La respuesta corta
Para cualquier cuenta importante, usa una contraseña aleatoria de 16 caracteres o más con mayúsculas, minúsculas, números y símbolos, y guárdala en un gestor de contraseñas. Si tienes que escribirla o recordarla, usa una frase de 6 o más palabras al azar. La contraseña maestra del gestor y la de tu correo principal merecen ser las más largas, porque desbloquean todo lo demás.
La guía actual del NIST, el organismo de estándares de Estados Unidos (SP 800-63B, revisada en 2025), pide a los servicios exigir al menos 15 caracteres cuando la contraseña es lo único que protege la cuenta, y aceptar contraseñas de al menos 64 caracteres. También les pide dejar de obligar a cambiarlas periódicamente y de exigir mezclas de caracteres, y bloquear en cambio las contraseñas que ya aparecen en listas de filtraciones. En resumen: longitud y una contraseña distinta por cuenta, no reglas complicadas.
Pruébalo aquí: Generador de contraseñas
Abrir la herramienta completaLa entropía explicada fácil
La fuerza de una contraseña se mide en bits de entropía. Cada bit duplica el número de intentos que necesita un atacante. Una contraseña aleatoria tiene longitud por log2(tamaño del conjunto) bits, donde el conjunto es la cantidad de caracteres posibles. Solo minúsculas dan unos 4,7 bits por carácter, letras y números unos 5,95, y el conjunto completo de 87 caracteres del generador de esta página unos 6,44.
Así, una contraseña de 16 caracteres con los cuatro tipos tiene unos 103 bits, y una de 8 caracteres solo unos 51. Cada carácter extra suma 6,44 bits, es decir, multiplica el trabajo por unas 87 veces. Añadir un símbolo a una contraseña corta ayuda mucho menos que añadir varios caracteres.
La entropía solo vale para contraseñas realmente aleatorias. Verano2026! parece tener 11 caracteres variados, pero los atacantes no adivinan letra por letra: prueban palabras, nombres, años y una mayúscula al inicio con un símbolo al final. Su fuerza real es una mínima parte de lo que sugiere la fórmula.
| Longitud | Solo minúsculas | Letras y números | Los 4 tipos (87 caracteres) |
|---|---|---|---|
| 8 caracteres | 38 bits, unos 10 segundos | 48 bits, unas 3 horas | 51 bits, unos 2 días |
| 12 caracteres | 56 bits, unos 55 días | 71 bits, unos 5.000 años | 77 bits, unos 300.000 años |
| 16 caracteres | 75 bits, unos 69.000 años | 95 bits, mucho más que una vida | 103 bits, mucho más que una vida |
| 20 caracteres | 94 bits, mucho más que una vida | 119 bits, mucho más que una vida | 129 bits, mucho más que una vida |
Qué significan los tiempos de descifrado
Los tiempos de la tabla son promedios para un ataque sin conexión a diez mil millones de intentos por segundo, la misma suposición que usa el generador de arriba para su estimación. Esa velocidad es realista para unas pocas tarjetas gráficas atacando una base de datos filtrada que usaba un hash rápido. Los hashes lentos como bcrypt o Argon2 la reducen muchísimo, y un gran clúster en la nube puede aumentarla, así que toma los tiempos como comparación, no como promesa.
Los ataques en línea contra una página de inicio de sesión son mucho más lentos por los límites de intentos, pero no puedes saber cómo guarda cada sitio las contraseñas. Supón que algún día tu contraseña se filtrará como hash y elige una que lo resista. Unos 80 bits son muy fuertes para cualquier cuenta en línea; 100 bits o más es un margen cómodo para una contraseña maestra o una clave de cifrado.
Frases de contraseña o caracteres al azar
Una frase de contraseña son varias palabras elegidas al azar de una lista grande, por ejemplo con dados y la lista Diceware o la de la EFF de 7.776 palabras. Cada palabra suma unos 12,9 bits. Cuatro palabras dan unos 52 bits, cinco unos 65, seis unos 78 y siete unos 90. Seis palabras al azar equivalen más o menos a una contraseña aleatoria de 12 caracteres y son mucho más fáciles de escribir en un teléfono o con el control del televisor.
Las palabras las debe elegir el azar, no tú. Un verso de una canción, un refrán o cuatro palabras que forman una oración ya están en los diccionarios de los atacantes. Separadores y mayúsculas aportan poco; palabras extra aportan mucho.
Usa caracteres al azar cuando la contraseña vive en un gestor y nunca la escribes. Usa una frase para los pocos secretos que debes recordar: el propio gestor, el inicio de sesión de tu equipo y quizá tu correo principal.
| Método | Longitud de ejemplo | Entropía | Ideal para |
|---|---|---|---|
| Caracteres al azar, todos los tipos | 16 caracteres | unos 103 bits | Cuentas guardadas en un gestor |
| Caracteres al azar, todos los tipos | 20 caracteres | unos 129 bits | Claves Wi-Fi, secretos de API, cifrado |
| Palabras al azar (lista de 7.776) | 6 palabras | unos 78 bits | Contraseña maestra, inicio de sesión del equipo |
| Palabras al azar (lista de 7.776) | 7 palabras | unos 90 bits | Contraseña maestra del gestor |
| Dígitos al azar | PIN de 6 dígitos | unos 20 bits | Solo teléfonos y tarjetas con límite de intentos |
El gestor de contraseñas hace lo difícil
Nadie puede recordar 100 contraseñas distintas de 16 caracteres, por eso la gente las repite, y así es como se roban la mayoría de las cuentas: un sitio se filtra y los atacantes prueban el mismo correo y contraseña en todos los demás. Un gestor guarda una contraseña aleatoria distinta para cada sitio y la rellena por ti, así que la longitud no te cuesta nada.
Para la mayoría bastan las opciones integradas: los gestores de Chrome, Edge, Firefox y Safari, la app Contraseñas en iPhone y Mac, y el Gestor de contraseñas de Google en Android se sincronizan entre dispositivos. Las apps dedicadas añaden compartir, acceso de emergencia y soporte para cualquier navegador. Protege el gestor con una frase larga y activa la verificación en dos pasos en él y en tu correo.
Los PIN son un caso aparte
Un PIN de 4 dígitos tiene solo 10.000 combinaciones y uno de 6 dígitos un millón, lo que sería inútil como contraseña. Los PIN funcionan porque el dispositivo impone el límite: un teléfono se bloquea durante horas o se borra tras varios intentos fallidos, y una tarjeta se bloquea al tercer error. Esa protección solo existe en el dispositivo, así que nunca uses un PIN como contraseña de un sitio web.
Evita los PIN que elige todo el mundo: 1234, 0000, 1111, años de nacimiento y fechas. Elige 6 dígitos cuando el dispositivo lo permita y deja que la página del generador de PIN de esta herramienta los elija por ti.
Qué hace débil a una contraseña
- Repetirla: la misma contraseña en dos sitios significa que una filtración abre ambos.
- Datos personales: nombres, mascotas, cumpleaños, tu equipo de fútbol y tu ciudad están en redes sociales.
- Patrones: mayúscula al inicio, un año y un signo de exclamación al final son las primeras variantes que prueban las herramientas.
- Recorridos de teclado: qwerty, 1qaz2wsx y asdfgh están en todas las listas.
- Sustituciones: C0ntr4seña y trucos parecidos son conocidos y no aportan casi nada.
- Cambios mínimos: pasar de clave1 a clave2 tras un cambio obligatorio se adivina al instante.
- Poca longitud: por debajo de 12 caracteres, incluso una contraseña aleatoria puede caer en un ataque sin conexión.
Consejos para usar el generador
Deja activados los cuatro tipos de caracteres salvo que un sitio rechace símbolos; si lo hace, desactívalos y añade 2 o 3 caracteres para mantener la misma fuerza. Activa Evitar caracteres parecidos para contraseñas que vas a dictar o copiar a mano, como la clave Wi-Fi de la etiqueta del router. Esto quita caracteres como 0 y O o 1, l e I y reduce un poco la entropía, así que añade uno o dos caracteres.
Usa Cuántas para crear varias a la vez, por ejemplo contraseñas temporales para cuentas de nuevos empleados. La contraseña se crea con el generador aleatorio seguro de tu navegador y nunca se envía ni se guarda, así que cópiala a tu gestor antes de salir de la página.