Este comprobador de contraseñas estima cuántos intentos necesitaría un atacante para adivinar una contraseña, en lugar de contar qué tipos de caracteres lleva. Todo ocurre en tu navegador: nada de lo que escribes se guarda ni se envía.
¿Es seguro escribir tu contraseña aquí?
Tu contraseña la analiza código JavaScript que ya está cargado en la página. Nunca se envía a un servidor, no se guarda en el almacenamiento del navegador, no se añade a la URL y no forma parte de ninguna estadística. Al cerrar la pestaña, desaparece por completo.
Cómo comprobarlo tú mismo
No tienes por qué creerlo sin más. Cualquier comprobador de contraseñas puede decir lo mismo, y decirlo no cuesta nada.
- Carga esta página, desconéctate de internet y escribe. El comprobador sigue funcionando.
- Abre las herramientas para desarrolladores del navegador, ve al panel Red y escribe. No aparece ninguna petición.
- Consulta el código fuente de la página y lee el código que puntúa lo que escribes.
Una herramienta que envía tu contraseña a otro sitio no puede superar ninguna de esas tres pruebas.
Cuándo no deberías escribir tu contraseña real
Si tienes cualquier duda sobre un sitio, no escribas en él una contraseña real. Eso incluye este comprobador de contraseñas, aunque decirlo nos cueste algunas visitas.
Probar con una contraseña sustituta apenas te hace perder nada: basta con que tenga la misma longitud, la misma mezcla de caracteres y la misma forma. Un comprobador de contraseñas puntúa la estructura: si la tuya lleva una palabra, pon otra igual de corriente y el veredicto será el mismo.
Cómo funciona este comprobador de contraseñas
Por qué contar caracteres da la respuesta equivocada
La forma obvia de puntuar una contraseña es longitud × log₂(conjunto). Con esa fórmula, Contraseña1! son doce caracteres de un conjunto de 102 y vale 80.1 bits: «fuerte», sin discusión.
No lo es. Es la palabra más obvia para una contraseña, con la mayúscula, el número y el signo que todo el mundo le añade, y cualquier comprobador de contraseñas que diga lo contrario está midiendo otra cosa.
Comparación de dos formas de puntuar las mismas contraseñas. La fórmula del conjunto de caracteres da a contraseña 50.4 bits, a c0ntr@seña 62.5, a Contraseña1! 80.1 y a Verano2024! 72.3, mientras que la estimación por intentos les da 12.3, 14.3, 24.2 y 38.3. Con una contraseña realmente aleatoria las dos coinciden casi exactamente: 124.8 frente a 123.8. La fórmula solo engaña con contraseñas que alguien inventó.
Contar intentos en lugar de caracteres
Este comprobador de contraseñas estima el menor número de intentos que bastaría: prueba varias vías de ataque y se queda con la más barata.
Si la contraseña aparece en una lista de 20 000 contraseñas comunes, el número de intentos es su puesto en la lista. Si es una de las 10 000 palabras más usadas en español, cuenta su puesto entre ellas.
Si lleva adornos —una mayúscula, números o signos al final—, ese puesto se multiplica por el pequeño espacio que ocupan. La fuerza bruta solo es la respuesta cuando no queda nada más barato.
Qué detecta
Este comprobador de contraseñas busca contraseñas comunes y sus versiones con mayúsculas, palabras frecuentes en español con o sin tildes, números y signos añadidos al final, letras cambiadas por caracteres parecidos, como @ por a, filas del teclado como qwerty, secuencias alfabéticas y numéricas, repeticiones, años sueltos y frases de contraseña hechas con palabras de una lista.
Qué no detecta
Ser concreto con lo que falta importa más que presumir de ser completo:
- Palabras sueltas en español fuera de las 10 000 más usadas, y en inglés fuera de las listas de la EFF. Dentro de una frase de contraseña también se reconocen las palabras de las dos listas en español de este sitio
- Nombres de personas y lugares, salvo los que ya están en esas listas
- Contraseñas comunes en idiomas distintos del español y el inglés
- El parecido con tu nombre, tu correo o tu nombre de usuario
La biblioteca zxcvbn cubre todo eso. También pesa unos 200 KB, mientras que el estimador de esta página, con sus listas en español, ronda los 160 KB. Si tu contraseña lleva una palabra poco frecuente, espera que este comprobador de contraseñas la puntúe más alto que zxcvbn.
Qué hace realmente segura una contraseña
La longitud pesa más que la complejidad
Cada carácter que añades multiplica el trabajo del atacante, y por eso un comprobador de contraseñas da tanto peso a la longitud. Cada símbolo que sustituyes solo añade una regla que el atacante ya tiene.
El NIST llegó a la misma conclusión en la SP 800-63B: exige una longitud mínima y prohíbe expresamente obligar a mezclar tipos de caracteres. Lo explicamos con detalle en ¿Qué longitud debe tener tu contraseña?
Que sea única pesa más que las dos
Una contraseña fuerte que usas en varios sitios solo está tan protegida como el sitio más débil que la guarda. En cuanto uno sufre una filtración, los atacantes la prueban en todos los demás.
Es lo único que ningún comprobador de contraseñas puede medir. La puntuación describe la contraseña aislada; no sabe dónde más la has usado.
Por qué cambiar letras por símbolos no ayuda
Convertir contraseña en c0ntr@seña lleva la estimación de este comprobador de contraseñas de 12 bits a 14. Cualquier herramienta de descifrado aplica esos cambios por su cuenta, porque todo el mundo los hace.
Lo mismo pasa con la mayúscula al principio y el número al final. Son los dos adornos más previsibles que existen, y justo por eso son los que casi todo el mundo elige.
Cómo leer el resultado
La cifra de entropía
Es el logaritmo en base 2 del número estimado de intentos. Por debajo de 40 bits se descifra sin esfuerzo, entre 60 y 80 basta para cuentas de uso diario y por encima de 80 hay margen: el comprobador de contraseñas clasifica el resultado con esa escala.
Los dos tiempos de descifrado
Las dos cifras describen la misma contraseña. Cambian porque la forma en que se guardó decide a qué velocidad se puede atacar.
Contra MD5 o SHA-1, un atacante prueba alrededor de un billón de contraseñas por segundo; contra bcrypt, unos pocos miles. Casi nunca eliges cuál te protege, así que la cifra que importa es la del hash rápido que muestra este comprobador de contraseñas.
Qué hacer si el resultado es débil
No la parchees. Añadir un símbolo a una contraseña que este comprobador de contraseñas acaba de calificar de débil la mueve unos pocos bits, como mucho.
Sustitúyela por una generada: el generador de contraseñas para las que rellena un gestor, o el generador de frases de contraseña para las pocas que tienes que escribir de memoria.
Preguntas frecuentes
¿Se envía mi contraseña a algún sitio?
No. La analiza JavaScript en tu navegador y nunca sale de la página. Puedes comprobarlo abriendo el panel de red del navegador mientras escribes, o desconectándote de internet: el comprobador sigue funcionando.
¿Debo escribir mi contraseña real?
Si tienes cualquier duda sobre un sitio, no lo hagas, y eso incluye este. Una contraseña con la misma forma —la misma longitud y la misma mezcla de caracteres— da casi el mismo resultado sin ningún riesgo.
¿Por qué mi contraseña sale peor aquí que en otros comprobadores?
La mayoría mide la variedad de caracteres, y con ese criterio C0ntr@seña1 parece fuerte. Este comprobador de contraseñas la reconoce como una palabra muy usada con cambios previsibles y puntúa lo que de verdad tendría que hacer un atacante: unos 19 bits.
¿Qué significa la cifra de entropía?
Es el logaritmo en base 2 del número de intentos que estimamos que necesita un atacante. Cada bit más duplica esa cifra. Por debajo de 40 bits se descifra sin esfuerzo; por encima de 80 hay margen.
¿Por qué aparecen dos tiempos de descifrado?
Porque la respuesta depende de cómo guardó tu contraseña el sitio. Contra un hash rápido como MD5, un atacante prueba alrededor de un billón de contraseñas por segundo; contra bcrypt, unos pocos miles. Casi nunca puedes elegir cuál te protege.
¿Sirve de algo añadir un símbolo al final?
Muy poco. Las reglas de descifrado prueban primero a añadir signos y números, así que contraseña! apenas cuesta 5 bits más que contraseña. Alargarla, o quitar la palabra del diccionario, sirve mucho más.
¿Guarda lo que escribo?
No. No se escribe nada en el almacenamiento del navegador, no se añade nada a la URL y ningún evento de analítica registra lo que escribes. Al cerrar la pestaña desaparece por completo.
Mi contraseña ha obtenido un buen resultado. ¿Mi cuenta está a salvo?
Significa que la contraseña resiste los intentos de adivinarla. No dice nada de si el sitio que la guarda ha sufrido una filtración, ni de si la has usado en otros sitios. Que sea única importa tanto como que sea fuerte.
¿Por qué no comprueba si mi contraseña se ha filtrado?
Porque para saberlo hay que enviar algo fuera de tu navegador: la contraseña o una parte de su hash, y esta página promete no hacerlo. Si quieres esa comprobación, haveibeenpwned.com la ofrece y explica qué envía y cómo lo protege.
Más generadores gratuitos
Todos los generadores de este sitio funcionan en tu navegador, sin cuenta y sin límites, igual que este comprobador de contraseñas. Los de claves y secretos y el de UUID, de momento, solo están en inglés.
Herramientas de contraseñas
Generadores aleatorios
- Generador de cadenas aleatoriasCadenas seguras de cualquier longitud y alfabeto.
- Generador de letras aleatoriasUna letra al azar, con la ñ, o muchas de una vez.
- Generador de códigos aleatoriosCupones, vales y números de serie, por lotes.
- UUID Generator (en inglés)Version 4 UUIDs, single or by the hundred.
- Generador de PINPIN numéricos que nunca son 1234.
Claves y secretos
- API Key Generator (en inglés)Prefixed keys in common formats.
- Secret Key Generator (en inglés)128 to 512-bit secrets in hex or Base64.
- JWT Secret Generator (en inglés)HS256, HS384 and HS512 signing secrets.
- Salt Generator (en inglés)Random salts for password hashing.
- Hash Generator (en inglés)SHA-256, SHA-384 and SHA-512 in-browser.
Metodología
Actualizado el
Cómo se calcula la estimación
intentos = mín(puesto en la lista común, puesto con adornos, puesto en el diccionario, coste de secuencia, coste de repetición, fuerza bruta)
Cada vía da un número de intentos y gana el menor, porque un atacante toma el camino más barato. La entropía es log₂(intentos). La fuerza bruta, conjunto^longitud ÷ 2, solo entra como límite superior y rara vez es la respuesta para una contraseña que alguien inventó.
Dónde la estimación es generosa
Los adornos se cobran por todo su espacio de caracteres. Verano2024! se puntúa como si el 2024! final pudiera ser cualquier combinación de cinco caracteres que no son letras, cuando en la práctica un atacante prueba antes los años.
Los ataques reales contra contraseñas con esa forma son más rápidos de lo que sugiere esta página, así que toma cada cifra como el máximo de seguridad que puedes esperar.
Qué no se comprueba
Ni palabras en español fuera de las 10 000 más usadas, ni nombres, ni contraseñas comunes en otros idiomas, ni el parecido con tu correo o tu nombre de usuario. La biblioteca zxcvbn hace todo eso y es mejor herramienta si puedes permitirte unos 200 KB de JavaScript. Este estimador, con sus listas, ocupa unos 160 KB.
De dónde salen las listas
Las 20 000 contraseñas comunes reúnen la lista de 10 000 de SecLists y las 10 000 siguientes de zxcvbn-ts (licencia MIT); las dos proceden de filtraciones publicadas. Las 10 000 palabras más usadas en español salen de las frecuencias de OpenSubtitles2024 (OPUS, licencia ODC-BY), a través de zxcvbn-ts.
Las frases de contraseña se reconocen además con las dos listas en español de los generadores de este sitio, de 1024 y 4096 palabras.
Privacidad
Lo que escribes se pasa a una función y a nada más. Nunca se envía por la red, no se escribe en localStorage, no aparece en la URL y no se adjunta a ningún evento de analítica.
Las listas en español se descargan al cargar la página, no mientras escribes. Las páginas en español no cargan Google Analytics, y lo que escribes nunca forma parte de ningún recuento.
Compruébalo con el panel de red del navegador, o desconectándote de internet: el comprobador sigue funcionando sin conexión.