Generador de contraseñas en línea gratuito
Crea contraseñas fuertes en segundos

Un ataque de fuerza bruta prueba, una tras otra, todas las combinaciones de caracteres posibles: cuanto más larga y aleatoria sea la contraseña, más tiempo lleva. Un ataque de diccionario prueba contraseñas comunes y sus variantes (p. ej. «contraseña123»). El credential stuffing reutiliza datos de filtraciones anteriores: si repites la misma contraseña en varios sitios, comprometer una cuenta facilita comprometer las demás. El phishing, por su parte, no rompe la contraseña técnicamente, sino que te engaña para que la entregues voluntariamente en un sitio falso.

La entropía mide la imprevisibilidad de una contraseña, expresada en bits: cuanto más alta, más intentos necesita un ataque de fuerza bruta. Depende de la longitud de la contraseña y del número de caracteres posibles en cada posición. Añadir un solo carácter aumenta exponencialmente el número de combinaciones posibles, por eso la longitud influye más en la seguridad que las simples reglas de complejidad. Passly.pl muestra la entropía de cada contraseña generada, en bits.

El instituto estadounidense NIST (Special Publication 800-63B) dejó de exigir cambios frecuentes de contraseña y reglas de complejidad rígidas, ya que estas prácticas a menudo generaban contraseñas más débiles y predecibles (p. ej. «Contraseña1!» → «Contraseña2!»). En su lugar, recomienda contraseñas o frases largas, comprobarlas frente a bases de datos de filtraciones conocidas, y cambiarlas solo si se sospecha una vulneración.

La 2FA (o MFA, autenticación multifactor) exige, además de la contraseña, un segundo elemento que confirme tu identidad: un código de una app de autenticación, una llave física (p. ej. una YubiKey) o una huella biométrica. Aunque la contraseña se filtre, un atacante sin el segundo factor no podrá iniciar sesión. Es el cambio individual más eficaz para limitar el daño de una filtración de contraseña.

Las passkeys son un estándar de inicio de sesión basado en criptografía de clave pública (FIDO2/WebAuthn): en lugar de una contraseña, tu dispositivo guarda una clave privada, y el servidor solo conoce la clave pública, que no puede usarse para iniciar sesión sin el dispositivo. Esto elimina el phishing y las filtraciones de contraseñas de raíz. Cada vez más servicios admiten passkeys, pero las contraseñas seguirán siendo habituales durante muchos años, por lo que un generador de contraseñas fuertes sigue teniendo sentido.