Cómo crear una contraseña segura
La seguridad real de una contraseña se mide en bits, y los bits se ganan con longitud, no con símbolos raros. Aquí están los números, las tres reglas que importan y los errores que abren cuentas.
La longitud manda (casi todo lo demás es decoración)
Una contraseña resiste ataques de fuerza bruta por su entropía: cuántas combinaciones debe probar un atacante. Cada carácter elegido al azar entre letras y dígitos (62 símbolos) aporta ~6 bits; por eso duplicar la longitud no suma un poco de seguridad: la multiplica de forma astronómica. "P@ssw0rd!" parece compleja pero es corta y está en todos los diccionarios de ataque; una frase larga de palabras al azar es más fuerte y más fácil de recordar.
La fórmula
Entropía ≈ longitud × log₂(tamaño del alfabeto). Con 62 símbolos: 8 caracteres ≈ 47,6 bits · 16 caracteres ≈ 95,3 bits. Reglas que sí importan: mínimo 14 caracteres, única por sitio, generada al azar (o frase de 4–5 palabras) y con 2FA activado donde exista.
Paso a paso
- Genera la contraseña al azar (con el generador enlazado), de 16 caracteres o más; no la inventes tú: los humanos somos predecibles.
- O construye una frase contraseña: 4–5 palabras sin relación unidas (ej.: "mesa río catorce nube viento"), larga y memorizable.
- Usa una distinta en cada sitio y guárdalas en un gestor de contraseñas: reutilizar es el riesgo número uno real.
- Activa la verificación en dos pasos (2FA) en correo, banco y redes: es la red de seguridad si una clave se filtra.
- Cambia una contraseña solo si hay motivo (filtración, aviso del servicio): la rotación forzada periódica empuja a claves peores.
Ejemplo con números
Por qué la longitud gana: comparemos dos contraseñas alfanuméricas al azar frente a un ataque que prueba millones de millones de combinaciones por segundo (hardware moderno de crack).
| Contraseña | Entropía | Resistencia |
|---|---|---|
| 8 caracteres al azar | 62⁸ combinaciones ≈ 47,6 bits | Se rompe en horas–días con buen hardware |
| 16 caracteres al azar | 62¹⁶ combinaciones ≈ 95,3 bits | Inviable: más que la edad del universo en intentos |
| Frase de 5 palabras comunes | Miles de millones de frases posibles | Fuerte y memorizable: la recomendación práctica |
La lección no es memorizar bits: es que pasar de 8 a 16 caracteres convierte un problema de horas en un problema cosmológico. Y ningún carácter especial compensa una contraseña corta y reutilizada.
Errores comunes
- Reutilizar la misma contraseña en varios sitios: una filtración en el sitio más débil abre todos los demás (ataque de credential stuffing).
- Usar datos personales (nombres, fechas, equipos): son lo primero que prueba un atacante dirigido.
- Confiar en sustituciones tipo "a → @" o "o → 0": los programas de ataque las prueban todas por defecto.
- Apuntar las claves en notas del móvil sin proteger o en un papel junto al monitor: usa un gestor con una contraseña maestra fuerte.
¿Lo calculamos por ti?
Si prefieres no hacer las cuentas a mano, usa la herramienta gratuita: metes tus datos y te da el resultado con el desglose completo, sin registro y sin enviar tus datos a ningún servidor.
Preguntas frecuentes
¿Los símbolos especiales no ayudan nada?
Ayudan un poco (amplían el alfabeto de 62 a ~95 símbolos y cada carácter aporta ~6,6 bits en vez de 5,95), pero añadir 4 caracteres de longitud aporta mucho más que añadir símbolos a una clave corta.
¿Qué gestor de contraseñas uso?
Cualquiera reputado (los integrados de Google, Apple o Microsoft, o dedicados como Bitwarden, que tiene plan gratuito). Lo importante es usar uno: sin gestor, la unicidad por sitio es humanamente imposible.
¿Y si un sitio limita a 12 caracteres?
Usa los 12 con todo el alfabeto permitido y activa el 2FA: con límite corto, la segunda capa pasa a ser tu defensa principal en ese servicio.