¿Qué longitud debe tener una contraseña? Las cuentas, claras

Las reglas de contraseñas adoran los símbolos: una mayúscula, un número, un carácter especial. A los atacantes les importa mucho más otra cosa: cuántas contraseñas posibles tendrían que probar.

Cada carácter multiplica el trabajo

Con minúsculas, mayúsculas, números y símbolos, el generador de 4Dev elige entre 88 caracteres posibles. Cada carácter extra multiplica por 88 el número de combinaciones. Añadir longitud hace crecer la búsqueda de forma exponencial; añadir un símbolo a una contraseña corta apenas ayuda.

8 caracteres   88^8  ≈ 3,6 × 10^15  ≈ 52 bits
12 caracteres  88^12 ≈ 2,2 × 10^23  ≈ 78 bits
16 caracteres  88^16 ≈ 1,3 × 10^31  ≈ 103 bits

Qué significa en la práctica

Cuando se filtra una base de datos de hashes de contraseñas, los atacantes prueban sin conexión con tarjetas gráficas, miles de millones de intentos por segundo contra hashes rápidos. Una contraseña aleatoria de 8 caracteres puede caer en horas o días. Con 12 llevaría decenas de miles de años, y 16 caracteres quedan fuera de cualquier ataque realista.

La palabra clave es aleatoria

Estas cifras solo valen para contraseñas realmente aleatorias. Verano2024! tiene 11 caracteres, pero está entre los primeros intentos de un atacante porque sigue un patrón humano. Palabras, nombres, fechas y secuencias del teclado se prueban mucho antes que las cadenas aleatorias.

Consejos prácticos

Usa al menos 12 caracteres, y 16 o más para el correo, el banco y todo lo que pueda restablecer otras cuentas. Una contraseña distinta para cada sitio, guardada en un gestor de contraseñas, y verificación en dos pasos siempre que puedas. Si un sitio rechaza símbolos, añade unos caracteres más.

Frases de contraseña: largas y fáciles de recordar

Para las pocas contraseñas que tienes que escribir o recordar, como la contraseña maestra de tu gestor de contraseñas, una frase de palabras aleatorias funciona muy bien. Con la lista Diceware de 7.776 palabras, cada palabra elegida al azar añade unos 12,9 bits.

5 palabras aleatorias  7776^5 ≈ 2,8 × 10^19  ≈ 64 bits
6 palabras aleatorias  7776^6 ≈ 2,2 × 10^23  ≈ 77 bits

Seis palabras aleatorias son más o menos tan fuertes como una contraseña aleatoria de 12 caracteres y mucho más fáciles de teclear. Las palabras deben elegirse al azar, con dados o con un generador: una cita, una letra de canción o una frase inventada son mucho más débiles de lo que parecen.

Reglas que no ayudan

Las directrices del NIST (SP 800-63B) desaconsejan obligar a cambiar la contraseña periódicamente y las reglas de composición como «un número y un símbolo». Ambas empujan a la gente hacia patrones previsibles como Password1! y Password2!. Mejores reglas: permitir contraseñas largas, permitir pegar para que funcionen los gestores de contraseñas y comprobar las contraseñas nuevas contra listas de contraseñas expuestas en filtraciones conocidas.

Cuando un sitio que usas sufre una filtración

Cambia esa contraseña de inmediato, y también en cualquier otro sitio donde la hayas reutilizado. Los atacantes prueban los pares de correo y contraseña filtrados en otros sitios en cuestión de horas, una técnica llamada credential stuffing. Una contraseña distinta para cada sitio convierte una filtración en un solo problema en lugar de muchos.

Genera una con seguridad

El generador de contraseñas de 4Dev crea contraseñas en tu navegador con crypto.getRandomValues, el generador aleatorio criptográficamente seguro del navegador. Elige entre 4 y 128 caracteres y qué grupos de caracteres incluir; no se envía nada a ningún servidor ni se guarda.

Abrir el generador de contraseñas