Comprobador de seguridad de contraseñas

Cómo comprobar una contraseña

1. Escribe o pega la contraseña en Contraseña que quieres probar. El campo oculta lo que escribes; pulsa Mostrar para verlo y Ocultar para volver a taparlo.
2. El resultado aparece mientras escribes. La barra de Seguridad va de 0 (Muy débil) a 4 (Muy fuerte).
3. Consulta la tabla Tiempo estimado para descifrarla: da una duración para cada uno de los cuatro tipos de ataque, desde un sitio web que limita los intentos de inicio de sesión hasta una base de datos robada atacada con tarjetas gráficas.
4. Revisa Puntos débiles y consejos. Indica el problema detectado (una contraseña muy común, un patrón de teclado, una fecha, una secuencia repetida…) y propone cómo corregirlo. Estos mensajes se muestran en inglés, porque proceden directamente de la biblioteca de análisis.

La contraseña solo se analiza en esta página. Nunca se envía, se guarda ni se registra, y el campo se vacía al salir de la página. Aun así, lo más prudente es probar una contraseña parecida a la tuya y no la real.

Cómo se calcula la puntuación

Esta herramienta usa zxcvbn, un estimador de contraseñas de código abierto creado originalmente en Dropbox (aquí en su versión TypeScript mantenida, zxcvbn-ts). En lugar de contar mayúsculas y símbolos, piensa como un programa de descifrado: divide la contraseña en fragmentos y busca los patrones que los atacantes prueban primero:

• las contraseñas filtradas más comunes, nombres y apellidos, y palabras frecuentes en inglés y en francés, incluidas las palabras al revés y las sustituciones «l33t» como p@ssw0rd; los diccionarios son de inglés y francés, así que las palabras en español solo se detectan cuando figuran en esas listas;
• recorridos de teclado como qwerty, azerty o 1qaz2wsx;
• caracteres repetidos (aaaa), bloques repetidos (abcabc) y secuencias (abcd, 9876);
• fechas y años recientes.

Después estima cuántos intentos necesitaría un atacante para dar con la contraseña completa, que aparece como Intentos estimados. La puntuación depende de ese número: menos de mil intentos da 0; menos de un millón, 1; menos de 100 millones, 2; menos de 10.000 millones, 3; y cualquier cifra superior, 4.

Los cuatro tipos de ataque

Los tiempos resultan de dividir el número estimado de intentos por la velocidad de cada ataque:

Un ataque en línea consiste en probar contraseñas en un formulario de inicio de sesión. Un ataque sin conexión ocurre tras una filtración de datos, cuando el atacante tiene una copia de los hashes de las contraseñas y puede probar en su propio equipo. La última fila es el peor caso, y es la que debes vigilar para las contraseñas del correo, el banco o el gestor de contraseñas. Los tiempos son medias: un atacante puede tener suerte antes.

Entropía estimada

La Entropía estimada es la cifra clásica de fuerza bruta: longitud × log2(tamaño del conjunto), donde el conjunto es la suma de los tipos de caracteres usados (26 minúsculas, 26 mayúsculas, 10 números, 33 símbolos y 100 para otros caracteres como acentos o emojis). Según esta fórmula, Qwerty123! tiene unos 66 bits, pero zxcvbn le da un 0 (Muy débil) porque es una fila del teclado seguida de un sufijo habitual. La entropía solo tiene sentido para contraseñas elegidas al azar, por ejemplo con un generador; para las inventadas por personas, fíate de la puntuación y de los tiempos.