Guía completa para crear contraseñas seguras

La mayoría de las filtraciones de cuentas no ocurren porque alguien "adivine" una contraseña genial, sino por tres motivos aburridos: contraseñas reutilizadas entre servicios, contraseñas cortas que se rompen por fuerza bruta y contraseñas basadas en palabras o patrones previsibles. Esta guía explica cómo evitar los tres, con la teoría mínima necesaria para que las decisiones tengan sentido.

1. La única métrica que importa: la entropía

La fuerza real de una contraseña generada al azar se mide en bits de entropía. Un bit equivale a duplicar el número de intentos que necesitaría un atacante. Con 40 bits hay algo más de un billón de combinaciones; con 80 bits, más que estrellas estimadas en el universo observable.

Para una contraseña aleatoria, la entropía se calcula así:

entropía (bits) = longitud × log₂(tamaño del alfabeto)

Si usas los 94 caracteres imprimibles habituales del teclado (mayúsculas, minúsculas, dígitos y símbolos), cada carácter aporta log2(94) ≈ 6,55 bits. Una contraseña de 16 caracteres así tiene unos 105 bits, más que suficiente para cualquier uso civil.

2. Por qué la longitud gana casi siempre

Añadir símbolos a una contraseña sube los bits por carácter, pero solo un poco: pasar de alfanumérico (5,95 bits) al teclado completo (6,55 bits) es un 10 % más por carácter. En cambio, cada carácter adicional multiplica el espacio de búsqueda entero. Duplicar la longitud duplica los bits de entropía.

Consecuencia práctica: si el servicio te deja, una contraseña de 20 caracteres solo con letras y números es más fuerte que una de 10 con todos los símbolos posibles, y además tiene menos problemas de compatibilidad. Reserva los símbolos para exprimir los últimos bits cuando el servicio limita la longitud máxima.

3. Contraseñas aleatorias frente a frases de contraseña

Hay dos formatos válidos, y la elección depende de si vas a teclear la contraseña o no.

Cadena aleatoria (para guardar en un gestor)

Algo como 7v#Kq2$mZ9pL@4xR. Imposible de recordar, y da igual: la recuerda el gestor. Máxima densidad de entropía por carácter. Es lo que produce este generador por defecto. Usa 20–32 caracteres y olvídate.

Frase de contraseña (para lo que sí tecleas)

Para la contraseña maestra del gestor, la del cifrado de disco o la de tu equipo, una frase de palabras aleatorias es más práctica: caballo-lámpara-vinagre-torniquete-42. El método clásico (a veces llamado estilo "diceware") consiste en elegir palabras al azar de una lista larga. Con una lista de 7.776 palabras, cada palabra aporta ~12,9 bits:

• 4 palabras ≈ 52 bits — justo, solo para amenazas bajas.
• 5 palabras ≈ 64 bits — mínimo razonable para una contraseña maestra.
• 6 palabras ≈ 77 bits — recomendación general.
• 7 palabras ≈ 90 bits — para secretos de alto valor.

La clave es que las palabras salgan de un proceso aleatorio real. "Elegir palabras que me gustan" no cuenta: tu cerebro no es una fuente de azar.

4. La regla que más filtraciones evita: una contraseña por sitio

Cuando un servicio sufre una brecha y expone contraseñas, los atacantes prueban esas mismas combinaciones de correo y contraseña en decenas de otros servicios de forma automática. Se llama credential stuffing y funciona precisamente porque la gente repite contraseñas.

Si cada cuenta tiene una contraseña única y aleatoria, una brecha en un foro cualquiera no toca tu correo, tu banco ni tu tienda. Esto es inviable de memoria, y por eso el siguiente paso es usar un gestor de contraseñas (lo cubrimos en Cómo guardar y gestionar tus contraseñas).

5. Qué evitar

• Sustituciones previsibles. P@ssw0rd no engaña a nadie: los programas de descifrado prueban a→@, o→0, i→1 de serie.
• Datos personales. Nombres, fechas, mascotas, equipos, matrículas. Todo eso está en redes sociales y en las listas de los atacantes.
• Patrones de teclado. qwerty, 1q2w3e, asdfghjkl. Están en los primeros puestos de cualquier diccionario de ataque.
• Reglas de "complejidad" hechas a mano. "Una mayúscula al principio y un ! al final" es exactamente lo que el atacante espera. La aleatoriedad de verdad no tiene forma.
• Rotación forzada sin motivo. Cambiar la contraseña cada 30 días empuja a la gente a Verano2026! → Verano2026!!. Cambia una contraseña cuando haya indicios de compromiso, no por calendario.

6. Cómo lo hace Quantum KeyGen

El generador parte de crypto.getRandomValues(), el generador criptográficamente seguro del navegador, y opcionalmente mezcla entropía física del movimiento del ratón o del ruido de la cámara antes de derivar los caracteres. Puedes ajustar longitud, conjuntos de caracteres, mínimo de símbolos, evitar caracteres ambiguos y exigir caracteres únicos. Todo ocurre en tu navegador; nada se envía a ningún servidor. El detalle técnico está en Qué es la entropía y cómo se recolecta.

← Volver al generador