Contraseña segura

Una contraseña segura es aquella que un atacante no puede adivinar ni descifrar en un tiempo razonable, ni con diccionarios de palabras comunes ni con fuerza bruta. La seguridad de una contraseña se mide por su entropía: cuántas combinaciones posibles existen y cuánto cuesta probarlas todas.

¿Qué hace fuerte a una contraseña?

Dos factores dominan:

1. Longitud: cada carácter adicional multiplica el espacio de búsqueda. Una contraseña de 12 caracteres con solo letras minúsculas (26 símbolos) tiene 26¹² ≈ 9,5 × 10¹⁶ combinaciones. Una de 8 con mayúsculas, minúsculas, números y símbolos (94 símbolos) tiene 94⁸ ≈ 6,1 × 10¹⁵ combinaciones —¡menos que la de 12!

2. Aleatoriedad: las contraseñas predecibles —palabras de diccionario, fechas, nombres propios, sustituciones obvias (p4ss0rd)— son mucho más fáciles de romper aunque sean largas, porque los ataques de diccionario las prueban antes que la fuerza bruta pura.

Cuánta entropía necesitas

La entropía se mide en bits. Un atacante que prueba 10.000 millones de intentos por segundo necesita:

Una contraseña aleatoria de 16 caracteres de un conjunto de 94 tiene ≈ 105 bits de entropía, más que suficiente para cualquier uso práctico.

Reglas para crear contraseñas fuertes

• Larga y aleatoria: 16+ caracteres generados por un generador aleatorio, no por ti.
• Única por servicio: si reutilizas contraseñas y uno de esos servicios sufre una brecha, todas tus cuentas están comprometidas.
• Sin patrones personales: nombres, fechas de cumpleaños, nombres de mascotas o ciudades favoritas son lo primero que prueban los atacantes.
• No la cambies sin motivo: las políticas de cambio periódico obligatorio llevan a contraseñas más débiles (los usuarios añaden un número al final). Cámbiala solo si sospechas que está comprometida.

Frases de paso: una alternativa fácil de recordar

Una frase de paso es una secuencia de palabras elegidas al azar, del tipo cielo-madera-faro-zapato. Con 4 palabras de un diccionario de 7.776 palabras (lista Diceware) obtienes ≈ 51 bits de entropía. Con 6 palabras, más de 77 bits —suficiente incluso frente a atacantes con mucha potencia. La ventaja es que es mucho más fácil de escribir y recordar que Xk#9mT!2.

El papel del hash SHA en el almacenamiento

Los sitios web no deberían guardar tu contraseña tal cual, sino su hash con sal (usando bcrypt o Argon2). Por eso, aunque un sitio sea hackeado y roben la base de datos, las contraseñas no quedan expuestas directamente. Una contraseña larga y aleatoria es aún más resistente a estos ataques porque el hash con sal de contraseñas débiles puede romperse con diccionarios; el de contraseñas fuertes, no.

Por qué necesitas un gestor de contraseñas

Un cerebro humano no puede recordar 50 contraseñas únicas de 16 caracteres aleatorios. Los gestores de contraseñas (Bitwarden, 1Password, KeePass) resuelven el problema: generan contraseñas aleatorias, las guardan cifradas y las autorellenan. Solo necesitas una contraseña maestra fuerte —una buena frase de paso de 6 palabras— y autenticación de dos factores (2FA) para proteger el gestor.