Cómo se usa
- Escriba una contraseña en el campo Contraseña. Queda oculta; pulse Mostrar para leer lo que ha escrito.
- Lea la Entropía estimada y la etiqueta Fuerza. Más bits significan más adivinanzas para un atacante.
- Compruebe las líneas Tiempo medio para descifrarla, a tres velocidades indicadas y las comprobaciones del NIST que aparecen debajo.
- Mire Patrones encontrados para ver qué partes de la contraseña probaría primero un adivinador.
Cómo funciona la estimación
Cada carácter que ningún patrón cubre cuesta log2 del conjunto, es decir, el número de caracteres que permiten las clases de la contraseña: 26 minúsculas, 26 mayúsculas, 10 cifras, 33 símbolos y el espacio, y 100 para los demás caracteres. Un patrón cuesta sus propios bits: una palabra de la lista de contraseñas comunes cuesta los bits de su puesto, una repetición o una sucesión en orden cuesta poco, y lo mismo ocurre con un recorrido de teclas vecinas o con un año.
La estimación es la forma más barata de dividir la contraseña en caracteres y patrones. No se cuenta el orden en que un adivinador probaría las partes, así que la estimación puede quedarse un poco baja. Cada cifra es un modelo de escala, no una medición de un ataque real.
entropía si fuera aleatoria = longitud × log2(conjunto); estimación = la división más barata en caracteres y patronesLo que dice el NIST SP 800-63B
Una contraseña usada sola debe tener al menos 15 caracteres, y una contraseña usada solo como parte de un inicio de sesión con varios factores puede tener 8. Un verificador debe aceptar al menos 64 caracteres y debe admitir espacios y todos los caracteres imprimibles.
Los verificadores no deben imponer reglas de composición, como mezclar tipos de caracteres, ni exigir un cambio periódico salvo que haya indicios de que la contraseña fue comprometida. Deben comparar la contraseña completa con una lista de contraseñas comunes o filtradas, deberían permitir pegarla, y deben admitir los gestores de contraseñas y el autorrelleno.
Qué comprueba la lista de contraseñas comunes
La lista tiene 10.001 contraseñas comunes del conjunto SecLists, y está en inglés: la mayoría de sus entradas son palabras inglesas, nombres y series de cifras. Algunas palabras españolas aparecen en ella, como «amor» o «hola», pero no está pensada para el español: «clave» o «contraseña» no figuran en ella.
Por eso la página no reconoce como común una contraseña española que no esté en la lista. La página no añade palabras al conjunto de datos; en una contraseña en español, fíjese sobre todo en la longitud y en la falta de patrones.
Ejemplo resuelto: Password2026
Password2026 tiene 12 caracteres tomados de 62 posibles (minúsculas, mayúsculas y cifras), así que si fuera aleatoria su entropía sería 12 × log2(62), es decir, 71,5 bits.
Su patrón es barato: password es la primera palabra de la lista de contraseñas comunes, que está en inglés (puesto 1), y cuesta 0 bits, más 1 bit por la mayúscula P; 2026 es un año, que cuesta log2(140), unos 7,1 bits. La estimación es de 8,1 bits: débil, y unas 280 adivinanzas de media, así que cae en una fracción de segundo incluso a la velocidad en línea.
Preguntas frecuentes
¿Se envía la contraseña a un servidor o se guarda?
No. La página analiza la contraseña en su navegador y no hace ninguna petición que la contenga. La lista de contraseñas comunes es un archivo que sirve este sitio, y la página lo carga, pero la contraseña en sí nunca se envía, y al recargar la página se olvida.
¿Por qué Password1! es débil si tiene una mayúscula, una cifra y un símbolo?
Los adivinadores prueban primero las palabras comunes, con los añadidos habituales, así que mezclar tipos aporta poco. El NIST SP 800-63B da justamente este ejemplo y constata que las reglas de composición aportan poco; la longitud y una comprobación contra contraseñas comunes importan más.
¿Qué significa el valor de entropía?
Es el número de bits de la elección estimada en la contraseña. Cada bit adicional duplica las adivinanzas necesarias de media, así que 60 bits son mucho más difíciles de adivinar que 40.
¿Por qué difieren tanto los tres tiempos?
Usan tres velocidades indicadas: un ataque en línea sin límite de intentos, un ataque sin conexión contra un hash lento y un ataque sin conexión contra un hash rápido en una tarjeta gráfica. Los atacantes reales difieren de las tres; las velocidades solo muestran la escala.
¿Un resultado fuerte significa que la contraseña es segura para usarla?
No por sí solo. La página no comprueba si la contraseña se filtró ni si la reutiliza en otro sitio. Use una contraseña distinta para cada cuenta, y un gestor de contraseñas para guardarlas.
¿Por qué 15 caracteres, si el NIST permite 8?
El NIST fija 15 para una contraseña usada sola, y permite 8 cuando es un factor de un inicio de sesión con varios factores. La página muestra la cifra para un solo factor, porque es la más estricta.
¿Por qué la lista de contraseñas comunes es tan corta?
El NIST aconseja una lista de bloqueo de valores muy usados, y dice que una lista excesivamente larga aporta poco. La página usa las 10.001 contraseñas más comunes de la lista SecLists, publicada con licencia MIT.
¿La lista sirve para detectar contraseñas en español?
Solo en parte. La lista está en inglés, así que muchas palabras españolas no se reconocen como comunes aunque sean frecuentes. Para una contraseña en español, la longitud y la ausencia de patrones son las comprobaciones que más cuentan.
Fuentes
- NIST (en inglés): SP 800-63B, Digital Identity Guidelines: Authentication and Lifecycle Management
- SecLists (en inglés): 10k-most-common.txt (licencia MIT)
Cifras y texto revisados por última vez el martes, 10 de noviembre de 2026.