Medidor de contraseñas: ¿cuánto aguanta la tuya?

No sale de tu navegador: no se envía ni se guarda. Si prefieres no escribir la real, prueba con una parecida (misma longitud y tipo de caracteres).

Qué mira el medidor

No basta con contar caracteres. El medidor busca lo mismo que buscaría un atacante: palabras del diccionario (en español, con y sin tilde), nombres, años, secuencias de teclado, repeticiones, sustituciones tipo a→4 y las contraseñas más usadas. Cada trozo reconocible cuenta menos que si fuera aleatorio.

¿Sale floja? El generador te hace una nueva, con ñ y con tilde.

Cómo se calculan los tiempos

  • Por internet, con límite de intentos: 10 intentos por segundo. Es el caso real de casi todos los servicios, que bloquean la cuenta o frenan tras unos fallos. Aquí hasta una contraseña mediana aguanta siglos; el peligro es otro: que la adivinen a la primera porque es común, o que la saquen de una filtración.
  • Robo de la base de datos: el atacante tiene la copia cifrada de las contraseñas y prueba sin límite. Lo que importa entonces es cómo las guardó el servicio. Con un algoritmo rápido (MD5, SHA-256 sin más) una gráfica de gama alta prueba decenas de miles de millones por segundo. Con uno lento a propósito (bcrypt, Argon2), unas pocas decenas de miles. Los valores son órdenes de magnitud, no cifras exactas.
  • Granja de gráficas: lo mismo, con cien tarjetas. Es el presupuesto de un grupo organizado, no de un aficionado.
  • Ordenador cuántico: hoy no existe ninguno capaz de esto. La estimación aplica el algoritmo de Grover (los bits efectivos se reducen a la mitad) a un millón de pasos por segundo, una cifra generosa con el atacante.
  • Todos suponen que acierta a mitad del recorrido y que no hay otra pista. Si la contraseña se ha filtrado alguna vez, el tiempo es cero: está en las listas que se prueban primero.

Lo que este medidor no puede saber

  • Si tu contraseña aparece en alguna filtración. Comprobarlo exige consultar un servicio externo y esta página no se conecta a ninguno. Puedes hacerlo tú en Have I Been Pwned, que usa un método que no envía la contraseña entera.
  • Si la reutilizas en otros sitios. Esa es la debilidad más común y ningún medidor la ve.
  • Palabras de otros idiomas o nombres propios poco comunes: el medidor conoce el español y una lista corta de nombres y contraseñas habituales.