Cada filtración de datos expone miles de millones de credenciales, y las contraseñas débiles siguen siendo el vector de ataque más explotado. Esta herramienta mide la fortaleza matemática de tu contraseña en bits de entropía, estima tiempos reales de descifrado y genera alternativas fuertes, dándote la información que necesitas para proteger cada cuenta que posees.
Por Qué Importa la Fortaleza de las Contraseñas
Cada cuenta en línea que posees está protegida por una contraseña, y los atacantes se han vuelto extraordinariamente eficientes para descifrar las débiles. Las unidades de procesamiento gráfico modernas pueden intentar cientos de miles de millones de hashes de contraseña por segundo usando equipos de descifrado especializados que cuestan apenas unos pocos miles de dólares. Esto significa que una contraseña corta o predecible puede ser descifrada en segundos, no en días. Filtraciones de datos de alto perfil en grandes empresas han expuesto miles de millones de credenciales con hash, que los atacantes luego descifran sin prisa fuera de línea y prueban en otros servicios mediante el relleno de credenciales. Las consecuencias de una cuenta comprometida van desde el robo de identidad y el fraude financiero hasta el acceso no autorizado a redes corporativas y comunicaciones personales. Incluso las contraseñas fuertes pueden verse socavadas por la reutilización: una vez que una contraseña se descifra en la filtración de un sitio, las herramientas automatizadas la prueban contra miles de otros servicios en cuestión de horas. Entender qué hace que una contraseña sea matemáticamente fuerte es la base de la ciberseguridad personal, y esta herramienta te da los datos para tomar decisiones informadas en lugar de adivinar qué significa "fuerte".
Cómo Funciona la Entropía
La entropía es el pilar matemático de la medición de la fortaleza de las contraseñas. Expresada en bits, la entropía cuantifica qué tan impredecible es una contraseña calculando la cantidad total de combinaciones posibles que un atacante de fuerza bruta tendría que buscar. La fórmula es sencilla: multiplica la cantidad de caracteres de la contraseña por el logaritmo en base 2 del tamaño del conjunto de caracteres. Una contraseña que usa solo letras minúsculas (conjunto de 26) aporta unos 4.7 bits por carácter. Agregar mayúsculas duplica el conjunto a 52, elevándolo a 5.7 bits. Incluir dígitos y símbolos amplía el conjunto a 94, produciendo 6.55 bits por carácter. Una contraseña de 12 caracteres que usa los cuatro tipos alcanza, por lo tanto, 12 × 6.55 ≈ 78.7 bits de entropía. Cada bit adicional duplica el espacio de búsqueda del atacante: 40 bits representan alrededor de un billón de combinaciones, 60 bits cerca de un trillón y 80 bits más de un cuatrillón. Incluso un clúster de GPU que ejecute 100 mil millones de intentos por segundo necesitaría aproximadamente 380 millones de años para agotar un espacio de 80 bits por fuerza bruta.
Fuerza Bruta vs. Ataques de Diccionario
Los ataques de fuerza bruta prueban todas las combinaciones de caracteres posibles de forma sistemática, comenzando por la más corta y avanzando hacia arriba. Como el espacio de búsqueda crece exponencialmente con la longitud y el tamaño del conjunto, la fuerza bruta solo es práctica contra contraseñas cortas: cualquiera de menos de unos 8 caracteres con el conjunto completo puede descifrarse en horas. Los ataques de diccionario adoptan un enfoque más inteligente: priorizan las contraseñas más probables primero, usando listas de cientos de millones de credenciales filtradas, palabras comunes, frases y patrones de sustitución predecibles. Una contraseña como "Summer2024!" obtiene una puntuación razonablemente buena en entropía pura, pero sigue un patrón que los ataques de diccionario reconocen al instante: una palabra capitalizada, un año y un símbolo al final. Muchas herramientas de descifrado modelan exactamente estas tendencias humanas. Las contraseñas basadas en patrones (recorridos de teclado como "Qwerty1!", sustituciones leet como "p@ssw0rd" y combinaciones de nombre más número) aparecen todas al principio de las listas de diccionario. La verdadera seguridad requiere una aleatoriedad que ningún patrón humano pueda predecir: ya sea usando un generador de caracteres aleatorios o una frase de contraseña compuesta por palabras verdaderamente aleatorias.
La Ventaja de las Frases de Contraseña
Encadenar cuatro o más palabras aleatorias y no relacionadas crea una frase de contraseña que alcanza una alta entropía sin dejar de ser lo bastante memorable como para escribirla sin un gestor. El famoso ejemplo "correct-horse-battery-staple" de XKCD demuestra el principio: con una lista de 7,776 palabras (la lista Diceware de la EFF), cada palabra aleatoria aporta unos 12.9 bits, así que cuatro palabras producen aproximadamente 51.7 bits y cinco palabras 64.6 bits. Una frase de contraseña de seis palabras alcanza 77.5 bits, comparable a una contraseña fuerte de caracteres aleatorios pero mucho más fácil de memorizar y escribir en un teclado móvil. El detalle es que las palabras deben ser genuinamente aleatorias, no frases que tú mismo construyas: las combinaciones de palabras elegidas por humanos siguen patrones predecibles que las herramientas de descifrado entrenadas explotan. Diceware —lanzar dados físicos para seleccionar palabras de una lista numerada— es el estándar de oro para la aleatoriedad sin necesidad de una computadora. Las frases de contraseña funcionan mejor como la contraseña maestra de tu gestor de contraseñas, donde la memorabilidad importa más.
Cómo Construir un Sistema de Contraseñas Sostenible
El objetivo práctico de la seguridad de las contraseñas no es la perfección para una sola cuenta, sino un sistema que mantenga protegida cada cuenta sin depender de la memoria para docenas de credenciales únicas. Los gestores de contraseñas son la piedra angular de este sistema. Generan contraseñas criptográficamente aleatorias de cualquier longitud y complejidad, las almacenan cifradas tras una única contraseña maestra y las autocompletan en navegadores y aplicaciones. La contraseña maestra debe ser una frase de contraseña fuerte que hayas memorizado y practicado escribir. Los gestores de buena reputación (Bitwarden, 1Password, KeePass) cifran tu bóveda con AES-256 localmente antes de sincronizarla, lo que hace inofensivas las filtraciones del lado del servidor del propio gestor. La autenticación de dos factores (2FA) agrega una segunda capa que vence el relleno de credenciales incluso cuando una contraseña se ve comprometida: una aplicación de contraseña de un solo uso basada en tiempo (TOTP) es gratuita, rápida y mucho más segura que los códigos por SMS. Para las cuentas de alto valor —correo electrónico, banca y el propio gestor de contraseñas— combina una contraseña fuerte y única con un 2FA por hardware (una YubiKey) para obtener la mejor protección disponible.