La mayoría de los consejos sobre contraseñas — mezcla una mayúscula, añade un número, agrega un símbolo — optimizan lo incorrecto. Lo que realmente detiene a un atacante es la impredecibilidad, medida en bits de entropía. Esta guía explica por qué la longitud vence a la complejidad, cómo las frases de contraseña te dan fortaleza que puedes recordar, y por qué un generador que se ejecuta enteramente en tu navegador es el lugar más seguro para crear una.
La longitud vence a la complejidad
Cada carácter que añades multiplica el número de contraseñas posibles por el tamaño del conjunto de caracteres. Pasar de 8 a 16 caracteres hace mucho más por la seguridad que añadir un símbolo a una contraseña de 8 caracteres. Eso es porque la entropía crece linealmente con la longitud (cada carácter añade el mismo número de bits) pero solo logarítmicamente con el tamaño del conjunto (duplicar el conjunto añade solo un bit por carácter).
Concretamente: una contraseña de 12 caracteres en minúsculas tiene unos 56 bits de entropía; una contraseña de 8 caracteres usando los 94 caracteres imprimibles tiene solo unos 52 bits — y la de 8 caracteres es mucho más difícil de escribir. Las reglas de complejidad también son contraproducentes porque empujan a las personas hacia patrones predecibles como mayúscula al inicio, símbolo y número al final, que los atacantes explotan. La solución es dejar de elegir tus propias contraseñas y dejar que un generador elija otras verdaderamente aleatorias, tan largas como el sitio lo permita.
La entropía, explicada
La entropía es simplemente un conteo de cuántos intentos necesitaría un atacante, expresado como una potencia de dos. Una contraseña con 40 bits de entropía puede ser uno de 2⁴⁰ (aproximadamente un billón) valores igualmente probables; 60 bits son aproximadamente un trillón. Como cada bit adicional duplica el trabajo, los pequeños aumentos importan enormemente — una contraseña de 70 bits es mil veces más fuerte que una de 60 bits.
Los umbrales prácticos: por debajo de ~40 bits es débil y cae rápido ante el descifrado sin conexión; 60 bits es un piso razonable para cuentas que importan; 80+ bits es fuerte; y 100+ bits es efectivamente indescifrable por fuerza bruta con cualquier hardware previsible. Esta herramienta muestra la cifra exacta de lo que generes para que puedas apuntar deliberadamente en lugar de adivinar.
Frases de contraseña versus contraseñas
Una contraseña aleatoria de 16 caracteres y una frase de contraseña de 6 palabras pueden llevar una entropía similar, pero solo una de ellas es realista de memorizar y escribir en el teclado de un teléfono. Las frases de contraseña funcionan porque cada palabra se extrae al azar de una lista conocida — la lista larga de la EFF tiene 7,776 palabras, así que cada palabra vale unos 12.9 bits sin importar qué tan común sea la palabra. La fortaleza viene de la selección aleatoria, no de la oscuridad, así que 'correct-horse-battery-staple' es fuerte precisamente porque se eligió al azar.
Usa frases de contraseña para los pocos secretos que debes recordar: la contraseña maestra de tu administrador de contraseñas, el inicio de sesión de tu dispositivo, tu clave de cifrado de disco completo. Usa contraseñas aleatorias largas (guardadas en el administrador) para todo lo demás. Capitalizar palabras o añadir un dígito y un símbolo agrega un poco de entropía y ayuda a satisfacer a los sitios que todavía exigen 'complejidad'.
Por qué un administrador de contraseñas — y por qué esto se ejecuta en tu navegador
El hábito más importante en cuanto a contraseñas es nunca reutilizar una. La filtración de LinkedIn de 2012 e innumerables otras tienen éxito no descifrando contraseñas fuertes, sino reutilizando contraseñas filtradas en otros sitios. Un administrador de contraseñas resuelve esto generando y recordando una contraseña única por cuenta, así que una filtración en un sitio no puede propagarse en cascada. Protege el administrador mismo con una frase de contraseña fuerte y activa la autenticación de dos factores.
Este generador está construido para que nunca tengas que confiar en un servidor con un secreto. La generación ocurre enteramente en tu navegador usando crypto.getRandomValues, la misma fuente criptográficamente segura que impulsa la generación de claves de HTTPS. Nada se transmite, registra ni almacena — ni siquiera guardamos la contraseña en el almacenamiento de tu navegador, solo tus ajustes. Puedes confirmarlo tú mismo: abre la pestaña de red de tu navegador y observa que generar una contraseña no hace ninguna solicitud en absoluto.