Comprobador de seguridad de contraseña gratis

Ejemplo práctico

Haz clic en el cuadro «Contraseña» y escribe 9fK2!xQ. Se muestra como puntos; pulsa «Mostrar» para leerla. La página informa de Fortaleza «Buena», Entropía «46 bits», «Hash rápido (10 mil millones de intentos/s)» «2 horas» y «Hash lento, tipo bcrypt (10 mil/s)» «206 años». Como la contraseña tiene solo 7 caracteres, «Qué corregir» dice «Corta: 7 caracteres. La longitud es lo más importante.» y la lista «Requisitos de contraseña» marca «Al menos 8 caracteres» y «Al menos 12 caracteres» con un círculo vacío mientras las demás filas se cumplen. Pulsa «Créame una frase de contraseña segura» para obtener seis palabras al azar, como proud-gate-merry-wise-brave-fancy, con la etiqueta «Frase de contraseña aleatoria, unos 53 bits». Ahora sustituye el texto por Summer2024. La fortaleza cae a «Muy débil», la entropía a «0 bits», ambos tiempos dicen «al instante», y «Qué corregir» dice «Está en las listas de contraseñas más comunes.» y «Contiene un año (2024), que los atacantes prueban primero.»

Qué ajustes usar y los límites

• Lee la puntuación como una estimación. «Muy débil», «Débil», «Buena» y «Fuerte» salen de una estimación de entropía más el número de requisitos cumplidos. Por debajo de 28 bits, la puntuación no puede subir de «Muy débil», por debajo de 40, de «Débil», y por debajo de 60, de «Buena». Una coincidencia con la lista integrada de contraseñas comunes fuerza «Muy débil», y una contraseña construida sobre una palabra o nombre comunes se queda en «Débil». La nota ámbar «Solo heurístico.» advierte de que la puntuación se basa en la estructura y en listas integradas cortas, así que una contraseña débil que no esté en ninguna de las dos listas aún puede puntuar bien.
• Compara los dos tiempos de descifrado. Ambas cifras dividen el número de intentos por una velocidad de intentos. «Hash rápido (10 mil millones de intentos/s)» supone 10 000 millones de intentos por segundo, como ante un hash que se calcula rápido. «Hash lento, tipo bcrypt (10 mil/s)» supone 10 000 por segundo. La nota bajo las tarjetas dice que las estimaciones suponen un atacante que robó la contraseña con hash y prueba combinaciones sin conexión, y que los sitios que limitan los intentos de inicio de sesión son mucho más difíciles de atacar. Los tiempos dicen «al instante» por debajo de un segundo, luego segundos hasta años, después por ejemplo 12 mil años, «millones de años» y, pasados mil millones de años, «prácticamente imposible de descifrar».
• Usa la comprobación opcional de filtraciones. Pulsa «Verificar contra filtraciones conocidas» para buscar la contraseña en los datos de Have I Been Pwned. El navegador calcula un hash SHA-1 de la contraseña, envía solo sus 5 primeros caracteres a api.pwnedpasswords.com y compara el resto en tu dispositivo, así que la contraseña en sí nunca se envía. La respuesta es «Encontrada en 12,345 filtraciones conocidas — no uses esta contraseña.» o «No se encontró en ninguna filtración conocida.» Marca «Comprobar automáticamente cuando deje de escribir» para ejecutarla 0,9 segundos después de que hagas una pausa, a partir de 4 caracteres; la elección se recuerda en este navegador. Editar la contraseña borra el resultado anterior.
• Usa el botón de la frase de contraseña cuando la puntuación no sea Fuerte. «Créame una frase de contraseña segura» aparece bajo «Qué corregir» mientras hay algo escrito y la puntuación es «Muy débil», «Débil» o «Buena». Une seis palabras con guiones, elegidas con el generador aleatorio seguro del navegador a partir de una lista de unas 490 palabras cortas en inglés, y la etiqueta como «Frase de contraseña aleatoria, unos 53 bits». «Copiar» la copia y «Probarla aquí» la pone en el cuadro y la muestra. El comprobador entonces la puntúa como caracteres normales, así que su cifra de Entropía es mucho mayor que 53 bits. Fíate de la etiqueta de 53 bits, que cuenta solo la elección aleatoria de palabras.
• Saber qué comprueba la lista de requisitos. La lista muestra «Al menos 8 caracteres», «Al menos 12 caracteres», letras minúsculas y mayúsculas (o «Contiene letras (de cualquier alfabeto)» para escrituras sin mayúsculas, como el árabe, el hebreo o el chino), «Contiene números», «Contiene caracteres especiales», «No es una contraseña común», «Sin caracteres repetidos (3+ veces)» y «Sin patrones comunes (123, abc, qwerty, años)». La prueba de contraseña común ignora las mayúsculas, los acentos, los dígitos y símbolos en cualquiera de los extremos, y los cambios como @ por a y 0 por o, así que P@ssw0rd!! se detecta. «Qué corregir» muestra como máximo dos hallazgos.
• Usa Mostrar para comprobar lo que escribiste. El cuadro oculta la contraseña como puntos y desactiva el corrector ortográfico y las mayúsculas automáticas. Pulsa «Mostrar» para leerla y «Ocultar» para taparla de nuevo. La contraseña vive solo en la página abierta; lo único que se guarda en el navegador es el ajuste de la comprobación automática de filtraciones. Las contraseñas en otros alfabetos se puntúan por escritura: las letras cirílicas, griegas, árabes, hebreas, armenias, georgianas, índicas, tailandesas, los kana japoneses, las letras coreanas y las chinas añaden cada una un conjunto de caracteres posibles, y no se tratan como símbolos.

Problemas comunes y cómo solucionarlos

Dice «Falló la verificación — verifica tu conexión e intenta de nuevo.»

La consulta de filtraciones es la única parte de la página que usa la red. Pide a api.pwnedpasswords.com la lista de finales de hash que comparten tu prefijo de 5 caracteres, y este mensaje aparece cuando esa petición falla o el servicio responde con un error. Comprueba que estás conectado y que nada bloquea esa dirección, y pulsa de nuevo «Verificar contra filtraciones conocidas». La puntuación de fortaleza no usa la red, así que sigue funcionando.

Fortaleza dice «Muy débil» y Entropía dice «0 bits» para una contraseña que parece complicada.

La contraseña coincidió con la lista de contraseñas comunes, lo que pone la entropía en 0, ambos tiempos de descifrado en «al instante» y la puntuación en «Muy débil». La coincidencia ignora las mayúsculas, los acentos, los dígitos y símbolos en cualquiera de los extremos, los cambios por caracteres parecidos como 4 por a, 3 por e y 0 por o, y un «my» o «the» inicial. Así, Password123!, P@ssw0rd!! y mypassword cuentan como la misma contraseña famosa. Elige algo que no tenga relación con una palabra.

Dice «Está basada en la palabra común «istanbul».» (con tu propia palabra).

Una vez quitados los dígitos y símbolos de ambos extremos y deshechos los cambios por caracteres parecidos, la contraseña es un nombre, un mes, una ciudad o una palabra cotidiana de la lista integrada. La puntuación se queda entonces en «Débil» como máximo, y la entropía se limita al coste de la propia palabra más unos pocos bits por los adornos: 3,4 bits por dígito, 5 por símbolo, 1 por una mayúscula. Un año al final cuenta unos 7 bits en total. Añade palabras sin relación o usa el botón de la frase de contraseña.

Dice «Secuencia de teclado o de alfabeto «qwerty123».» (con tu propia secuencia).

Tres o más caracteres contiguos de una fila del teclado, una diagonal como qazwsx, la fila de números, el alfabeto o los dígitos del 0 al 9, hacia delante o hacia atrás, cuentan como una secuencia. También cuentan las mismas filas en teclados AZERTY y rusos. Los caracteres dentro de una secuencia cuentan a una cuarta parte de su fuerza normal, y la fila «Sin patrones comunes (123, abc, qwerty, años)» falla. Rompe la secuencia con caracteres sin relación.

Falta el botón «Créame una frase de contraseña segura».

Está dentro del panel «Qué corregir», que solo se muestra mientras el cuadro no está vacío y la fortaleza es «Muy débil», «Débil» o «Buena». Cuando la puntuación es «Fuerte» el panel se oculta, y con el cuadro vacío solo se ve el campo de entrada. Para obtener una frase de contraseña desde un cuadro vacío, escribe antes cualquier texto corto y luego pulsa el botón.

Cómo se compara

Esta página da una estimación, no un veredicto. Usa listas integradas cortas de contraseñas, nombres y palabras comunes, una prueba de patrones de teclado y un modelo de entropía por conjunto de caracteres, y no sabe nada de tu nombre, tu cumpleaños ni el sitio para el que eliges contraseña. La comprobación opcional de filtraciones usa el servicio público de rangos de Have I Been Pwned y solo te dice si esta contraseña exacta aparece en datos filtrados, no si lo hace una parecida. Para contraseñas de caracteres aleatorios, la página enlaza al generador de contraseñas («Generar una contraseña segura»), y las frases de contraseña las crea ella misma. No guarda contraseñas ni comprueba cómo un sitio calcula los hash, así que los dos tiempos de descifrado son suposiciones sobre la velocidad del atacante.