Comprobador de seguridad de contraseñas

¿Qué tan segura es tu contraseña? Pruébala en privado

La mayoría de las intrusiones en cuentas no implican hacking ingenioso. Ocurren porque una contraseña era corta, predecible o reutilizada de otro sitio que sufrió una filtración. Saber si tu contraseña resistiría un ataque real es el primer paso para arreglarla. Este comprobador gratuito de seguridad de contraseñas estima cuántos intentos necesitaría un atacante, cuánto tardaría en dos escenarios de ataque realistas, qué patrones debilitan tu contraseña y, si quieres, si ya ha aparecido en una filtración de datos conocida.

La privacidad es lo primero. El análisis de seguridad se ejecuta por completo dentro de tu navegador. Tu contraseña no se envía a Prompt Minds ni a nadie más, no se guarda y no se registra. La comprobación de filtraciones es opcional y solo se ejecuta cuando pulsas su botón, e incluso entonces tu contraseña nunca sale de tu dispositivo: solo salen cinco caracteres de un hash criptográfico, como se explica abajo.

Cómo usar el comprobador

1. Haz clic en el cuadro y escribe una contraseña. El primer clic carga el estimador de código abierto zxcvbn (unos 0.8 MB) desde una CDN pública; después, los resultados se actualizan mientras escribes.
2. Usa el botón del ojo para mostrar u ocultar lo que has escrito.
3. Lee el resultado: una etiqueta de seguridad de Muy débil a Muy fuerte, una barra de color, dos estimaciones de tiempo de descifrado, la longitud y el número estimado de intentos.
4. Revisa la lista de reglas simples y lee los avisos y sugerencias de debajo.
5. Opcionalmente, ejecuta la comprobación de filtraciones para ver si la contraseña aparece en la base de datos de contraseñas filtradas de Have I Been Pwned.

Cómo se calcula la puntuación de seguridad

Los medidores a la antigua solo cuentan tipos de caracteres: «tiene una mayúscula, un número, un símbolo, así que es segura». Eso es engañoso: P@ssw0rd1 cumple todas las casillas y sin embargo es de lo primero que prueban los atacantes. Este comprobador usa zxcvbn, un estimador de código abierto creado en Dropbox y publicado bajo licencia MIT, que piensa como un atacante. Divide la contraseña en piezas y reconoce:

• contraseñas comunes y palabras, nombres y apellidos en inglés frecuentes;
• patrones de teclado como qwerty, asdf o 1qaz2wsx;
• secuencias (abcd, 1234) y repeticiones (aaaa, abcabc);
• fechas y años, como 1995 o 14081995;
• sustituciones «l33t»: @ por a, 0 por o, 3 por e, $ por s.

Luego estima el número de intentos necesarios para llegar a tu contraseña si un atacante prueba primero los patrones más probables, y lo convierte en una puntuación de 0 a 4.

Entender los dos tiempos de descifrado

En línea, limitado (100 intentos por hora). Esto modela a alguien que prueba contraseñas en una página de inicio de sesión real que limita los intentos. Incluso las contraseñas débiles pueden tardar días aquí, pero este no es el peligro principal.

Sin conexión, hash rápido (10 mil millones de intentos por segundo). Esto modela el peor caso: la base de datos de contraseñas de un sitio web ha sido robada y estaba guardada con un método de hash rápido, así que el atacante puede probar intentos en hardware potente sin límite. Si el tiempo sin conexión son segundos o minutos, supón que la contraseña caería rápido en una filtración. Busca años o siglos aquí.

Ejemplos

Fíjate en dos cosas. Una contraseña aleatoria corta con símbolos puede tener un tiempo sin conexión modesto, porque 12 caracteres no son tantos. Y una frase de palabras corrientes, si es lo bastante larga, puede superarla. La longitud es el factor individual más poderoso. (La famosa «correct horse battery staple» en sí no debe usarse ahora: es muy conocida.)

Una limitación honesta: nombres indios y palabras en hindi

Las listas de palabras integradas de zxcvbn son sobre todo en inglés. Eso significa que las contraseñas hechas con nombres indios, apellidos, ciudades o palabras en hindi escritas con letras inglesas pueden parecerle al comprobador más seguras de lo que realmente son. Por ejemplo, un nombre seguido de un año de nacimiento puede obtener una puntuación alta mientras el tiempo de descifrado sin conexión sigue siendo de menos de un segundo. Los atacantes reales usan listas de nombres regionales, patrones de números de teléfono y contraseñas filtradas de sitios web indios, así que trátalas como débiles diga lo que diga cualquier medidor. Evita nombres, apodos, cumpleaños, aniversarios, números de móvil, números de vehículo y códigos PIN en las contraseñas.

La comprobación de filtraciones y el k-anonimato

Have I Been Pwned es un servicio gratuito y de amplia confianza dirigido por el investigador de seguridad Troy Hunt que recopila contraseñas expuestas en filtraciones de datos públicas. Si tu contraseña está en esa lista, los atacantes ya la tienen en sus diccionarios, sin importar lo compleja que parezca. La comprobación de aquí usa una técnica de privacidad llamada k-anonimato:

1. Tu navegador calcula localmente el hash SHA-1 de la contraseña.
2. Solo los primeros cinco caracteres hexadecimales de ese hash se envían a la API de Pwned Passwords.
3. El servicio responde con cada sufijo de hash de su base de datos que empieza con esos cinco caracteres (normalmente cientos), junto con entradas de relleno para que el tamaño de la respuesta no revele nada.
4. Tu navegador busca tu hash completo en esa lista en tu propio dispositivo.

El servicio nunca conoce tu contraseña ni siquiera su hash completo. Si la comprobación encuentra una coincidencia, deja de usar esa contraseña en todas partes. Si no, es una buena noticia pero no una garantía de seguridad.

Cómo crear una contraseña segura

• Deja que una herramienta la genere. Nuestro generador de contraseñas crea contraseñas aleatorias en tu navegador. Una contraseña aleatoria de 14 o más caracteres es muy segura.
• O usa una frase de contraseña. Elige cuatro o más palabras aleatorias y no relacionadas y añade un separador o un número: mango-river-pencil-74. Es larga y fácil de escribir en un teléfono.
• Haz que cada contraseña sea única. Reutilizar es el mayor riesgo: una filtración abre todas las cuentas con la misma contraseña.
• Usa un gestor de contraseñas para guardarlas, de modo que solo necesites recordar una frase de contraseña maestra segura.
• Activa la autenticación en dos pasos para el correo, la banca, las apps de UPI y las redes sociales. Así, ni una contraseña robada es suficiente.

Qué recomiendan las guías actuales

La guía moderna, incluidas las pautas de identidad digital del NIST en Estados Unidos, se ha alejado de las reglas de composición complicadas y de los cambios periódicos forzados. En su lugar favorece contraseñas más largas, permitir todos los caracteres incluidos los espacios, revisar las contraseñas nuevas contra listas de contraseñas filtradas y comunes, y cambiar una contraseña cuando hay evidencia de que está comprometida. Este comprobador sigue el mismo criterio: premia la longitud y la imprevisibilidad y te ayuda a filtrar contraseñas ya filtradas.

Proteger las cuentas que más importan

No todas las cuentas necesitan el mismo esfuerzo, pero unas pocas merecen tus mejores contraseñas. Tu correo principal va primero: quien lo controla puede restablecer la contraseña de casi todas las demás cuentas que tienes. Después vienen la banca y las apps de UPI, la cuenta del operador de tu número móvil, el almacenamiento en la nube con fotos y documentos, y las cuentas de redes sociales que usas para hablar con amigos y familiares: una cuenta secuestrada de WhatsApp o Instagram suele usarse para pedir dinero a tus contactos. Para cada una de ellas, usa una contraseña larga y única, activa la autenticación en dos pasos y mantén actualizados los datos de recuperación como el correo de respaldo y el número de teléfono.

Ten cuidado también con las contraseñas de un solo uso y los PIN. Ningún banco, empresa de reparto ni oficina del gobierno te pedirá compartir un OTP por llamada o mensaje. Las páginas de phishing pueden parecer idénticas a las de inicio de sesión reales, así que revisa la barra de direcciones antes de escribir una contraseña y prefiere abrir las apps directamente en lugar de seguir enlaces en mensajes.

Mitos comunes

• «Añadir ! al final la hace segura». Los atacantes lo prueban primero.
• «Nadie me atacaría a mí». La mayoría de los ataques son automáticos y prueban millones de cuentas con las mismas contraseñas filtradas.
• «Una contraseña larga con mi nombre está bien». La información personal es lo primero que se adivina.
• «Anotar las contraseñas siempre es malo». Un gestor de contraseñas es mejor, pero una lista escrita y guardada de forma segura en casa es más segura que reutilizar una contraseña débil en todas partes.

Comprobador de seguridad de contraseñas: datos clave

Preguntas frecuentes

Explora más herramientas de Prompt Minds

El comprobador de seguridad de contraseñas funciona muy bien junto con nuestras otras herramientas gratuitas. Todas las herramientas de Prompt Minds se ejecutan por completo en tu navegador: sin registro, sin subir archivos, sin marcas de agua. Ver todas las herramientas gratuitas.