Calculadora de entropía de contraseña
Introduce una longitud de contraseña y elige qué tipos de caracteres usa para ver su entropía en bits, una calificación de fuerza, el número total de combinaciones posibles y una estimación aproximada de cuánto tardaría en descifrarse.
Cómo funciona este cálculo
La entropía mide lo impredecible que es una contraseña generada al azar. Se calcula como bits = longitud × log2(tamaño del conjunto), donde el tamaño del conjunto es el número de caracteres distintos disponibles por posición: 26 para minúsculas, 26 para mayúsculas, 10 para dígitos y 32 para símbolos comunes. Seleccionar más tipos de caracteres agranda el conjunto, y cada carácter adicional del conjunto añade un poco de entropía a cada posición.
Cada carácter adicional de longitud multiplica el número de contraseñas posibles por el tamaño del conjunto, así que la longitud tiene un efecto desproporcionado: añadir 4 caracteres a una contraseña solo de minúsculas casi duplica su entropía, mientras que activar los símbolos solo suma unos pocos bits en total. Por eso el consejo estándar es que «la longitud gana a la complejidad» — una frase de contraseña larga hecha de palabras corrientes suele ser mucho más fuerte que un revoltijo corto de símbolos.
El tiempo de descifrado se estima suponiendo que un atacante puede probar 10 mil millones (1e10) de intentos por segundo, una tasa típica de los ataques sin conexión contra un archivo de contraseñas robado, sin sal o débilmente cifrado, usando hardware GPU moderno. Los ataques en línea contra un formulario de acceso activo suelen ser mucho más lentos por la limitación de intentos, así que los tiempos reales de descifrado en línea suelen ser mucho mayores que los mostrados aquí.
Ejemplo resuelto
Tamaños de conjunto usados en este cálculo
Cada categoría de caracteres añade un número fijo de posibilidades por posición. Esta calculadora las suma para obtener el tamaño total del conjunto y luego aplica bits = longitud × log2(conjunto).
| Conjunto de caracteres | Tamaño del conjunto | Ejemplo |
|---|---|---|
| Minúsculas | 26 | a, b, c … z |
| Mayúsculas | 26 | A, B, C … Z |
| Dígitos | 10 | 0–9 |
| Símbolos | 32 | ! @ # $ % ^ & * ( ) - _ = + etc. |
| Minúsculas + dígitos | 36 | p. ej. 'a1b2c3d4' |
| Minúsculas + mayúsculas + dígitos | 62 | p. ej. 'Kx9mQ2p7' |
| Los cuatro conjuntos | 94 | p. ej. 'Kx9!mQ2#p7' |
Las calificaciones de fuerza explicadas
- Muy débil (menos de 28 bits): adivinable casi al instante, comparable a un PIN de 4 dígitos.
- Débil (28–35 bits): rompible en minutos u horas por un ataque automatizado.
- Razonable (36–59 bits): suficiente para cuentas de poco valor o desechables, no para nada sensible.
- Fuerte (60–127 bits): protección sólida para la mayoría de las cuentas personales y financieras frente al descifrado sin conexión.
- Muy fuerte (128+ bits): prácticamente irrompible con la capacidad de cómputo actual y del futuro cercano.
Por qué la longitud gana a la complejidad
Cada carácter adicional multiplica el número total de contraseñas posibles por el tamaño del conjunto de caracteres, mientras que activar un nuevo tipo de carácter solo amplía el conjunto para los caracteres que ya tienes. Pasar de 8 a 12 caracteres en una contraseña solo de minúsculas (conjunto 26) multiplica el espacio de claves por unas 26⁴ — más de 450.000 veces mayor — mientras que añadir símbolos a una contraseña existente de 8 caracteres solo lo multiplica por unas (58/26)⁸ ≈ 218 veces. Por eso las guías de seguridad desde mediados de la década de 2010 (incluida NIST SP 800-63B) prefieren frases de contraseña largas y memorables frente a contraseñas cortas repletas de símbolos, difíciles de teclear y fáciles de olvidar.
Supuestos detrás de la estimación del tiempo de descifrado
El tiempo de descifrado estimado supone un atacante que ya tiene el hash de la contraseña (por ejemplo, de una base de datos robada) y puede intentar 10 mil millones de intentos por segundo — una tasa realista para descifrar un hash rápido y sin sal con GPU modernas. Los tiempos reales de descifrado varían enormemente según el algoritmo de hash usado para almacenar la contraseña (bcrypt y Argon2 son deliberadamente lentos y pueden bajar la tasa de intentos a unos pocos miles por segundo), según si la contraseña aparece en diccionarios de contraseñas filtradas, y según si el ataque es sin conexión o en línea con límite de intentos. Usa la cifra para comparar opciones de contraseña de forma relativa, no como una garantía literal.