Verificador de Seguridad de Contraseñas

La entropía mide lo impredecible que es una contraseña, expresada en bits, donde cada bit adicional duplica el número de intentos que debe hacer un atacante. Este comprobador la calcula como la longitud multiplicada por el logaritmo en base 2 del tamaño del conjunto de caracteres. Ese conjunto crece con cada tipo de carácter que incluyas: 26 para minúsculas, 26 para mayúsculas, 10 para dígitos y 32 para símbolos, así que una contraseña con mayúsculas, minúsculas, números y símbolos parte de un conjunto de 94. Esto significa que una contraseña más larga añade mucha más entropía que simplemente cambiar un símbolo, porque la longitud multiplica todo el exponente del conjunto. La estimación se limita deliberadamente a la baja cuando tu contraseña coincide con una muy común o sigue un patrón predecible, ya que esas caen ante una lista de palabras sin importar el número teórico de bits. Escribe una contraseña arriba para ver su entropía exacta en bits.

La velocidad a la que cae una contraseña depende por completo de cómo se la ataque, así que esta herramienta muestra tiempos de descifrado estimados en seis escenarios realistas en lugar de un único número. Un acceso en línea con limitación de intentos solo permite unos 100 intentos por segundo, un servicio sin límite ronda los 10.000, y bcrypt con coste 12 se mantiene deliberadamente lento, cerca de 10.000. Pero si una base de datos filtrada guardó tu contraseña con un hash rápido, la cuenta cambia drásticamente: SHA-256 permite unos 10.000 millones de intentos por segundo, MD5 unos 100.000 millones, y un clúster de GPU atacando NTLM hasta 100 billones. La misma contraseña que resistiría siglos frente a un formulario limitado puede caer en segundos en cuanto se filtra un hash débil y sin sal. Esa diferencia es precisamente la razón por la que la longitud y la aleatoriedad importan más que una única sustitución ingeniosa. Introduce una candidata arriba para comparar los seis escenarios lado a lado.

Por lo general sí, y el motivo es la entropía. Como la aleatoriedad escala con la longitud, cuatro o cinco palabras aleatorias y sin relación entre sí suelen producir más bits que una cadena corta de ocho caracteres repleta de símbolos, y además es mucho más fácil de recordar. Una contraseña corta también tiene menos posiciones totales que un atacante deba explorar, así que añadir un símbolo apenas cambia las cosas comparado con añadir varios caracteres. La trampa está en que las palabras deben ser realmente aleatorias y sin relación entre sí; una cita famosa o una frase predecible ya está en las listas de palabras usadas para descifrar. Esta herramienta incluye un generador integrado de frases de contraseña donde defines el número de palabras y el separador, además de una vista de comparación lado a lado para enfrentar una frase de contraseña contra una contraseña cargada de símbolos en fortaleza, entropía y tiempo de descifrado. Genera ambas arriba y comprueba cómo suele ganar la frase de contraseña más larga.

Esas sustituciones se llaman "leet-speak", y los atacantes las esperan. Las listas de palabras modernas para descifrar aplican automáticamente sustituciones comunes como @ por a, 0 por o, 3 por e y 1 por i, y luego prueban las versiones transformadas de cada palabra de diccionario y contraseña conocida. Así que convertir "password" en "p@ssw0rd" no crea nada nuevo; produce una cadena que una lista de palabras ya genera, razón por la cual este comprobador la trata como predecible y mantiene baja la puntuación de fortaleza. La misma lógica se aplica a los recorridos de teclado como qwerty o asdf, a caracteres repetidos como aaa o 111, y a secuencias simples. La verdadera fortaleza viene de la longitud y de la aleatoriedad genuina, no de disfrazar una palabra común. Escribe tu contraseña arriba y la lista de criterios señalará patrones como sustituciones, repeticiones y secuencias para que veas exactamente qué la está debilitando.

Una comprobación de filtraciones te indica si una contraseña ha aparecido en una fuga de datos conocida, algo importante porque los atacantes alimentan sus primeros intentos de descifrado con credenciales filtradas. La forma segura de hacerlo utiliza una técnica llamada k-anonimato: tu contraseña se convierte en hash localmente, y solo se envían al servicio de consulta los primeros caracteres de ese hash, que devuelve todos los hashes filtrados que comparten ese prefijo. Tu navegador completa la comparación sin conexión, de modo que la contraseña completa nunca sale de tu dispositivo. Esta herramienta enlaza con HaveIBeenPwned, que utiliza exactamente esa búsqueda por rango de hash parcial, manteniendo privada la comprobación. Una contraseña puede puntuar bien en longitud y entropía y aun así no ser segura simplemente porque se reutilizó y ya quedó expuesta en otro sitio. Puntúa aquí tu contraseña primero y luego sigue el enlace de filtraciones para confirmar que no se ha filtrado ya.