Verificador de contraseñas

Qué pasa con lo que escribes

Se queda en esta pestaña del navegador. El verificador es un programa que corre en tu dispositivo, así que ninguna solicitud a nuestros servidores ni a los de terceros lleva tu contraseña. No guardamos nada, y el campo se borra cuando sales de la página.

Google Analytics y la grabación de sesiones están desactivados en esta página. Cuando aparezca la primera evaluación, el verificador ya tiene todo lo que necesita, y puedes desconectarte de internet y seguir. Para comprobar que no se envía nada, abre las herramientas de desarrollador del navegador y mira la pestaña Red mientras escribes. Solo hay algo que no controlamos: las extensiones que instalaste en el navegador pueden leer cualquier campo de cualquier página.

Cómo leer el resultado

La evaluación viene de zxcvbn, un estimador de fuerza de contraseñas de código abierto creado en Dropbox y descrito en un artículo de la conferencia USENIX Security de 2016. En lugar de contar símbolos, busca lo que los programas para descifrar contraseñas prueban primero: contraseñas comunes, nombres, palabras comunes en inglés, fechas, repeticiones, secuencias, patrones del teclado y letras cambiadas por símbolos. Luego estima cuántos intentos harían falta.

Los tiempos muestran qué significa esa estimación a cuatro velocidades supuestas, desde un servicio en línea que limita los intentos hasta una base de datos robada protegida con un hash rápido. No son predicciones. El verificador también tiene límites:

• Conoce sobre todo el inglés. Sus listas tienen contraseñas comunes, nombres y apellidos de Estados Unidos y palabras en inglés, así que una palabra en español puede sacar mejor calificación de la que merece. Los acentos y la ñ también la confunden: “contraseña” sale mejor que “contrasena”.
• No sabe si la contraseña ya se filtró. Una contraseña filtrada se puede usar sin adivinar nada.
• Es cauteloso con las cadenas realmente aleatorias. Por cada carácter que no reconoce, multiplica los intentos por 10, así que una contraseña larga y aleatoria creada por un gestor es más fuerte de lo que indican los tiempos.
• Las estimaciones son menos precisas conforme crecen. El artículo de zxcvbn reporta alta precisión solo hasta unos 100 mil intentos, y eso con 1.5 MB de datos; la versión que usamos aquí pesa unos 400 KB. Toma los números grandes y la calificación máxima como aproximados.
• No te conoce. Algo relacionado con tu vida, como el nombre de una mascota o de una calle, puede sacar buena calificación aquí y aun así ser fácil para quien te conoce.

Qué hace fuerte a una contraseña

• Longitud. La SSPC recomienda entre 12 y 16 caracteres.
• Combinación. La SSPC pide combinar mayúsculas, minúsculas, números y símbolos especiales.
• Nada predecible. La SSPC recomienda evitar nombres, fechas importantes y secuencias numéricas.
• Una contraseña por servicio. La SSPC recomienda una distinta para cada servicio o plataforma, para reducir los riesgos si una cuenta se vulnera.
• Los símbolos no bastan. Este verificador califica P@ssw0rd1! como débil, porque se parece mucho a una contraseña común.

Por qué ayuda un gestor de contraseñas

Nadie recuerda una contraseña larga y distinta para cada cuenta. En un comunicado de julio de 2024, la Policía Cibernética de la Ciudad de México recomendó considerar un gestor para generarlas y guardarlas. Nuestra guía de gestores de contraseñas explica cómo empezar. Después activa la autenticación de dos factores, que la SSPC recomienda como medida complementaria.