Cómo crear una contraseña aleatoria segura (y realmente recordarla)

La mayoría de las contraseñas no se descifran con adivinanzas brillantes. Están rotos porque son cortos, se reutilizan o se construyen a partir de patrones predecibles. Una contraseña aleatoria segura elimina el patrón por completo.

Conclusiones clave

• La aleatoriedad importa más que las reglas de sustitución inteligentes.
• La longitud es la forma más sencilla de añadir fuerza.
• Utilice una contraseña única para cada cuenta.
• Almacene las contraseñas en un administrador de contraseñas, no en su memoria ni en una hoja de cálculo.
• Active la autenticación de dos factores siempre que esté disponible.

Por qué fallan las contraseñas elegidas por humanos

Las personas son buenas para encontrar patrones y malas para ser impredecibles. Las opciones comunes se agrupan en torno a nombres, fechas, equipos deportivos, paseos por el teclado y el mismo puñado de sustituciones: a se convierte en @, o se convierte en 0 y aparece un signo de exclamación al final.

Los atacantes conocen estos hábitos. Utilizan diccionarios de contraseñas filtradas, reglas que amplían esos diccionarios y hardware rápido. ¡Una contraseña como Summer2026! Puede parecer complejo, pero sigue un patrón que esperan las herramientas para descifrar contraseñas.

La generación aleatoria evita el problema del patrón. En lugar de pedirle a una persona que invente la imprevisibilidad, un generador extrae personajes de un conjunto definido utilizando una fuente aleatoria segura. El resultado puede ser más difícil de memorizar, razón por la cual un administrador de contraseñas pertenece al flujo de trabajo.

Entropía: el número que importa

La entropía mide la incertidumbre en bits. Si una contraseña se elige uniformemente entre un conjunto de posibilidades, su entropía es el logaritmo en base 2 del número de posibilidades. Un PIN de cuatro dígitos tiene aproximadamente 13 bits de entropía. Una contraseña aleatoria de 16 caracteres extraída de 94 caracteres imprimibles tiene mucho más.

La entropía no es lo mismo que la longitud. Una contraseña de 20 caracteres creada a partir de una frase predecible puede tener menos entropía real que una contraseña aleatoria de 12 caracteres. Lo que importa es cuántas opciones igualmente probables debe considerar un atacante.

Para la mayoría de las cuentas en línea, una contraseña aleatoria de al menos 16 caracteres es una contraseña predeterminada segura. Veinte o más caracteres es mejor cuando el servicio lo permite. El umbral exacto depende del modelo de amenaza y de los límites de velocidad del servicio, pero las cadenas aleatorias más largas rara vez son una mala idea.

Longitud versus complejidad

Las políticas de contraseñas suelen requerir mayúsculas, minúsculas, números y símbolos. Esas reglas pueden ayudar, pero la longitud hace más trabajo. Cada carácter aleatorio adicional multiplica el espacio de búsqueda. Aumentar el conjunto de caracteres también ayuda, pero el efecto de agregar un carácter suele ser mayor y más fácil de razonar.

Un enfoque práctico es utilizar la contraseña más larga que acepte un servicio, con una combinación de tipos de caracteres. Si un sitio limita la longitud a 12 caracteres, utilice la longitud completa e incluya todos los tipos de caracteres permitidos. Si acepta 64 caracteres, no te quedes en 12.

Personajes parecidos y usabilidad

Caracteres como 0 y O, o 1, l y I, son fáciles de confundir cuando se lee una contraseña en voz alta o se escribe desde una pantalla. Muchos generadores ofrecen una opción de exclusión de imitaciones. Esto reduce ligeramente el conjunto de caracteres pero hace que la entrada manual sea menos propensa a errores.

La usabilidad es parte de la seguridad. Una contraseña que es tan difícil de ingresar que alguien la escribe en una nota adhesiva no ayuda. Utilice un administrador de contraseñas para copiar y pegar, y reserve las contraseñas escritas manualmente para los pocos lugares donde la función de autocompletar no está disponible.

Frases de contraseña para humanos, cadenas aleatorias para máquinas

Una frase de contraseña formada por varias palabras elegidas al azar puede ser potente y memorable. De cinco a siete palabras de una lista grande pueden proporcionar una entropía sustancial, especialmente cuando las palabras se eligen de manera uniforme y la lista es grande.

Utilice una frase de contraseña para una contraseña maestra que necesite recordar. Utilice cadenas largas y aleatorias para las cuentas individuales almacenadas dentro del administrador de contraseñas. Esto combina la memoria humana con la singularidad generada por máquinas.

Almacenamiento, reutilización y autenticación de dos factores

Una contraseña segura es sólo una parte de la seguridad de la cuenta:

• Utilice un administrador de contraseñas confiable con una contraseña maestra segura.
• Genera una contraseña única para cada cuenta.
• Habilite la autenticación de dos factores, preferiblemente una clave de hardware o una aplicación de autenticación.
• Guarde los códigos de recuperación en un lugar seguro y sin conexión.
• Cambie una contraseña inmediatamente si un servicio informa una infracción.

Reutilizar una contraseña convierte una infracción en muchas. Un administrador de contraseñas hace que las contraseñas únicas sean prácticas porque solo necesita recordar la contraseña maestra.

Cómo funciona el generador de contraseñas de este sitio

El generador utiliza crypto.getRandomValues() y se ejecuta completamente en su navegador. Combina los conjuntos de caracteres que seleccione, dibuja de manera uniforme y estima la entropía resultante. No envía la contraseña a ningún lado.

Ese diseño reduce la exposición: no hay un registro de contraseña del lado del servidor ni ninguna solicitud de red que contenga el secreto. Los riesgos restantes son locales, como malware o un dispositivo comprometido. Mantenga actualizado su sistema operativo y navegador, y evite generar contraseñas en un dispositivo en el que no confía.

Conclusión

Una contraseña segura es larga, aleatoria, única y se almacena de forma segura. Las reglas de complejidad son secundarias. Genera con una fuente segura, guarda el resultado en un administrador de contraseñas y agrega un segundo factor. Esos hábitos hacen más por tu seguridad que cualquier sustitución inteligente de un personaje.