¿Cómo crear una contraseña segura?
- 1Elige caracteres aleatorios o una frase de contraseña hecha de palabras.
- 2Ajusta la longitud (o el número de palabras) y los tipos de caracteres que necesitas.
- 3Copia la contraseña o elige una de las otras cinco opciones que aparecen debajo.
- 4Guárdala en un gestor de contraseñas y usa una contraseña distinta para cada cuenta.
¿Cómo se calcula la seguridad de una contraseña?
- 01Entropía (bits) = longitud × log2(caracteres posibles)
- 02Entropía de una frase de contraseña = palabras × log2(palabras de la lista)
- 03Contraseñas posibles = 2^entropía
- 04Tiempo medio para descifrarla = 2^entropía ÷ 2 ÷ intentos por segundo
La entropía mide cuántos intentos necesitaría un atacante. Cada carácter aleatorio elegido entre 90 caracteres posibles suma log2(90) ≈ 6,5 bits, así que una contraseña de 16 caracteres tiene unos 104 bits: 2^104 contraseñas posibles. Una frase de contraseña funciona igual, pero con palabras: cada palabra elegida al azar de la lista de esta herramienta, de unas 1.500 palabras, suma unos 10,6 bits, y añadir un número suma algunos más. Si activas «Al menos uno de cada tipo», las contraseñas a las que les falta un tipo se descartan y se vuelven a generar; la pequeña pérdida de entropía que esto supone se calcula con exactitud.
Cada carácter se elige con el generador aleatorio criptográficamente seguro de tu navegador (crypto.getRandomValues). Los números aleatorios que caen fuera del último bloque completo se descartan, así que ningún carácter es más probable que otro (sin «sesgo de módulo»). El tiempo para descifrarla supone un ataque rápido sin conexión de 10.000 millones de intentos por segundo contra el hash de una contraseña filtrada; de media, el atacante encuentra la contraseña tras probar la mitad de todas las posibilidades. Menos de 50 bits es débil, de 50 a 69 aceptable, de 70 a 99 fuerte y 100 o más muy fuerte.
Consejos útiles
- La longitud importa más que la complejidad: una contraseña más larga es mucho más segura que una con un símbolo de más.
- No repitas nunca una contraseña. Si hackean un sitio, los atacantes prueban la misma contraseña en todas partes.
- Usa un gestor de contraseñas para guardarlas y activa la verificación en dos pasos en tu correo y tu banco.
- Las frases de contraseña son más fáciles de escribir en un teléfono o un televisor: usa al menos 6 o 7 palabras aleatorias.
- Activa «Evitar caracteres parecidos» si tienes que dictar la contraseña o copiarla de un papel.
Generador de contraseñas: preguntas frecuentes
¿Qué longitud debe tener una contraseña?
El NIST pide a los servicios que acepten al menos 15 caracteres en las contraseñas que se usan solas. Para cuentas importantes, una buena elección son 16 o más caracteres aleatorios, o una frase de contraseña de 7 o más palabras aleatorias.
¿Son seguras estas contraseñas?
Sí. Se generan en tu dispositivo con el generador de números aleatorios criptográficamente seguro del navegador. No se envía nada por internet, no se guarda ni se registra, y cada vez se crea un conjunto nuevo.
¿Contraseña o frase de contraseña: cuál es mejor?
Las dos son seguras si son lo bastante largas y realmente aleatorias. Los caracteres aleatorios dan más seguridad por carácter; las frases de contraseña son más largas, pero más fáciles de recordar y escribir.
¿Necesito símbolos en todas las contraseñas?
No necesariamente. Las pautas del NIST dicen que los servicios no deberían imponer reglas de composición; lo que más importa es la longitud y el azar. Algunos sitios aún exigen un símbolo, por eso está la opción.
¿Qué significa entropía?
Es el número de bits de azar. Cada bit de más duplica los intentos que necesita un atacante, así que 80 bits es alrededor de un millón de veces más difícil de adivinar que 60 bits.
¿El tiempo para descifrarla es exacto?
No, es una estimación para un atacante que sabe cómo se creó la contraseña y puede probar 10.000 millones de combinaciones por segundo. Los hashes de contraseña lentos hacen los ataques reales mucho más lentos, y los límites de intentos al iniciar sesión, más todavía.
Fuentes
- NIST SP 800-63B — Pautas de identidad digital: autenticación y gestión del ciclo de vida
- MDN — Crypto.getRandomValues()
- EFF — Frases de contraseña generadas con dados
Fórmulas revisadas por última vez: 30 de septiembre de 2026 ·Cómo revisamos nuestras fórmulas