustituye por lo que realmente cuesta adivinarlos:
- Contraseñas más usadas (123456, qwerty, teamo, contraseña…) según las listas publicadas tras filtraciones masivas.
- Palabras comunes, también con sustituciones típicas como
@por a,3por e o0por o. - Años y fechas, muy frecuentes en contraseñas (nacimientos, aniversarios, año actual).
- Secuencias (abc, 123, 987) y patrones de teclado (qwerty, asdf, 1qaz2wsx).
- Repeticiones (aaaa, 121212, holaholahola).
- Tramos pronunciables que parecen palabras aunque no estén en la lista: se cuentan a unos 2,5 bits por letra en lugar de los 4,7 de una letra al azar.
Con esos ajustes, «Verano2024!» baja a unos 21 bits: una palabra común, un año y un símbolo final. Se descifraría en segundos sin conexión aunque cumpla las típicas reglas de «mayúscula, número y símbolo».
Cómo leer los tiempos de descifrado
El tiempo medio es el número de intentos necesarios (la mitad de 2bits) dividido entre la velocidad del atacante. Se muestran tres escenarios orientativos:
| Escenario | Velocidad | Cuándo ocurre |
|---|---|---|
| En línea con límite | 10 intentos/s | Alguien prueba contraseñas en el formulario de inicio de sesión de un servicio. |
| Sin conexión, hash lento | 10.000/s | Se filtró la base de datos y el servicio usaba bcrypt, scrypt o Argon2. |
| Sin conexión, hash rápido | 10.000.000.000/s | Filtración con MD5 o SHA-1 sin sal, atacada con tarjetas gráficas. |
Son órdenes de magnitud, no predicciones exactas: la velocidad real depende del hardware y del algoritmo. Lo importante es la tendencia. Cada carácter aleatorio añadido multiplica el tiempo por el tamaño del alfabeto (por 95 si admites todos los tipos), mientras que añadir «1» o «!» al final apenas suma nada porque es lo primero que se prueba. Si quieres entender qué es un hash, prueba el generador de hash o el generador MD5.
Ejemplos
| Contraseña | Entropía estimada | Problema principal |
|---|---|---|
| 123456 | ≈ 1 bit | La contraseña más usada del mundo |
| Barcelona1 | ≈ 11 bits | Palabra muy común con un número al final |
| P@ssw0rd | ≈ 3 bits | Variante conocida de «password» |
| Verano2024! | ≈ 21 bits | Palabra + año + símbolo |
| k7#Qv9!mZp2$Lw4e | ≈ 105 bits | Ninguno: aleatoria y larga |
Cómo mejorar una contraseña débil
- Genera en lugar de inventar. El generador de contraseñas crea claves aleatorias o frases de varias palabras que no siguen patrones humanos.
- Alarga antes que complicar. Cuatro o cinco palabras al azar superan a una palabra corta con símbolos.
- No reutilices. Una contraseña fuerte deja de serlo si aparece en una filtración de otro servicio.
- Activa la verificación en dos pasos en las cuentas importantes.
- Para códigos numéricos (tarjetas, candados), consulta qué combinaciones evitar en el generador de PIN.
El comprobador detecta los patrones más frecuentes con una lista corta integrada en la página; un atacante real usa diccionarios de millones de palabras y contraseñas filtradas. Si el resultado es «débil», lo es; si es «fuerte», tómalo como una buena señal, no como una garantía.
Preguntas frecuentes
¿Es seguro escribir mi contraseña en esta página?
El análisis se hace con JavaScript en tu navegador y la página no envía ni guarda lo que escribes. Si prefieres máxima precaución, desconéctate de internet antes de probarla o comprueba una contraseña parecida en lugar de la real.
¿Por qué «Verano2024!» sale débil si tiene mayúscula, número y símbolo?
Porque sigue el patrón más habitual: palabra común con mayúscula inicial, un año y un símbolo al final. Los programas de ataque prueban esas combinaciones antes que las aleatorias.
¿Cuántos bits debe tener una contraseña segura?
Como orientación, 60 bits o más para cuentas en línea y 80 o más para contraseñas maestras, cifrado de discos o cuentas críticas.
¿Qué tan fiable es el tiempo de descifrado?
Es un orden de magnitud: depende del algoritmo con que el servicio guarda las contraseñas y del hardware del atacante. Sirve para comparar contraseñas entre sí, no como plazo exacto.