Cómo crear una contraseña segura
- Elige contraseña aleatoria para guardarla en un gestor, o frase de contraseña si vas a escribirla o dictarla.
- Usa 20 caracteres o más, o 7 palabras con número. El medidor te muestra la entropía en bits.
- Desactiva los símbolos solo si el sitio los rechaza, y compensa con más longitud.
- Copia la clave y guárdala en tu gestor de contraseñas antes de cerrar la página.
- Activa la verificación en dos pasos en la cuenta.
Qué recomiendan NIST, CISA e INCIBE
Estas son las pautas de tres organismos públicos de ciberseguridad. NIST es el instituto de estándares de Estados Unidos; CISA, su agencia de ciberseguridad; INCIBE, el Instituto Nacional de Ciberseguridad de España.
| Pauta | Qué dice | Fuente |
|---|---|---|
| Longitud mínima | 15 caracteres si la contraseña es el único factor; 8 si siempre se usa junto con un segundo factor | NIST SP 800-63B |
| Longitud recomendada | Al menos 16 caracteres aleatorios, o una frase de 4 a 7 palabras sin relación | CISA |
| Longitud máxima | Los servicios deberían aceptar al menos 64 caracteres | NIST SP 800-63B |
| Tipos de caracteres | Los servicios no deben exigir mezclas de mayúsculas, números o símbolos | NIST SP 800-63B |
| Cambios periódicos | No obligar a cambiarla cada cierto tiempo; sí cuando hay indicios de filtración | NIST SP 800-63B |
| Una por cuenta | No reutilizar la misma contraseña y guardarlas en un gestor de contraseñas | CISA e INCIBE |
| Segundo factor | Activar la autenticación de dos factores siempre que el servicio lo permita | INCIBE |
Qué es la entropía de una contraseña
La entropía mide cuántas combinaciones tendría que probar alguien para adivinar una clave generada al azar. Se expresa en bits y cada bit duplica el trabajo. En una contraseña aleatoria es longitud × log2(caracteres posibles); en una frase, palabras × log2(palabras de la lista).
| Clave generada al azar | Alfabeto | Entropía |
|---|---|---|
| 8 caracteres, solo minúsculas | 26 | ≈ 38 bits |
| 12 caracteres, los cuatro grupos | 85 | ≈ 77 bits |
| 16 caracteres, los cuatro grupos | 85 | ≈ 103 bits |
| 20 caracteres, los cuatro grupos | 85 | ≈ 128 bits |
| 7 palabras de esta herramienta y un número | 1,800 palabras | ≈ 82 bits |
Los tramos del medidor son un criterio de esta herramienta: menos de 60 bits, débil; de 60 a 79, aceptable; de 80 a 99, fuerte; 100 o más, muy fuerte. Como referencia, una clave aleatoria de 16 caracteres, la longitud que recomienda CISA, ronda los 100 bits. La entropía solo vale para claves generadas al azar: una contraseña inventada por una persona, con nombres o fechas, tiene mucha menos aunque sea larga.
Contraseña aleatoria o frase de contraseña
- Contraseña aleatoria: más entropía por carácter. Ideal para todo lo que guardas en un gestor y nunca escribes a mano.
- Frase de contraseña: más larga, pero fácil de teclear en un celular o un televisor y de dictar sin errores. Útil para la clave maestra del gestor o el Wi-Fi de invitados.
Las palabras de la lista no llevan tildes ni eñes para que la frase se escriba igual en cualquier teclado.
Errores comunes con las contraseñas
- Repetir la misma clave en el correo, el banco y las redes del negocio.
- Usar el nombre de la empresa, el RUC, fechas o el número de teléfono.
- Compartir accesos por chat en lugar de usar las funciones para invitar usuarios de cada plataforma.
- Guardar las claves en una nota del celular o en una hoja de cálculo sin cifrar.
- Dejar la verificación en dos pasos desactivada en Meta Business, Google y el correo.
Preguntas frecuentes sobre contraseñas seguras
¿Cuántos caracteres debe tener una contraseña segura?
La guía NIST SP 800-63B pide al menos 15 caracteres cuando la contraseña es el único factor de acceso y 8 cuando se combina con otro factor, como un código en el celular. CISA recomienda al menos 16 caracteres aleatorios. Este generador parte de 20.
¿Qué es una frase de contraseña?
Es una clave formada por varias palabras elegidas al azar, como Brisa-Tambor-Ocaso-Lima-Pato-Reloj-Quinua-42 (no la uses: ya es pública). Es más fácil de escribir y de dictar que una cadena de símbolos. CISA sugiere frases de 4 a 7 palabras sin relación entre sí; con la lista de esta herramienta, 7 palabras y un número superan los 80 bits.
¿Qué significa la entropía en bits?
Mide cuántas combinaciones tendría que probar un atacante para adivinar una contraseña generada al azar. Cada bit adicional duplica las combinaciones. Se calcula como longitud × log2(número de caracteres posibles), o palabras × log2(tamaño de la lista) en una frase.
¿Es obligatorio mezclar mayúsculas, números y símbolos?
No. NIST pide a los servicios no exigir mezclas de tipos de caracteres y considera la longitud un factor principal de la fortaleza. Los símbolos amplían el alfabeto y suben la entropía, pero si un sitio rechaza alguno, desactívalos y alarga la contraseña.
¿Cada cuánto debo cambiar mis contraseñas?
Solo cuando haya indicios de que se filtró. NIST indica que los servicios no deben obligar a cambiarlas de forma periódica. Lo importante es que cada cuenta tenga una contraseña distinta.
¿Esta herramienta guarda o envía mi contraseña?
No. Se genera en tu dispositivo con crypto.getRandomValues, la fuente criptográfica del navegador. No se envía a ningún servidor ni se guarda en el navegador.
Herramientas relacionadas
Crea un código QR de Wi-Fi para que tus clientes se conecten a la red de invitados sin dictar la clave, o vuelve al directorio de utilidades gratuitas.