Cómo usarla
- Escribe o pega la contraseña en el cuadro. Está oculta de forma predeterminada; pulsa «Mostrar» para comprobar lo que escribiste.
- Consulta la etiqueta de seguridad, las cifras de entropía y la estimación aproximada del tiempo para descifrarla.
- Revisa los patrones detectados y sigue los consejos para que sea más difícil adivinar la contraseña.
Cómo funciona
El comprobador empieza calculando la entropía del conjunto de caracteres: el número de caracteres posibles (26 letras minúsculas, 26 mayúsculas, 10 dígitos, 33 símbolos ASCII, incluido el espacio, y 100 por cualquier otro carácter, como letras con tilde o emojis) elevado a la longitud de la contraseña, expresado en bits como log2(conjunto) × longitud. Esta cifra supone que cada carácter se eligió al azar, lo que rara vez ocurre con las contraseñas que las personas inventan.
Después busca patrones que los atacantes prueban primero y asigna a cada parte coincidente solo los bits necesarios para adivinar el patrón: una lista integrada de las 1.000 contraseñas más comunes, unas 3.000 palabras frecuentes en inglés y 600 nombres propios comunes (también después de revertir sustituciones de leetspeak como 4→a, 3→e, 0→o, $→s), secuencias de teclado como qwerty y asdf, secuencias como abc o 4321, caracteres o bloques repetidos, años de 1900 a 2099 y fechas como 12/05/1990 o 19900512. El resultado es la «estimación tras analizar patrones». El método es similar en cuanto a su enfoque al estimador de código abierto zxcvbn, pero más sencillo.
El tiempo para descifrar supone 10.000 millones de intentos por segundo, aproximadamente lo que consiguen unas cuantas tarjetas gráficas modernas contra un hash rápido y sin salt, como MD5 o SHA-1, en un ataque sin conexión, y que, en promedio, hay que probar la mitad de las posibilidades restantes. Los ataques en línea contra un formulario de inicio de sesión son mucho más lentos; los hashes lentos bien configurados también lo son. Toma la cifra como un orden de magnitud, no como una garantía. El comprobador no sabe si tu contraseña ha aparecido en una filtración de datos.
Ejemplos
Una contraseña que parece segura a primera vista
«Summer2023!» tiene 11 caracteres y los cuatro tipos de caracteres, por lo que la entropía del conjunto de caracteres es de unos 72 bits. El comprobador encuentra la palabra «Summer» y el año 2023, y la estimación baja a unos 22 bits: muy débil, se puede adivinar en mucho menos de un segundo sin conexión.
El leetspeak no ayuda
«P@55w0rd» se reconoce como «password» con sustituciones, una de las contraseñas más comunes. Se considera muy débil, sin importar cuántos símbolos contenga.
Una contraseña aleatoria
Una contraseña de 16 caracteres generada al azar, como «v7#Qm!2pXr9$Lw4z», no contiene patrones detectables. Su estimación coincide con la cifra del conjunto de caracteres, unos 105 bits, y se considera muy segura.
Preguntas frecuentes
¿Es seguro escribir aquí mi contraseña real?
El análisis se realiza íntegramente en tu navegador con JavaScript en esta página. La contraseña no se envía a ningún servidor, no se guarda ni se incluye en las analíticas. Si lo prefieres, comprueba una contraseña con la misma estructura en lugar de usar la real.
¿Por qué mi contraseña es más débil de lo que indica la cifra de entropía?
La entropía del conjunto de caracteres supone que cada carácter es aleatorio. Las herramientas para descifrar contraseñas prueban primero palabras, nombres, fechas y patrones de teclado, por lo que el comprobador los considera mucho más fáciles de adivinar. La cifra «estimación tras analizar patrones» refleja esto.
¿Comprueba si mi contraseña se ha filtrado?
No. Solo compara la contraseña con una lista integrada de 1.000 contraseñas muy comunes y estima lo fácil que sería adivinarla. Para comprobar si ha aparecido en una filtración se necesita otro servicio; si usas uno, elige uno que solo reciba una parte del hash de la contraseña.
¿Qué nivel debería buscar?
Para la mayoría de las cuentas, procura alcanzar el nivel «segura» (60 bits o más tras analizar patrones). Para la contraseña maestra de un gestor de contraseñas o una cuenta de correo electrónico, procura alcanzar el nivel «muy segura» (80 bits o más), por ejemplo, con una frase de contraseña de seis palabras aleatorias.
¿Por qué los distintos medidores de seguridad dan resultados diferentes?
Cada medidor usa sus propias listas de palabras, reglas para detectar patrones y suposiciones sobre la velocidad del atacante. Los medidores sencillos solo cuentan los tipos de caracteres, lo que hace que sobrevaloren contraseñas como «Password1!». Usa cualquier estimación como referencia, no como una medición exacta.
Privacidad
La contraseña se analiza únicamente en tu navegador. No se sube, guarda, registra ni envía a las analíticas; solo se registra un evento anónimo que indica que se usó la herramienta. Las listas de contraseñas comunes y palabras están incluidas en la página, por lo que no se realiza ninguna consulta por la red.