Comprueba la robustez de tu contraseña
El análisis ocurre en tu navegador: ni la contraseña ni su hash salen del dispositivo. Buscamos palabras de diccionario, fechas, recorridos de teclado y plantillas típicas.
Esperando entrada
Escribe una contraseña y mostraremos sus puntos fuertes y débiles.
Chuleta
Cuánto aguanta una contraseña
Fuerza bruta completa sobre una contraseña aleatoria formada por mayúsculas, minúsculas, dígitos y símbolos (94 caracteres), en un equipo que calcula 10¹⁰ hashes por segundo.
| Longitud | Entropía | Fuerza bruta completa |
|---|---|---|
| 6 | 39 bits | menos de un minuto |
| 8 | 52 bits | unas 3 horas |
| 10 | 66 bits | unos 8 años |
| 12 | 79 bits | 77 mil años |
| 16 | 105 bits | 6·10¹¹ years |
| 20 | 131 bits | más que la edad del universo |
Es una cota superior. Los ataques reales casi nunca usan fuerza bruta: empiezan por contraseñas filtradas, diccionarios y reglas de sustitución, y por eso «Contraseña123!» cae en segundos pese a sus doce caracteres y sus cuatro tipos de símbolos.
Contraejemplos
Lo que un atacante rompe en segundos
| Contraseña | Por qué es mala |
|---|---|
| Qwerty123! | recorrido de teclado y plantilla «palabra-dígitos-símbolo» |
| Smith1985 | apellido y año de nacimiento están en bases filtradas |
| P@ssw0rd | las sustituciones @ y 0 son reglas estándar de ataque |
| London2026 | palabra de diccionario más el año actual |
| aaaaaaaa12 | las repeticiones no añaden incertidumbre |
| river-fog-owl | una frase inventada por una persona, no sorteada |
What our analysis does. It measures the alphabet and the length, folds leet substitutions back to letters (0→o, @→a), searches the resulting stem against a 4096-entry word list and greedily covers the password with matches. The more it covers, the cheaper the password is for a dictionary attack.
Después resta puntos por llevar un año dentro, recorridos de teclado, repeticiones triples y la forma «palabra + dígitos + símbolo». El resultado se convierte en bits y en tiempo de descifrado.
La estimación es deliberadamente pesimista: mejor regañar a una buena contraseña que elogiar a una débil. Si quieres una robusta por construcción,take a generated one.
Preguntas
Preguntas frecuentes
¿De verdad no enviáis la contraseña?
Correcto. Toda la comprobación es JavaScript en tu pestaña. La única petición de red de la página es la lista de palabras, idéntica escribas lo que escribas. Puedes desconectar internet tras cargar la página y seguir comprobando.
¿Por qué mi contraseña compleja saca mala nota?
Lo más probable es que tenga una raíz de diccionario, una fecha o un recorrido de teclado. Los programas de descifrado no empiezan por combinaciones al azar, sino por diccionarios y reglas de sustitución: «c0ntr@seña» les cuesta casi lo mismo que «contraseña».
¿Cómo compruebo si mi contraseña se ha filtrado?
Para eso hay una página aparte: comprobación de filtraciones. Está separada a propósito, porque es la única herramienta del sitio que contacta con un servicio externo, y usa k-anonimato: solo salen los cinco primeros caracteres del SHA-1.
Continuar