Lo que un gestor de contraseñas no puede medir

La cifra habla del sorteo, no de la cadena

La entropía en bits es log2 del número de resultados igualmente probables. Para una contraseña es la longitud multiplicada por log2 del tamaño del alfabeto, y la aritmética es trivial: 12 caracteres sobre 62 símbolos son 71,5 bits, 15 sobre 95 son 98,5, 20 sobre 76 son 125,0. Lo que no es trivial es la condición que lleva pegada. Esa fórmula cuenta un espacio de posibilidades, y solo es la entropía de la contraseña si esta se produjo realmente con un sorteo uniforme dentro de ese espacio. La entropía es una propiedad del proceso que fabricó la cadena, no de la cadena que estás mirando.

Por eso un indicador que cuenta clases es peligroso y no solo impreciso. Mide el espacio del que podrías haber sacado la contraseña y lo anuncia como el espacio del que la sacaste. Un atacante no recorre el alfabeto en orden: la búsqueda va sobre candidatos ordenados por frecuencia, y una cadena inventada por una persona está en lo alto de ese orden, cumpla las clases de caracteres que cumpla. La herramienta de esta página hace por tanto algo muy distinto, y la diferencia merece una mirada antes de fiarte de la cifra de cualquier indicador.

Lo que la herramienta devuelve para P@ssw0rd! — y por qué la página muestra dos cifras

P@ssw0rd! cumple todas las reglas de composición jamás escritas: nueve caracteres, mayúscula, minúscula, dígito, símbolo. La aritmética por clases lo convierte en 9 × log2(95) = 59,1 bits, que casi todos los indicadores imprimen como «fuerte». Este devuelve 6,6 bits y una puntuación de 4 sobre 100. Ni siquiera parte la cadena: encuentra P@ssw0rd! entero en su lista ordenada de contraseñas comunes, tras plegar las sustituciones leet @ a a y 0 a o, y cobra 96 intentos por el conjunto. Las tres filas de descifrado dicen «instantáneo», incluida la fila en línea que solo permite 100 intentos por segundo. Password1! vuelve con 19,8 bits, Motdepasse123! con 26,6, Contrasena1! con 19,8, Passwort!2024 con 16,4. A ninguno lo salva el símbolo del final.

Hay algo que conviene saber de esta página, y la herramienta no te lo dirá: lleva dos cifras de entropía distintas. El widget en el que escribes es el estimador por intentos descrito arriba. Los ejemplos generados debajo usan longitud × log2(conjunto) —la fórmula del sorteo aleatorio— y por eso están etiquetados como la longitud de una contraseña generada al azar. Los dos aciertan sobre preguntas distintas. El widget responde a «con qué rapidez cae una cadena elegida por una persona»; los ejemplos responden a «qué tamaño tiene el espacio del que saca un generador». Léelos como dos instrumentos y no traslades nunca una cifra de uno al otro.

El techo medido: 300 contraseñas aleatorias, 300 subestimaciones

La herramienta trae su propio generador, y ese generador es sólido: usa muestreo por rechazo sobre crypto.getRandomValues en vez de un módulo, así que ningún carácter sale favorecido. Toma 300 de sus salidas de 20 caracteres sobre el conjunto completo de 95 símbolos —131,4 bits reales cada una— y devuélveselas al indicador de la misma página. El indicador subestimó las 300. La media volvió en 124,8 bits, la mejor tirada en 130,7 y la peor en 102,5, es decir 28,9 bits menos. A 15 caracteres la diferencia media es de 5,0 bits; a 24 caracteres, de 7,3.

No es un fallo, es la forma del instrumento. Un estimador por intentos busca la lectura más barata de la cadena, y en veinte caracteres aleatorios siempre encontrará una racha de tres letras que resulta ser una palabra, o dos caracteres contiguos que resultan repetirse. Cobra la lectura barata. La estimación es por tanto una cota inferior: puede demostrar que una contraseña es débil, nunca que es fuerte. La regla práctica se deduce sola. No pegues una contraseña generada en un indicador para decidir si es bastante larga: el indicador siempre la rebajará. Decide la longitud en el generador, a partir del alfabeto y del número, y lee el indicador solo para cadenas que inventó una persona.

Dónde está el umbral y qué pide realmente la norma

La NIST SP 800-63B-4 pasó a definitiva en julio de 2025, y merece leerse por lo que dejó de pedir. Los verificadores DEBEN exigir un mínimo de 15 caracteres cuando la contraseña es el único factor, y PUEDEN permitir 8 cuando forma parte de una autenticación multifactor. DEBERÍAN permitir al menos 64 caracteres y DEBERÍAN aceptar todo carácter ASCII imprimible, el espacio y Unicode. NO DEBEN imponer reglas de composición: nada de mezclas obligatorias de tipos de caracteres. NO DEBEN exigir cambios periódicos, solo un cambio forzado si hay indicios de compromiso. Y DEBEN comparar una contraseña nueva con una lista de valores conocidos, habituales o filtrados.

Relee esa lista y fíjate en que la entropía no está. La longitud sí. Una lista de valores filtrados también. Es la norma diciéndote dónde está el umbral y qué sustituye a la cifra más allá. Quince caracteres aleatorios son 89,3 bits sobre letras y dígitos, 98,5 bits sobre el conjunto imprimible completo. Con el modelo de descifrado que la propia herramienta aplica —la mitad del espacio de media, diez mil millones de intentos por segundo sobre un hash rápido— 98,5 bits son del orden de 10 elevado a 11 años. Pasar de 98,5 a 131 bits convierte un número inalcanzable en un número inalcanzable mayor. No compra nada gastable.

Las tres cosas que la entropía no ve

Uno: la reutilización. Una contraseña de 130 bits de entropía que además usaste en un foro filtrado en 2021 vale cero bits frente a quien tenga ese volcado. El atacante no la adivina, la consulta. La entropía no tiene ningún término para en cuántos sitios más existe la cadena, y por eso justamente la norma añade un requisito aparte de lista negra en lugar de subir el número de bits. Una contraseña de un solo uso de 15 caracteres aleatorios gana a una magnífica usada dos veces.

Dos: lo que hace el otro extremo con ella. La entropía pone precio a un ataque sin conexión contra un hash robado, y el coste de ese ataque lo fija tanto la elección de derivación de clave del sitio como tus bits. La misma contraseña vale seis órdenes de magnitud más de trabajo frente a una derivación lenta y con sal que frente a un simple hash rápido, y no vale nada frente a un sitio que la guardó en claro. No puedes ver con cuál te la juegas, no puedes cambiarlo, y ningún indicador de ninguna página lo sabe tampoco. Tres: todo lo que nunca pasa por adivinar — una página de acceso convincente, un agente de soporte que restablece la cuenta, malware en tu propia máquina, o un token de sesión robado que se salta la autenticación entera. Una contraseña de 130 bits se entrega con la misma facilidad que una de 30 por alguien que cree estar en el sitio real.

La decisión, por orden

Genera, no inventes. Cualquier contraseña que compongas tú es un candidato en la lista ordenada de alguien, y el indicador de arriba te dirá a qué profundidad. Quince caracteres salidos de un generador superan el suelo de factor único de la norma; veinte es el valor por defecto sensato cuando no hay que teclear nada a mano. Única por sitio, sin excepción, porque es la única variable que convierte una filtración en un problema y no en todos. Después un segundo factor allí donde se ofrezca, prefiriendo una aplicación o una llave física al SMS. Después, compara las cuentas que importan con un corpus de filtraciones y cambia solo lo que aparezca — no por calendario, cosa que la norma ahora prohíbe por la razón que cabe esperar: la rotación programada hace que la gente elija contraseñas peores.

La contraseña maestra del propio gestor es el único sitio donde la cifra sigue ganándose el sueldo, porque es la única contraseña que ninguna lista negra protege y que ningún segundo factor sustituye del todo. Hazla larga, hazla aleatoria o haz una frase de paso con palabras sacadas de verdad al azar, y no la reutilices en ningún sitio. Todo lo que hay debajo puede ser entonces veinte caracteres sin sentido que nunca verás, y ese es todo el propósito del montaje: dejas de optimizar una cifra y empiezas a eliminar los modos de fallo que esa cifra nunca medía.

Preguntas frecuentes

¿A cuántos bits debo apuntar?

Apunta a una longitud, no a un número de bits, porque la longitud es lo que de verdad puedes fijar. Quince caracteres aleatorios es el suelo que la NIST SP 800-63B-4 exige a una contraseña usada sola, y son 89,3 bits sobre letras y dígitos o 98,5 sobre el conjunto imprimible completo. Veinte caracteres, lo que da un gestor por defecto, son de 125 a 131 bits. Los dos pasan el punto en que un ataque sin conexión es una amenaza real, así que los bits de más son un seguro contra un futuro que no sabes valorar, no una defensa contra nada de hoy.

El indicador da a mi contraseña generada menos bits de los que dice el cálculo. ¿Cuál acierta?

El cálculo, si la contraseña salió de verdad de un sorteo uniforme. Un estimador por intentos es una cota inferior por construcción: busca la descripción más barata de la cadena y la cobra, así que cualquier palabra o repetición accidental dentro de una cadena aleatoria le resta bits. Medido aquí, subestimó 300 de 300 tiradas de veinte caracteres, de media 6,6 bits y hasta 28,9. Usa el indicador con cadenas que inventó una persona, y el alfabeto y la longitud del generador con las que hizo una máquina.

¿Una contraseña nunca filtrada pero reutilizada sigue siendo segura?

No, y este es el fallo al que la entropía está más ciega. Una contraseña reutilizada vale solo lo que el sitio más débil que la guarda, y tú no puedes auditar esos sitios. El día en que uno cualquiera se filtre, la cadena pasa de ser un espacio de búsqueda a ser una tabla de consulta, y su número de bits se vuelve irrelevante. La reutilización además convierte un solo compromiso en una cascada por todos los servicios que comparten la contraseña. El arreglo no es más bits, es una contraseña por sitio, lo que solo sigue siendo practicable con un gestor.

¿Los símbolos y los números ayudan de verdad?

Ayudan a un generador y apenas ayudan a una persona. En un sorteo aleatorio, ensanchar el alfabeto de 62 a 95 símbolos añade unos 0,6 bits por carácter: es real, pero un solo carácter más vale más que todo el ensanchamiento a esa longitud. Añadidos por una persona no ayudan casi nada: medido aquí, Sommer2024! cae en 28,8 bits y Password1! en 19,8, porque el estimador cobra la palabra, luego el año como fecha, luego el símbolo como un carácter barato. Por eso la NIST SP 800-63B-4 prohíbe ahora sin más las reglas de composición.

Si la entropía es tan limitada, ¿por qué mantener la calculadora en la página?

Porque responde con precisión a una pregunta que sigue apareciendo: qué tamaño tiene el espacio del que saca un generador, y por tanto qué longitud fijar. Doce caracteres sobre 62 símbolos son 71,5 bits, dieciséis son 95,3, veinte sobre 95 son 131,4: ese es el cálculo que hay que hacer antes de pulsar generar. Lo que no sabe hacer es juzgar una cadena que escribiste, y no ve ni la reutilización, ni el almacenamiento, ni un segundo factor. Guárdalo para dimensionar un sorteo; usa el analizador de arriba para todo lo que inventó una persona; y no le des a ninguno la última palabra sobre si una cuenta está a salvo.