Prueba de seguridad de contraseñas
¿Qué tan segura es tu contraseña? Puntuación de 0 a 4, entropía, tiempos de descifrado y los puntos débiles exactos, todo en tu navegador.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Escribe una contraseña y mira qué tan segura es: una puntuación de 0 a 4, una estimación de la entropía en bits y cifras realistas de tiempo de descifrado a tres velocidades de atacante (un inicio de sesión en línea con límite de intentos, ~100/s; una base de datos bcrypt/argon2 robada, ~10k/s; y un equipo de GPU rápido contra MD5/SHA-1/NTLM, ~100.000 millones/s), además de los puntos débiles exactos que corregir. Parte del conjunto de caracteres por la longitud y después baja la puntuación por patrones adivinables: contraseñas comunes o filtradas, palabras de diccionario (incluidas sustituciones l33t como «P@ssw0rd»), recorridos de teclado, series de números, repeticiones y años. Es una estimación honesta, no una garantía. Todo se ejecuta en tu navegador: no se registra, guarda ni envía nada, aunque, como hábito, nunca pegues en ningún sitio web una contraseña que uses de verdad. Es una herramienta Pro.
- Escribe una contraseña parecida a las tuyas (no pegues una que uses de verdad).
- Lee la puntuación de 0 a 4, la entropía y los tiempos de descifrado en los tres escenarios de ataque.
- Revisa los puntos débiles detectados: palabras de diccionario, l33t, recorridos de teclado, secuencias, repeticiones o años.
- Aplica las soluciones de verdad: longitud antes que complejidad, un gestor de contraseñas con una contraseña única por sitio y passkeys o 2FA.
Preguntas frecuentes
¿Qué hace que una contraseña sea segura?
La seguridad viene sobre todo de la imprevisibilidad (la entropía), y la forma más barata de ganar entropía es la longitud. Una contraseña larga a partir de un conjunto de caracteres amplio, o una frase de 4 o 5 palabras aleatorias y sin relación, es mucho más difícil de adivinar que una contraseña corta salpicada de símbolos. Lo que de verdad debilita una contraseña es que sea predecible: si es una contraseña conocida o filtrada, una palabra de diccionario (aunque tenga sustituciones «l33t», como un cero por una o), un recorrido de teclado como qwerty, una serie de números como 12345, un fragmento repetido o un año o una fecha, el atacante prueba primero esos patrones y la fuerza bruta ni siquiera entra en juego. «P@ssw0rd» parece compleja pero es una de las contraseñas más adivinadas que existen. Aun así, la regla más importante es no reutilizar contraseñas entre sitios: si se vulnera un sitio, caen todos, por segura que sea la contraseña.
¿Es seguro usar este comprobador de contraseñas?
Sí. El comprobador funciona al 100 % en el lado del cliente: todo el análisis ocurre en tu navegador con JavaScript, no hay solicitudes de red, no se guarda nada y no hay analítica ni registro de la contraseña que introduces. Cierras la pestaña y el valor desaparece. Como PlayCISO es una empresa de seguridad, nos exigimos ese estándar evidente; pero el hábito correcto con cualquier web que «compruebe contraseñas» es suponer lo peor, así que te recomendamos no pegar en ningún sitio, tampoco en este, una contraseña que uses de verdad. Prueba una de estructura parecida o úsalo para aprender qué patrones evitar.
¿Qué longitud debería tener una contraseña?
Apunta al menos a 12 caracteres para las cuentas de uso diario y a 16 o más para todo lo importante (correo, banca, la contraseña maestra de tu gestor de contraseñas). La longitud importa más que meter símbolos a la fuerza: cada carácter extra multiplica el espacio de búsqueda, así que una frase de 16 caracteres con palabras aleatorias suele superar a una retorcida cadena de 10 caracteres tipo «Xk7$!», y es mucho más fácil de recordar. La respuesta práctica para la mayoría es dejar que un gestor de contraseñas genere una contraseña larga y aleatoria (20+ caracteres) para cada sitio, de modo que la longitud y la unicidad se resuelvan solas, y activar una passkey o 2FA donde se ofrezca.
¿Qué precisión tienen las estimaciones del tiempo de descifrado?
Se presentan a propósito como estimaciones de orden de magnitud, no como garantías. La herramienta convierte su estimación de entropía en el número de intentos que necesitaría un atacante (de media, aproximadamente la mitad del espacio de claves) y lo divide por una velocidad de intentos supuesta. La velocidad real depende mucho de cómo se almacena la contraseña: un hash lento moderno como bcrypt o argon2 puede permitir solo miles de intentos por segundo, mientras que un hash rápido sin sal como MD5, SHA-1 o NTLM puede atacarse a decenas o cientos de miles de millones por segundo con un equipo de GPU; justo por eso la herramienta muestra varios escenarios y no una sola cifra. Toma un resultado de «siglos» como «bastante segura» y cualquier cosa medida en segundos, minutos o días como «cámbiala».
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba; después necesitas Pro.