Qué hace realmente fuerte a una contraseña
Importan cuatro propiedades. Casi todo el consejo que se repite habla de la menos importante.
Las cuatro propiedades
- Longitud: el factor dominante frente a la fuerza bruta. Cada carácter multiplica el espacio de búsqueda.
- Aleatoriedad: selección impredecible, para que no sirvan patrones, diccionarios ni gramática.
- Unicidad: no reutilizarla, para que una filtración ajena no llegue a esta cuenta.
- Almacenamiento: en un gestor de contraseñas, no en la memoria ni en un archivo de notas.
Lo que no la hace fuerte
Sustituir letras por símbolos (p@ssw0rd) es una transformación conocida que las herramientas de ruptura aplican automáticamente. Te cuesta precisión al teclear y no aporta casi nada.
Los datos personales —nombres, fechas, mascotas, equipos— son lo primero que prueba un atacante dirigido, y a menudo son públicos.
Las reglas que obligan a una de cada clase de carácter tienden a producir patrones tipo «Verano2024!», predecibles y difíciles de recordar a la vez.
La receta práctica
Usa un gestor para guardar una contraseña aleatoria de 16 caracteres por cuenta. Para las pocas que debes memorizar —la maestra del gestor, el código de un dispositivo— usa una frase de seis palabras aleatorias: unos 78 bits y, sobre todo, recordable.
Después arregla el almacenamiento, porque es lo que rompe todo lo demás: una contraseña reutilizada convierte cualquier filtración en una cadena de cuentas tomadas.
Preguntas frecuentes
¿Cuánto debe medir una contraseña fuerte?
16 caracteres del juego completo, unos 103 bits. Por encima de eso, el riesgo se desplaza de la adivinación al phishing.
¿Son fiables los generadores de contraseñas?
Si se ejecutan en local y usan una fuente criptográfica, sí. Lo primero puedes comprobarlo tú mismo en la pestaña Red del navegador.
¿El doble factor sustituye a una contraseña fuerte?
Cubre fallos distintos —phishing y reutilización—, pero no excusa una contraseña débil o repetida. Usa las dos cosas.