¿Cómo saber si mi contraseña es realmente fuerte?
Escribe una contraseña y obtén una puntuación 0-4 (de "Muy débil" a "Muy fuerte") más una explicación concreta del PORQUÉ.
A diferencia de un medidor de entropía simple, zxcvbn (la librería de Dropbox) detecta patrones: palabras del diccionario, años de nacimiento, recorridos de teclado (qwerty), repeticiones, leetspeak (P@ssw0rd) y apellidos.
Muestra el tiempo de descifrado en 4 escenarios (online con limitación de intentos, online sin ella, offline contra bcrypt, offline contra MD5+GPU). Todo se ejecuta en local, la contraseña no sale del navegador.
Cómo usarlo
- Escribe la contraseña; el campo está enmascarado (puntos). Pulsa el icono del ojo para mostrarla.
- Lee el resultado en vivo: la barra de color muestra 0-4 (rojo→verde).
- Mira la sección "Patrones detectados": zxcvbn te indica QUÉ parte es palabra de diccionario, QUÉ es un año de nacimiento, QUÉ es una secuencia de teclado.
- Aplica las "Sugerencias" de la librería: "Añade otra palabra", "Evita los años", "Mezcla mayúsculas y minúsculas". Cada sugerencia sube la puntuación.
- Objetivo: puntuación=4 ("Muy fuerte") + sin advertencias. Tiempo de descifrado offline-rápido >100 años = prácticamente irrompible.
Cuándo es útil
Cinco situaciones típicas en las que valorar la fortaleza te ahorra un desastre:
- Auditar tus propias contraseñas. Revisa todas las del gestor empezando por las más débiles.
- Política corporativa. Prueba contraseñas de ejemplo contra tus reglas; verás si "mínimo 8 caracteres, mayúscula y dígito" produce de verdad contraseñas fuertes (normalmente no: zxcvbn dirá que "Verano2024!" es débil aunque cumpla los criterios).
- Formación al equipo. Demuestra que "una contraseña que se me acaba de ocurrir" tiene 30 bits de entropía.
- Onboarding de empleados nuevos. Revisa la contraseña temporal propuesta antes de crear la cuenta.
- Contraseñas para discos externos, archivos ZIP o claves PGP. Cada una merece una prueba rigurosa, porque no son de un solo uso.
Cuando encuentres una contraseña débil, genera una contraseña fuerte y comprueba que no esté filtrada.
Preguntas y respuestas
La entropía de `longitud × log2(conjunto)` asume que la contraseña es ALEATORIA. La mayoría de contraseñas humanas NO lo son. "Verano2024!" parece tener 11 caracteres = 67 bits, pero en realidad es una palabra de diccionario + año + sufijo habitual (~25 bits, se descifra en horas). zxcvbn reconoce patrones y da una estimación realista. Se ejecuta contra más de 30.000 contraseñas comunes, diccionarios, fechas y recorridos de teclado.