Analizador de Fuerza de Contraseñas

Qué hace esta herramienta

Coge una contraseña y te dice cuántos intentos costaría adivinarla de verdad, no cuántos costaría según una fórmula. La diferencia entre esas dos cifras suele ser enorme, y es el motivo por el que existe esta página.

Además del análisis de fuerza, puede comprobar si esa contraseña aparece en alguna filtración pública conocida sin llegar a enviarla. Las dos cosas responden preguntas distintas: la primera, si es adivinable; la segunda, si además ya está circulando en las listas que usan los atacantes.

Todo ocurre en tu navegador. La contraseña no se envía a ningún servidor, no se guarda y no queda en ningún registro.

Cómo usarla

1. Escribe o pega la contraseña en el campo. El análisis se actualiza mientras escribes.
2. Mira la barra y las dos cifras de entropía: la real y la “de manual”.
3. Baja a qué se ha detectado: ahí está el motivo concreto de la puntuación.
4. Si quieres, pulsa comprobar en Have I Been Pwned para saber si está filtrada.

Por qué la fórmula que usan casi todos está mal

El medidor de fuerza típico calcula la entropía así: cuenta los tipos de carácter que usas para deducir el tamaño del alfabeto, y lo eleva a la longitud de la contraseña. Con esa cuenta, Contraseña1! tiene 12 caracteres sobre un alfabeto de 95 símbolos, es decir unos 78 bits. Setenta y ocho bits es una cifra excelente: significaría cientos de miles de años de fuerza bruta.

Pero Contraseña1! no aguanta ni un asalto. Es:

• una palabra de diccionario en español,
• con la primera letra en mayúscula, que es lo que hace todo el mundo,
• un dígito al final, que también es lo que hace todo el mundo,
• y un signo de exclamación, el símbolo que se elige por defecto.

Un ataque por diccionario que pruebe las palabras españolas comunes aplicando esas tres transformaciones la encuentra en unos pocos miles de intentos. La entropía real está por debajo de 25 bits, no en 78.

El problema de la fórmula de manual es que trata todos los caracteres como si fueran independientes y elegidos al azar. En una contraseña que un humano ha inventado, casi nunca lo son.

Cómo se calcula aquí

En lugar de aplicar una fórmula, se buscan patrones. El motor localiza dentro de la contraseña todos los fragmentos reconocibles:

A cada fragmento se le asigna cuántos intentos costaría, y después se busca la combinación de patrones más barata que cubre la contraseña entera. Ese mínimo es la estimación, porque se supone que el atacante encontrará el camino más corto, no el más largo.

Lo que no encaja en ningún patrón sí se cobra a precio de fuerza bruta. Por eso una contraseña realmente aleatoria puntúa alto: no hay nada que descontar.

El hueco que dejan los analizadores en inglés

Casi todas las herramientas de este tipo, y también las librerías que las alimentan, vienen con diccionarios en inglés. Eso significa que para ellas estas contraseñas son cadenas sin estructura:

• holamundo2024
• mexico2026
• tequiero123
• chivas1997
• familia2020

Un medidor con diccionario inglés no reconoce ninguna de esas palabras, no encuentra patrón, y por descarte las trata casi como aleatorias: puntuación alta y varios miles de años de resistencia estimada.

La realidad es la contraria. Los ataques contra cuentas de hispanohablantes usan diccionarios españoles desde hace décadas, y esas cinco contraseñas caen en segundos. Este analizador incorpora listas en español —palabras comunes, nombres de pila, ciudades, equipos de fútbol y las contraseñas más filtradas de la región— precisamente para no dar ese falso aprobado.

Es la razón concreta por la que puedes ver aquí una puntuación más baja que en otras páginas. No es que este medidor sea severo: es que los otros no están mirando.

Los cuatro tiempos, y por qué no dependen solo de ti

La herramienta muestra cuatro escenarios en lugar de un número único, porque un número único sería mentira. Lo que decide cuánto aguanta una contraseña no es solo la contraseña: es cómo la guarda el sitio donde la usas, y eso no lo controlas.

• Login con límite de intentos (~100/hora). El caso normal cuando alguien intenta entrar por la puerta. Casi cualquier cosa razonable aguanta.
• Login sin límite (~10/segundo). Un servicio mal configurado.
• Base de datos filtrada, hash lento (~10 000/segundo). El sitio se filtró, pero guardaba las contraseñas con bcrypt o argon2 bien configurado. Tienes tiempo de cambiarla.
• Base de datos filtrada, hash rápido (~100 000 millones/segundo). El sitio guardaba MD5 o SHA-1 y el atacante tiene GPUs. Este es el caso que importa: es el peor escenario realista y el que decide si tu contraseña era suficiente.

Mira siempre la última fila. Las tres primeras son el escenario optimista.

Y la etiqueta está de acuerdo con esa fila. Es una diferencia deliberada frente a la escala habitual: la mayoría de medidores dan la nota máxima a partir de unos 33 bits, un umbral pensado para el caso del login con límite de intentos. Aplicado aquí produciría una contradicción en la misma pantalla —Mx7$tela saldría como «muy fuerte» mientras la tabla dice que cae en un minuto—, así que los cortes de la escala son los que corresponden a un segundo, una hora, un mes y un siglo en el escenario offline rápido. Por eso esta página es más severa que otras: no es pesimismo, es coherencia con lo que ella misma mide.

Qué es el k-anonimato y por qué puedes fiarte de la comprobación

Comprobar si una contraseña está filtrada parece exigir enviarla, y enviar una contraseña a un tercero es exactamente lo que nunca hay que hacer. La solución es un truco criptográfico sencillo:

1. Tu navegador calcula el SHA-1 de la contraseña. Por ejemplo, 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8.
2. Se envían al servicio solo los cinco primeros caracteres: 5BAA6.
3. El servicio devuelve todos los hashes de su base que empiezan por 5BAA6 — suelen ser varios cientos — junto con cuántas veces ha aparecido cada uno en filtraciones.
4. Tu navegador busca el resto de tu hash en esa lista, en local.

El servidor recibe un prefijo que comparten miles de contraseñas distintas. No sabe cuál era la tuya, ni si alguna de las que devolvió era la tuya, ni siquiera si tu contraseña estaba en la lista. Por eso la comprobación es segura y por eso es opcional: solo se dispara cuando pulsas el botón.

Qué hacer con el resultado

• Aparece en filtraciones: cámbiala ya, y en todos los sitios donde la hayas repetido. Está en las listas que se prueban primero.
• Puntuación baja sin estar filtrada: es adivinable por patrón. Cámbiala igualmente.
• Puntuación alta: bien, pero sigue sin repetirla entre sitios. Una contraseña excelente reutilizada se convierte en el problema de todos tus servicios en cuanto uno de ellos se filtre.

Es también lo que recomienda la guía de identidad digital del NIST, que desde 2017 desaconseja las reglas de composición y la caducidad obligatoria y prioriza la longitud y el cotejo contra listas de filtraciones.

Lo más práctico casi siempre es dejar de inventarlas: un gestor de contraseñas genera una distinta y aleatoria por sitio y tú solo memorizas la maestra. Si prefieres crearlas a mano, el generador de contraseñas las produce con la API criptográfica del navegador.