Qué necesitas
Un gestor de contraseñas (o un plan para adoptar uno) y la lista de cuentas que más importan: correo, banca, el propio gestor y cualquier cosa que pueda restablecer otras contraseñas.
Cuánta entropía es suficiente
La entropía en bits es longitud × log₂(tamaño del conjunto). Cada bit adicional duplica el número de intentos que necesita un atacante. Las herramientas usan la misma aritmética y el generador muestra el resultado en vivo.
| Longitud | Solo minúsculas (26) | Letras + dígitos (62) | Los cuatro conjuntos (92) |
|---|---|---|---|
| 8 | 38 | 48 | 52 |
| 12 | 56 | 71 | 78 |
| 16 | 75 | 95 | 104 |
| 20 | 94 | 119 | 130 |
Un objetivo habitual para cuentas importantes es al menos 80 bits, que una contraseña de 16 caracteres con los cuatro conjuntos supera con holgura. Las contraseñas solo en minúsculas necesitan muchos más caracteres para alcanzar el mismo nivel.
Fortaleza de la frase según el número de palabras
La entropía de una frase es el número de palabras × log₂(tamaño de la lista). Con la lista de 359 palabras de esta herramienta son 8,49 bits por palabra:
| Palabras | Entropía (bits) |
|---|---|
| 4 | 34,0 |
| 5 | 42,4 |
| 6 | 50,9 |
| 8 | 67,9 |
| 10 | 84,9 |
Una lista Diceware estándar de 7.776 palabras da unos 12,9 bits por palabra, así que seis palabras de esa lista alcanzan unos 77,5 bits. Una lista más corta necesita más palabras para la misma fortaleza, por eso el número de palabras importa más que el separador.
Errores comunes
- Reutilizar una contraseña. El relleno de credenciales prueba contraseñas filtradas en otros sitios. Haz cada una única.
- Construir una contraseña con datos personales. Nombres, cumpleaños y nombres de mascotas se adivinan primero.
- Fiarse de un patrón ingenioso. Una palabra con símbolos intercambiados sigue siendo un patrón previsible.
- Guardar contraseñas en un archivo de notas o en el navegador sin secreto maestro. Usa un gestor con una frase de contraseña fuerte.
- Omitir el segundo factor. Una contraseña fuerte no sirve si te la roban por phishing; el doble factor añade una segunda barrera.
Para profundizar
Cómo se protegen las contraseñas almacenadas en el servidor se compara en MD5 frente a SHA-256 frente a bcrypt y los códigos de las apps de doble factor se explican en Cómo funcionan los códigos de doble factor (TOTP).