Qué es realmente una contraseña fuerte

Módulo 2: Contraseñas e inicio de sesión · Tiempo de lectura: 9 minutos

Objetivo de aprendizaje: Tras esta lección podrá explicar por qué la longitud y la unicidad son más importantes que los caracteres extraños, y qué dice la guía actual del NIST sobre contraseñas.

Conceptos clave: longitud, entropía, frase de contraseña, ataque de diccionario, fuerza bruta, reutilización, cambio obligatorio

Cómo se descifra una contraseña

Al pensar en "descifrar una contraseña", mucha gente imagina a alguien probando combinaciones en su página de inicio de sesión. Eso ocurre, pero no es la mayor amenaza. Una buena página de inicio de sesión ralentiza o bloquea temporalmente tras varios intentos fallidos. Adivinar por la puerta principal es, por tanto, lento.

Más peligroso es el descifrado sin conexión. Un sitio web no guarda su contraseña (si está bien hecho), sino un hash: una especie de huella digital a partir de la cual no se puede recuperar directamente la contraseña. Si se filtra la base de datos de una tienda en línea, el atacante dispone de esas huellas digitales en sus propios equipos. Ahí no hay freno. Prueba tantas contraseñas como su equipo pueda procesar y compara cada resultado con la huella filtrada.

Para ello utiliza dos métodos:

• Ataque de diccionario: primero todo lo que la gente suele elegir. Listas con millones de contraseñas reales de filtraciones anteriores, palabras de diccionarios, nombres, lugares, años. Con reglas fijas añadidas: mayúscula al principio, año al final, signo de exclamación al final, a se convierte en @, o se convierte en 0.
• Fuerza bruta: después, todas las combinaciones posibles de caracteres, de corta a larga.

Una contraseña como Zomer2026! parece fuerte: mayúscula, números, signo de puntuación, diez caracteres. Pero es exactamente el patrón que contienen esas reglas: una palabra, un año, un signo. Una contraseña así cae en la primera ronda, mucho antes de que empiece la fuerza bruta.

La longitud gana a los caracteres raros

La fortaleza de una contraseña depende de cuántas posibilidades debe probar un atacante. Ese número se calcula así: número de caracteres posibles elevado a la longitud.

En un teclado normal hay 95 caracteres que se pueden escribir (letras mayúsculas y minúsculas, números, signos de puntuación y el espacio). Una contraseña aleatoria de 8 caracteres tiene entonces 95 elevado a 8 posibilidades: aproximadamente 6,63 × 10^15. Eso parece mucho, pero con equipos rápidos y un método de almacenamiento débil se recorre en cuestión de días.

Cada carácter adicional multiplica el número por 95. Un tipo adicional de carácter (por ejemplo, añadir signos de puntuación a solo letras) multiplica la base, pero solo un poco. Por eso la longitud aporta mucho más que la complejidad.

Esa última columna es la entropía: una medida de lo impredecible que es algo, expresada en bits. En términos sencillos: cada bit adicional duplica el trabajo del atacante. Una contraseña de 65 bits cuesta, por tanto, no un poco, sino unas 4.000 veces más trabajo que una de 53 bits.

Importante: estas cifras solo son válidas si la contraseña se ha elegido realmente al azar. Una contraseña que usted mismo inventa casi nunca es aleatoria. Bakkerij2026! tiene trece caracteres, pero en cuanto a patrón está en todas las listas de descifrado.

La frase de contraseña

Una frase de contraseña es una contraseña formada por varias palabras sueltas, por ejemplo cinco o seis. La ventaja: larga, pero fácil de recordar y de escribir. El NCSC neerlandés recomienda elegir entre cuatro y seis palabras que no tengan relación entre sí, y afirma que una frase larga con solo letras minúsculas es más segura que una contraseña corta con todo tipo de caracteres.

Una frase de contraseña solo es fuerte si las palabras se han elegido al azar:

• Correcto: un generador (en su gestor de contraseñas) o dados con una lista de palabras. El conocido método de los cinco dados utiliza una lista de 7.776 palabras, porque 6 elevado a 5 es exactamente 7.776. Los creadores de ese tipo de lista recomiendan seis palabras para la mayoría de los usos.
• Incorrecto: una frase conocida, la letra de una canción, un refrán o algo sobre usted mismo. mequieromuchoamiperrobobby es larga, pero las palabras están relacionadas entre sí y son adivinables para quien le conoce o lee sus redes sociales.

Una frase de contraseña sigue siendo una contraseña. La utiliza en un solo lugar y no la comparte.

Única es más importante que complicada

La contraseña más fuerte no sirve de nada si la utiliza en veinte sitios. En la lección 1.4 vio el relleno de credenciales (credential stuffing): una dirección de correo filtrada con su contraseña se prueba automáticamente en correo, contabilidad, tiendas en línea y redes sociales. Si se filtra en el más débil de esos veinte servicios, los veinte quedan abiertos.

La reutilización es, por tanto, el punto débil más importante en la práctica. Y "unas pequeñas variantes" no cuenta como única. Example!Mail y Example!Shop son adivinables en pocos intentos para un atacante que ya tiene una contraseña filtrada.

La solución no es recordar, sino guardar: un gestor de contraseñas crea para cada servicio una contraseña larga y aleatoria y la recuerda por usted. Eso es la lección 2.2. Entonces solo tiene que recordar unas pocas cosas: la contraseña maestra del gestor y, en su caso, la contraseña de su ordenador.

Qué dice la guía del NIST

El NIST estadounidense (National Institute of Standards and Technology) publica la guía más conocida sobre inicio de sesión: SP 800-63B. La cuarta versión se hizo definitiva el 31 de julio de 2025. Muchas organizaciones en todo el mundo la siguen. Los puntos principales sobre contraseñas:

• Si la contraseña es la única forma de inicio de sesión, entonces al menos 15 caracteres. Si forma parte de la verificación en dos pasos, entonces al menos 8.
• Un servicio debe permitir contraseñas de al menos 64 caracteres.
• Sin reglas de composición: un servicio no puede obligar a usar "al menos una mayúscula, un número y un signo de puntuación".
• No cambiarlas periódicamente. Solo cambiarlas si hay indicios de que la contraseña se ha filtrado.
• Comprobar las nuevas contraseñas contra una lista de contraseñas de uso habitual y filtradas.
• Permitir pegar contraseñas y el uso de gestores de contraseñas.
• Sin preguntas de seguridad ("nombre de su primera mascota") ni pistas de contraseña.

Por qué ya no se recomienda el cambio obligatorio

Durante años, en el trabajo había que elegir una nueva contraseña cada tres meses. La idea: una contraseña robada solo funciona entonces durante poco tiempo. En la práctica, la gente hace esto: Zomer2026! se convierte en Herfst2026!, después en Winter2026!. Un atacante que tenga la contraseña antigua adivina la nueva en unos pocos intentos. Y quien tiene que inventar constantemente una nueva contraseña elige otras más cortas y las apunta en un papel.

El cambio obligatorio hace, por tanto, que las contraseñas sean más predecibles. Sí conviene cambiarla de inmediato si hay un motivo: un aviso de filtración, un inicio de sesión extraño, un compañero que se marcha y conocía la contraseña, o si la ha introducido por error en algún sitio.

En la práctica: una política de contraseñas en una página

Para una pequeña empresa como Panadería Example basta con una política breve:

1. Cada cuenta tiene su propia contraseña personal. Nada de un inicio de sesión compartido para info@example.com cuya contraseña conocen cinco personas.
2. Las contraseñas las crea el gestor de contraseñas: aleatorias, de al menos 15 caracteres, o una frase de contraseña de al menos cinco palabras aleatorias que tenga que escribir.
3. Nunca la misma contraseña en dos sitios.
4. Verificación en dos pasos activada en correo, contabilidad, banco, alojamiento y registro de dominio (lección 2.3).
5. Cambiarla solo cuando haya un motivo, y entonces de inmediato.
6. Las contraseñas nunca por correo, chat ni en un papel pegado en la pantalla.

Su panel de alojamiento también sigue esta línea. En el entorno de WebOké, por ejemplo, puede hacer que se genere una contraseña aleatoria para la contraseña de DA y para los buzones de correo; en otros paneles ese botón suele llamarse "Genera" o "Generate". Haga que ese generador cree siempre al menos 15 caracteres; a menudo puede elegir usted mismo la longitud.

Resumen

• Los atacantes descifran sobre todo sin conexión, tras una filtración, con listas y reglas. Los patrones predecibles caen de inmediato.
• La longitud y la auténtica aleatoriedad aportan mucho más que los caracteres raros. Cada bit de entropía duplica el trabajo.
• Una frase de contraseña de palabras elegidas al azar es larga y aun así fácil de recordar.
• Única es más importante que complicada: la reutilización convierte una filtración en veinte filtraciones.
• NIST SP 800-63B-4: al menos 15 caracteres como único factor, sin reglas de composición, sin cambio periódico, pero sí comprobación frente a contraseñas filtradas.

Cuestionario

Ejercicio

Ejercicio A2.1: Calcular y evaluar. No introduce ninguna contraseña propia en ningún momento. Parte 1: calcule cuántas posibilidades tienen una frase de contraseña y una contraseña aleatoria (se le dan los números de palabras y caracteres), cuál de las dos es más fuerte y cuántas veces. Parte 2: evalúe seis contraseñas de ejemplo inventadas: predecible, demasiado corta, reutilizada o fuerte. El programa corrige y da una explicación por cada respuesta.

Para saber más

Los pasos de los artículos de WebOké son válidos para el entorno de WebOké; en otros proveedores funciona de forma parecida.

• Manual de DirectAdmin 3.7: Contraseñas seguras y qué hacer en caso de filtración de una contraseña
• Cambiar la contraseña o los límites de una dirección de correo electrónico
• NCSC neerlandés, consejos para idear una contraseña fuerte (en neerlandés): https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• NCSC neerlandés, cuatro pasos para hacer sus contraseñas más seguras (en neerlandés): https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (en inglés): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (en inglés, la lista de palabras para usar con dados): https://www.eff.org/dice
• El gestor de contraseñas en la práctica 5.1: Generar contraseñas y frases de contraseña seguras