Comprobador de seguridad de contraseñas
Escribe una contraseña para ver cuánto tardaría un atacante en adivinarla. El comprobador busca los patrones que las herramientas de descifrado reales prueban primero, como contraseñas comunes, palabras, filas del teclado, fechas y sustituciones l33t, y nunca envía tu contraseña a ningún sitio.
Última actualización:
Se comprueba solo en tu dispositivo. Tu contraseña nunca se envía ni se guarda.
Tiempo para descifrarla
| Escenario de ataque | Velocidad de intentos | Tiempo estimado |
|---|---|---|
| En línea, inicio de sesión con límite de intentos | 100 / hora | – |
| En línea, sin límite de intentos | 10 / segundo | – |
| Sin conexión, hash lento (bcrypt, Argon2) | 10 mil / segundo | – |
| Sin conexión, hash rápido (MD5, SHA-1) en GPU | 10 mil millones / segundo | – |
Patrones encontrados
- Escribe una contraseña para ver cómo se adivinaría.
Composición
- Al menos 12 caracteres
- Al menos 16 caracteres
- Letras minúsculas
- Letras mayúsculas
- Dígitos
- Símbolos o espacios
- No es una contraseña común
Cómo usar Comprobador de seguridad de contraseñas
- Escribe o pega una contraseña en el cuadro. Usa el botón del ojo para mostrarla u ocultarla.
- Lee la puntuación y la barra: 0–1 es fácil de adivinar, 2 es arriesgado, 3 es bueno y 4 es muy fuerte.
- Revisa los tiempos para descifrarla en los cuatro escenarios de ataque, desde un formulario de inicio de sesión con límite de intentos hasta un ataque sin conexión a un hash rápido filtrado.
- Mira los patrones encontrados y sigue los avisos y sugerencias.
- Pulsa Comprobar seguridad para repetir el análisis, por ejemplo después de cambiar entre zxcvbn y el estimador integrado.
Qué significa la puntuación de seguridad
| Puntuación | Etiqueta | Intentos estimados | Protege contra |
|---|---|---|---|
| 0 | Demasiado fácil de adivinar | < 103 | Nada: se encuentra en los primeros mil intentos |
| 1 | Muy débil | < 106 | Solo un inicio de sesión con un límite estricto de intentos |
| 2 | Débil | < 108 | Ataques en línea con límite de intentos |
| 3 | Buena | < 1010 | Ataques en línea sin límite; un hash lento filtrado durante un tiempo |
| 4 | Muy fuerte | ≥ 1010 | Ataques sin conexión a un hash lento como bcrypt |
Cómo se estima el tiempo para descifrarla
Tiempo = intentos ÷ intentos por segundo. El número de intentos es la cantidad de pruebas que necesita un atacante inteligente si prueba primero los patrones probables, no el tamaño de todo el espacio de caracteres.
Ejemplo resuelto: sunshine2023 es la contraseña común "sunshine" (puesto aproximado 20) seguida de un año reciente (unas 20 posibilidades). Cada parte de una contraseña más larga cuenta como al menos 50 intentos, así que los dos patrones dan 2! × 50 × 50 + 10,000 ≈ 1.5 × 104 intentos (el factorial cubre el orden de las partes y el término 10,000 el número de partes). A 10 intentos por segundo son unos 25 minutos; contra un hash MD5 rápido cae al instante. Una fórmula ingenua de "conjunto de caracteres" diría 12 × log2(36) ≈ 62 bits y siglos, lo cual es totalmente erróneo.
| Contraseña | Patrones principales | Puntuación típica |
|---|---|---|
password | una de las 10 contraseñas más comunes | 0 |
P@ssw0rd1 | contraseña común + l33t + mayúscula + dígito | 0–1 |
qwerty123 | fila de teclado + secuencia (y una contraseña común) | 0 |
Jennifer1987 | nombre + año | 1 |
Tr0ub4dor&3 | palabra poco común con l33t + 2 caracteres aleatorios | 2–3 |
correct horse battery staple | cuatro palabras aleatorias | 4 |
x7#Qp!9vLm2@Zr | 14 caracteres aleatorios | 4 |
Patrones que los atacantes prueban primero
- Contraseñas filtradas y comunes: se prueban listas de cientos de millones de contraseñas reales antes que cualquier otra cosa.
- Palabras del diccionario y nombres, incluidas palabras al revés y con la primera letra en mayúscula.
- Sustituciones l33t como @ → a, 0 → o, 1 → i o l, 3 → e, $ → s. Las reglas de descifrado las aplican automáticamente.
- Patrones de teclado como qwerty, asdfgh, 1qaz2wsx y secuencias como abcd o 9876.
- Repeticiones (aaaa, abcabc) y fechas y años, sobre todo cumpleaños y años recientes.
- Añadidos comunes: una mayúscula al principio, dígitos o "!" al final.
Consejos para una contraseña segura
- Usa un gestor de contraseñas y deja que genere 16 o más caracteres aleatorios para cada sitio.
- Para las contraseñas que debes recordar, usa una frase de contraseña de 4–6 palabras aleatorias elegidas por un generador, no una cita ni la letra de una canción.
- No reutilices nunca una contraseña: si un sitio sufre una filtración, la prueban en todos los demás (credential stuffing).
- Activa la autenticación en dos pasos siempre que puedas; te protege incluso cuando se filtra una contraseña.
Preguntas frecuentes
¿Es seguro escribir aquí mi contraseña real?
El análisis se ejecuta por completo en tu navegador con JavaScript; la contraseña nunca se envía por la red, ni se registra ni se guarda. Solo se descarga la propia biblioteca zxcvbn. Para mayor tranquilidad, puedes probar una contraseña parecida en lugar de la real.
¿Qué es zxcvbn?
zxcvbn es un estimador de seguridad de contraseñas de código abierto creado en Dropbox. En lugar de contar tipos de caracteres, busca los patrones que los atacantes prueban primero, como contraseñas comunes, palabras, nombres, fechas y patrones de teclado, y estima cuántos intentos necesita un atacante inteligente.
¿Qué significan las puntuaciones de 0 a 4?
0: menos de 1,000 intentos (demasiado fácil de adivinar). 1: menos de un millón (muy fácil de adivinar). 2: menos de 100 millones (algo fácil de adivinar; protege contra ataques en línea con límite). 3: menos de 10 mil millones (segura frente a ataques en línea). 4: 10 mil millones de intentos o más (buena protección incluso si se filtra un hash lento).
¿Por qué P@ssw0rd123! puntúa tan bajo si tiene todos los tipos de caracteres?
Porque las herramientas de descifrado conocen los trucos. P@ssw0rd es la palabra password con sustituciones predecibles, y 123 y ! son los añadidos más comunes. La longitud y la imprevisibilidad importan mucho más que marcar casillas de tipos de caracteres.
¿Cómo se calculan los tiempos para descifrarla?
El número estimado de intentos se divide entre la velocidad de cada escenario: 100 por hora para un servicio en línea con límite, 10 por segundo en línea sin límite, 10,000 por segundo sin conexión contra un hash lento como bcrypt, y 10 mil millones por segundo sin conexión contra un hash rápido como MD5 o SHA-1 en GPU.
¿Qué hace que una contraseña sea segura?
La longitud y la aleatoriedad. Cuatro o más palabras aleatorias sin relación entre sí (una frase de contraseña) o 14 o más caracteres aleatorios de un gestor de contraseñas son excelentes. Evita datos personales, frases comunes, patrones de teclado y sustituciones simples, y nunca reutilices contraseñas en distintos sitios.
¿Qué pasa si zxcvbn no se puede cargar?
El comprobador cambia a su estimador integrado, que usa el mismo enfoque con un diccionario más pequeño: contraseñas comunes, palabras y nombres frecuentes en inglés, l33t, secuencias, repeticiones, filas del teclado y fechas. La insignia sobre los resultados siempre indica qué motor se usó.
¿Se prueban todas las herramientas de FreeToolCabin para comprobar su calidad y precisión?
Sí. Cada herramienta del sitio pasa pruebas automáticas en navegadores reales para comprobar que el resultado es correcto y que no hay errores. Si encuentras un fallo o tienes una sugerencia, escríbenos a [email protected] y lo revisaremos.