Contraseña de 8 caracteres
Ocho caracteres es la longitud mínima que aún aceptan los sitios y ya insuficiente para lo importante. El generador crea la mejor contraseña de ocho posible.
Espacio — nueva contraseña · C — copiar · M — ocultar
Longitud de la contraseña
Conjuntos de caracteres
Selecciona al menos un conjunto de caracteres.
Ajustes de la frase de paso
Una lista de 2048 palabras aporta exactamente 11 bits por palabra (método Diceware). Seis palabras son 66 bits; ocho, 88. Las palabras las sortea un generador criptográfico, no una persona: ahí está todo el sentido.
Plantilla de la contraseña
a — minúscula, A — mayúscula, L — cualquier letra, 9 — dígito, # — símbolo, X — letra o dígito, * — cualquier carácter activo, c/v — consonante/vocal. El resto se copia tal cual y \ escapa el carácter siguiente.
Ajuste fino
«Solo símbolos seguros» deja !@#$%^&*_-+=?: casi todos los sitios los aceptan y no rompen la línea de comandos, el CSV ni el SQL.
Contraseñas recientes (solo en esta pestaña)
Qué ocurre con tu contraseña
La contraseña se monta en tu navegador con la fuente criptográfica crypto.getRandomValues y descarte de sesgo, de modo que todos los caracteres son igual de probables.
La página nunca envía contraseñas a un servidor, no las guarda en el navegador y borra el historial al cerrar la pestaña.
Contraseña letra a letra
Deletreo fonético para dictar la contraseña por teléfono. Las mayúsculas se indican aparte.
Cuánto aguanta
Ocho caracteres de los cuatro conjuntos son 94⁸ combinaciones, unos 52 bits. Suena imponente, pero lo que cuenta es el tiempo, no las combinaciones.
Frente a un formulario donde el servidor limita los intentos a cien por segundo, la fuerza bruta llevaría miles de años y la contraseña aguanta. Pero si se filtra una base de hashes, el atacante trabaja sin conexión con sus tarjetas gráficas a decenas de miles de millones de intentos por segundo. Los mismos 52 bits pasan a ser unas horas, o minutos en una granja alquilada.
Las filtraciones ocurren con regularidad, así que hay que suponer el peor caso.
Cuándo bastan ocho
Registros de usar y tirar. Un foro para una única pregunta; un servicio que usarás dos veces. Detrás de esa cuenta no hay nada valioso.
Cuando el sitio no permite más. Todavía ocurre en sistemas bancarios antiguos y portales corporativos. Entonces activa todos los conjuntos, no repitas nunca esa contraseña y añade un segundo factor.
Dónde ocho nunca bastan: correo, banca, gestor de contraseñas, cuentas de trabajo. Son la vía de recuperación de todo lo demás y necesitan dieciséis.
Preguntas
Preguntas frecuentes
¿Cuán robusta es una contraseña de 8 caracteres?
Unos 52 bits de entropía con los cuatro conjuntos. Sin conexión, con una tarjeta gráfica son horas; en una granja moderna, minutos. Frente a un formulario con límite de intentos aún aguanta; frente a una base de hashes robada, no.
¿Por qué los sitios piden justo 8?
Es una herencia de recomendaciones de hace veinte años, cuando el descifrado corría en procesadores a miles de intentos por segundo. Hoy la misma cifra significa otra cosa, pero el requisito sigue ahí.
¿Y si el sitio no permite más de ocho?
Usa todos los conjuntos de caracteres, no repitas nunca esa contraseña en otro sitio y activa la verificación en dos pasos: compensa la longitud corta.
Continuar