Comprobar la seguridad de una contraseña

Un test de contraseña que no sale de tu dispositivo

Esta herramienta comprueba la seguridad de una contraseña mientras la escribes. No se limita a contar mayúsculas y símbolos: busca lo que un programa de ataque probaría primero, como las contraseñas más usadas, palabras del diccionario, series de teclas (qwerty, 123456), repeticiones, fechas y letras disfrazadas de números. Con eso calcula los intentos necesarios, una nota en cinco niveles y tres tiempos para descifrarla.

Todo se calcula en tu navegador: la contraseña no se envía ni se guarda, y la herramienta no hace ninguna petición de red durante el análisis. Tampoco se consulta en bases de filtraciones: algunos servicios lo ofrecen enviando solo un fragmento anonimizado del hash de la contraseña, pero hemos preferido no enviar nada.

Cómo se usa

1. Escribe o pega la contraseña en «Contraseña que quieres comprobar». Queda oculta; «Mostrar» la enseña y «Borrar» vacía el campo. Mientras está oculta, los puntos débiles indican posiciones («Caracteres 1 a 6») en lugar de copiar el texto.
2. Mira la «Seguridad»: Muy débil, Débil, Media, Fuerte o Muy fuerte, con una barra de cinco tramos.
3. Consulta el «Tiempo estimado para descifrarla» en los tres escenarios, los «Puntos débiles» y los «Consejos».

Qué hace segura una contraseña

Cuentan dos cosas: la longitud y que sea imprevisible. Cada carácter añadido multiplica el trabajo del atacante, siempre que no siga un patrón conocido. Las reglas de complejidad engañan: C0ntr4s3ña lleva mayúscula, números y diez caracteres. Sin tener en cuenta los patrones valdría 60 bits, pero la herramienta reconoce «contraseña» disfrazada: unos 10.464 intentos, 13 bits, 4 días en un ataque en línea limitado y 1 segundo frente a un hash lento.

Frases de contraseña, gestor y verificación en dos pasos

Una frase de contraseña une varias palabras elegidas al azar. Tres palabras se quedan cortas: perro-luna-casa da unos 1,3 × 10⁹ intentos, un día frente a un hash lento. Cinco palabras sacadas de una lista de 1296 suben a unos 5,8 × 10¹⁶ intentos, más de 185.000 años frente a un hash lento. Deben salir al azar, no de un refrán.

Usa una contraseña distinta para cada servicio: cuando roban la base de datos de una web, los atacantes prueban el mismo correo y la misma clave en todas partes. Un gestor de contraseñas las crea y las recuerda por ti; solo tienes que memorizar una frase sólida. Activa la verificación en dos pasos en el correo, el banco y las redes sociales.

Si un servicio sufre una filtración, cambia enseguida esa contraseña y las parecidas, y cierra las sesiones abiertas.

Cómo calcula la herramienta, y sus límites

La herramienta busca la forma más barata, para un atacante, de dividir la contraseña en patrones conocidos. Una contraseña común vale su puesto en la lista; una palabra del diccionario español, el tamaño de la lista; una fecha, los años plausibles por 365. Cada carácter fuera de un patrón cuenta como 10 posibilidades, una hipótesis prudente. El producto da los intentos y la entropía corregida.

Los umbrales: menos de 1000 intentos, muy débil; menos de 100 millones, débil; menos de 10¹³, media; menos de 10¹⁸, fuerte; por encima, muy fuerte. Los tiempos suponen 100 intentos por hora en línea, 10.000 por segundo con un hash lento y 10.000 millones por segundo con un hash rápido. Son órdenes de magnitud: una estimación, no una garantía. La herramienta no sabe lo que un atacante sabe de ti (el nombre de tu perro, tu barrio) y solo conoce unos pocos miles de palabras.

Preguntas frecuentes

¿Se envía mi contraseña a algún sitio?

No. El análisis se hace dentro de la página, sin peticiones mientras escribes, y no se guarda nada en el navegador.

¿Por qué «Barcelona1» es muy débil si tiene diez caracteres?

Es una de las claves más repetidas en España, con la mayúscula y el número donde todos los ponen: unos 814 intentos.

¿Hacen falta símbolos para una contraseña fuerte?

Cinco palabras al azar en minúsculas superan a ocho caracteres llenos de símbolos.

¿Una contraseña «Muy fuerte» es imposible de descifrar?

No. Resiste los intentos de adivinarla, pero no el phishing, un programa espía ni su reutilización en una web pirateada.