Comprobar la seguridad de la contraseña

Cómo se calcula

Tu contraseña no se envía. La comprobación se ejecuta por completo en JavaScript, en tu dispositivo. El campo de entrada no aparece ni en la barra de direcciones ni en el historial, y nada se guarda. Solo se carga una vez, como archivo, una lista pública de contraseñas comunes, y la comparación se hace en local.

Cómo comprobar una contraseña

1. Escribe la contraseña: no sale de tu navegador.
2. Lee la fortaleza, la entropía estimada y los patrones encontrados.
3. Si es débil, genera una nueva y vuelve a comprobarla.

Ejemplo: en «Verano2024!» el comprobador detecta el año 2024 como patrón. Solo cuenta log₂(150) ≈ 7 bits, mientras que cuatro cifras realmente aleatorias aportarían más de 13.

Así se calcula la estimación

1. Conjunto de caracteres × longitud: según los tipos de carácter presentes se obtiene el conjunto (a–z 26, A–Z 26, 0–9 10, símbolos 33, tildes y otras letras 100 de forma general). La entropía sin descontar patrones es longitud × log₂(conjunto): para 12 caracteres con los cuatro tipos, 12 × log₂(95) ≈ 78,8 bits.

2. Descuentos por patrones: las personas no eligen caracteres al azar. Por eso los atacantes prueban primero listas de contraseñas filtradas, palabras con sustituciones (P@ssw0rd), secuencias (abc, 123), filas de teclado (qwerty, asdf, azerty), repeticiones y años. La herramienta descompone tu contraseña en estos elementos y cuenta, para cada uno, solo los pocos bits que necesitaría un atacante para adivinarlo, de forma simplificada según el método zxcvbn (Wheeler, USENIX Security 2016). Se muestra el menor de los dos valores.

3. Tiempo de descifrado: 2^bits dividido entre los intentos por segundo, es decir, el tiempo para probar todas las combinaciones. Supuestos, como en zxcvbn: ataque sin conexión sobre una base de datos de contraseñas robada, con hash rápido (10.000 millones de intentos/s, p. ej. MD5 sin sal en tarjetas gráficas) o con hash lento (10.000 intentos/s, p. ej. bcrypt). Los inicios de sesión en línea, con bloqueos, son mucho más lentos de atacar.

Niveles

• Muy débil: menos de 40 bits (sin conexión, en menos de 2 minutos) o está en la lista de contraseñas comunes
• Débil: 40–59 bits (sin conexión, de minutos a poco más de 3 años y medio)
• Media: 60–79 bits
• Fuerte: 80–99 bits (sin conexión, millones de años)
• Muy fuerte: 100 bits o más

La estimación es un límite superior: si un atacante conoce datos personales (nombres, fechas de nacimiento, mascotas) o la contraseña aparece en una filtración, se descifra mucho más rápido. Recomendaciones del BSI: de 8 a 12 caracteres con cuatro tipos, o de 20 a 25 caracteres con dos tipos, sin patrones de teclado como «asdfgh» o «1234abcd». NIST SP 800-63B exige al menos 15 caracteres si no se usa un segundo factor, y no exige mezclas forzadas de tipos de carácter; en su lugar, pide comparar con una lista de contraseñas conocidas.

Relacionado: el generador de contraseñas, el generador de hash y el generador de UUID.

Preguntas frecuentes

Fuentes y base legal

• NIST SP 800-63B: NIST SP 800-63B-4 – 3.1.1.2 Password Verifiers (length, blocklist)
• BSI – Creating secure passwords
• Wheeler (2016): zxcvbn – Low-Budget Password Strength Estimation, USENIX Security
• zxcvbn (Dropbox, MIT) – attack scenarios offline_fast_hashing_1e10_per_second / offline_slow_hashing_1e4_per_second
• SecLists – 10k-most-common.txt (common passwords, MIT)

Última actualización: 27 de septiembre de 2026 · Principios editoriales