¿Qué hace débil a una contraseña?
Los atacantes no adivinan contraseñas una a una a mano. Usan listas de miles de millones de contraseñas filtradas y reglas que imitan cómo las crea la gente. Una contraseña es débil si aparece pronto en ese proceso, aunque parezca complicada. Los problemas más comunes:
- Es demasiado corta. Cada carácter extra multiplica el trabajo del atacante. Menos de 12 caracteres es arriesgado para cualquier cosa importante.
- Es una palabra, un nombre o una fecha, o una pequeña variación, como
Verano2024!oMax1987. - Sigue un patrón: filas del teclado (
qwerty,1qaz2wsx), repeticiones (aaaa) o secuencias (abcd,4321). - Ya se ha filtrado. En cuanto una contraseña aparece en una filtración, entra en todas las listas de ataque, por segura que pareciera.
- Se reutiliza. Una contraseña segura usada en muchos sitios es tan segura como el más débil de ellos.
Cómo hacerla más segura
- Hazla más larga. La longitud gana a la complejidad. 16 caracteres aleatorios, o 5–6 palabras aleatorias, quedan fuera del alcance de cualquier ataque realista.
- Deja que la elija un ordenador. Las personas somos previsibles; un generador de contraseñas, no. Para las que tengas que recordar, usa una frase de contraseña.
- Usa una contraseña distinta en cada sitio y guárdalas en un gestor de contraseñas.
- Activa la verificación en dos pasos para que una contraseña filtrada no baste para entrar en tu cuenta.
¿Quieres saber más?
Lee (en inglés) cómo se descifran las contraseñas para ver qué prueban primero los atacantes, o contraseña o frase de contraseña para elegir el tipo adecuado para cada cuenta.
Más herramientas gratis
¿Es seguro escribir aquí mi contraseña?
Sí. La comprobación se hace por completo en tu navegador; tu contraseña nunca se nos envía ni se guarda. La comprobación opcional de filtraciones solo envía los 5 primeros caracteres de un hash SHA-1, que no permite recuperar tu contraseña. Aun así, lo más prudente es probar una contraseña parecida a la tuya en vez de la real.
¿Cómo se calcula la seguridad?
Usamos zxcvbn, el estimador de código abierto creado por Dropbox. En lugar de contar tipos de caracteres, busca los patrones que los atacantes prueban primero: contraseñas comunes, palabras, nombres, fechas, filas del teclado como qwerty, repeticiones y secuencias. Después estima cuántos intentos necesitaría un atacante.
¿Qué significan los dos tiempos?
El tiempo en línea supone a alguien adivinando a través de la página de inicio de sesión de un sitio, normalmente limitado a unos 100 intentos por hora. El tiempo sin conexión supone que el sitio ha sido hackeado y su base de contraseñas filtrada, así que los atacantes pueden probar 100 mil millones de intentos por segundo con su propio hardware. Tu contraseña debe resistir este segundo caso.
¿Cómo funciona la comprobación de filtraciones?
Usa el servicio gratuito Pwned Passwords de Have I Been Pwned, con cientos de millones de contraseñas de filtraciones reales. Tu navegador envía los 5 primeros caracteres del hash SHA-1, recibe todos los hashes filtrados que empiezan igual y los compara localmente. El servicio nunca sabe qué contraseña comprobaste.
Mi contraseña es «Segura». ¿Es suficiente?
Para la mayoría de cuentas sí, siempre que no la uses en ningún otro sitio. Para el correo, el banco y tu gestor de contraseñas, apunta a «Muy segura»: una contraseña aleatoria de 16 caracteres o más, o una frase de 6 palabras aleatorias.
¿Por qué C0ntr@seña! sale tan mal?
Porque los atacantes conocen el truco. Cambiar letras por símbolos parecidos, poner una mayúscula al principio y un número o «!» al final es lo primero que prueban los programas de ataque. La verdadera seguridad viene de la longitud y el azar, justo lo que te da nuestro generador de contraseñas.