Cómo crear una contraseña segura: longitud, entropía y gestores de contraseñas

Cómo se descifran las contraseñas

Los atacantes usan tres métodos principales: el relleno de credenciales, que reutiliza usuarios y contraseñas filtrados de otros sitios; los ataques de diccionario, que prueban contraseñas y palabras comunes; y la fuerza bruta, que prueba todas las combinaciones.

La mayor parte del daño real proviene del primero. Por compleja que sea una contraseña, reutilizarla significa que el sitio más débil que uses puede exponer todas tus cuentas. Tener una contraseña única por sitio importa todavía más que su fortaleza.

Medir la fortaleza con la entropía

La fortaleza de una contraseña generada al azar se mide en bits de entropía: longitud × log2(número de caracteres posibles). Cada bit adicional duplica el número de intentos que necesita un atacante.

Un PIN de seis dígitos tiene unos 20 bits: solo un millón de posibilidades que un ordenador prueba al instante. Doce caracteres aleatorios de los 94 símbolos ASCII imprimibles dan unos 79 bits, y dieciséis letras minúsculas aleatorias, unos 75 bits.

6 dígitos                          : 6 × log2(10)  ≈ 20 bits
16 minúsculas aleatorias           : 16 × log2(26) ≈ 75 bits
12 caracteres aleatorios de 94     : 12 × log2(94) ≈ 79 bits
16 letras y dígitos aleatorios     : 16 × log2(62) ≈ 95 bits

Estas cifras solo valen para elecciones aleatorias. Las contraseñas inventadas por personas, como Password1! o combinaciones de fechas de nacimiento, parecen variadas pero encabezan todas las listas de ataque, así que su entropía real es casi cero.

Por qué la longitud supera a la complejidad

Como muestra la tabla, aumentar la longitud eleva la entropía mucho más eficazmente que añadir tipos de caracteres. Las directrices de identidad digital del NIST estadounidense (SP 800-63B) también recomiendan permitir contraseñas largas y compararlas con listas de contraseñas filtradas en lugar de imponer reglas de composición.

Para las contraseñas que debes recordar, funciona bien una frase de paso de cuatro a seis palabras aleatorias sin relación. Seis palabras elegidas al azar de una lista de 7.776 dan unos 77 bits y siguen siendo fáciles de recordar. Las palabras deben elegirse al azar —con dados o un generador—, no por ti.

Patrones que debes evitar

Todos ellos forman parte de las reglas de las herramientas de descifrado y caen mucho más rápido de lo que parece.

• Nombres, cumpleaños, números de teléfono o matrículas que se pueden encontrar en redes sociales.
• Recorridos de teclado como qwerty, 1q2w3e4r o asdf.
• Una palabra seguida de dígitos o ! (por ejemplo verano2026!).
• Sustituciones como a→@ y o→0, que las herramientas de descifrado prueban por defecto.
• Rotar cambiando solo un número (pass01 → pass02).

La respuesta práctica: un gestor de contraseñas y 2FA

Nadie puede memorizar una contraseña aleatoria distinta de 20 caracteres para cada sitio. Un gestor de contraseñas es la solución realista: recuerdas una sola frase maestra segura y dejas que el generador cree y guarde el resto.

Añade la autenticación en dos pasos —una app de autenticación, una llave de seguridad o passkeys— para que una contraseña filtrada no baste por sí sola. Protege primero tu correo electrónico, porque es el canal de recuperación de todas tus demás cuentas.

Qué comprobar en un generador de contraseñas

Un buen generador usa el generador de números aleatorios criptográficamente seguro que ofrece el sistema operativo. Las funciones de uso general como Math.random son predecibles y no sirven para contraseñas.

El generador de contraseñas de AIBIZAP te permite elegir la longitud y los conjuntos de caracteres. Si un servicio no admite caracteres especiales, aumenta la longitud: dieciséis letras y dígitos ya dan unos 95 bits. Para secretos de máquina como los ID y secretos de cliente de una API, usa el generador de credenciales de cliente.