Comprobar fuerza de contraseña
Escribe una contraseña y mira los bits, el tiempo estimado y qué tiene de malo.
El análisis se ejecuta en esta página. No se transmite nada: abre la pestaña Red del navegador y compruébalo mientras escribes.
Este comprobador nunca envía la contraseña a ningún sitio: el análisis se ejecuta en la página. Eso importa más que el algoritmo, porque un comprobador que transmite la contraseña es peor que no tener ninguno.
La puntuación se basa en la entropía con penalizaciones por los patrones que los atacantes prueban primero: caracteres repetidos, secuencias de teclado, solo dígitos, años y palabras comunes de contraseña. No es una simulación completa de ataque por diccionario, y la página no afirma que lo sea.
Cómo se usa
- Escribe o pega una contraseña en el campo.
- Lee primero el número de bits y después el tiempo estimado.
- Corrige los avisos listados antes de preocuparte por el color de la barra.
Cómo se calcula la estimación
La cifra base es el tamaño del conjunto de caracteres realmente usado multiplicado por la longitud, en bits. Una contraseña solo de minúsculas tiene un conjunto de 26 caracteres; añadir dígitos lo sube a 36, y así sucesivamente. El resultado se reduce si se detecta un patrón débil: una contraseña de 12 caracteres con «1234» dentro no vale la cifra completa de 12.
El tiempo de ataque supone 10^11 intentos por segundo, aproximadamente un ataque offline con varias GPU contra un hash rápido. Contra un hash lento como bcrypt es pesimista por varios órdenes de magnitud; contra un sitio que guarda texto plano, es optimista.
Revisado el 2026-10-21. Esta herramienta funciona por completo en tu navegador: sin servidor, sin cuenta y sin guardar nada de lo que generas.
Preguntas frecuentes
¿Es seguro escribir aquí mi contraseña real?
El análisis es local, así que no se transmite nada. Si quieres certeza, abre las herramientas de desarrollo, observa la pestaña Red mientras escribes y confirma que no hay ninguna petición.
¿Por qué una contraseña larga puntúa a veces menos de lo esperado?
Porque la longitud no lo es todo. Una contraseña de 20 caracteres hecha de una palabra de diccionario repetida puntúa casi al mínimo: los atacantes prueban patrones antes que fuerza bruta.
¿Qué tiempo de ataque debería buscar?
Más de unos cuantos siglos frente a un ataque offline, que son unos 80 bits. Por encima de eso, el riesgo práctico se traslada al phishing y a la reutilización, no a la adivinación.
Herramientas relacionadas
Más de Contraseñas.