Comprobador de Fortaleza de Contraseñas

Comprobador de fortaleza de contraseñas gratis: analiza longitud, tipos de carácter y patrones débiles. Todo se procesa en tu navegador, sin enviar datos.

Qué es el comprobador de fortaleza de contraseñas

El comprobador de fortaleza de contraseñas es una herramienta gratuita que analiza la longitud, los tipos de carácter utilizados y los patrones débiles habituales (secuencias, repeticiones, disposiciones de teclado y contraseñas conocidas por filtraciones) para estimar lo fácil o difícil que sería adivinar la contraseña que escribas. El resultado se muestra en cinco niveles, de "muy débil" a "muy fuerte", junto con la entropía estimada (en bits) y el tiempo aproximado que tardaría en romperse según distintos escenarios de ataque.

Mientras que crypto.generator.password (el generador de contraseñas aleatorias) sirve para "crear" contraseñas nuevas, esta herramienta cumple la función contraria: "analizar" la fortaleza de una contraseña que ya has pensado o que ya estás usando. La contraseña que introduces nunca se envía fuera de tu dispositivo; todo el procesamiento se realiza íntegramente dentro de tu navegador.

Cómo usar el comprobador de fortaleza de contraseñas

Escribe la contraseña que quieres analizar En cuanto empieces a escribir en el campo, el resultado se actualiza en tiempo real.
Usa el botón "Mostrar" para revisar lo escrito Si quieres comprobar que no hay errores de escritura, pulsa "Mostrar" para ver los caracteres.
Revisa el medidor de fortaleza y los avisos Consulta el nivel en el medidor de cinco pasos y la lista de patrones débiles detectados.
Consulta el tiempo estimado para romperla Compara el tiempo aproximado de un ataque de fuerza bruta según se trate de un escenario en línea o fuera de línea.
Si hace falta, prueba con otra contraseña Si la fortaleza no es suficiente, alarga la contraseña, combina más tipos de carácter o evita los patrones detectados, y vuelve a comprobarla.

Consejos para aprovecharla mejor

No hace falta escribir tu contraseña real: puedes probar con una versión similar (misma longitud, mismos tipos de carácter, mismo patrón) para hacerte una idea. El análisis ocurre solo en tu dispositivo, así que escribirla es seguro, pero esta alternativa es útil si prefieres no arriesgarte.
Aunque el resultado sea "muy fuerte", si reutilizas esa misma contraseña en varios servicios, una sola filtración pone en riesgo todas tus demás cuentas. Usa una contraseña distinta para cada servicio.
Añadir un carácter más a la longitud suele aumentar la fortaleza más que añadir un símbolo adicional. Si tienes dudas, prioriza alargar la contraseña antes que sumar más tipos de carácter.
El "tiempo estimado para romperla por fuerza bruta" es solo un valor teórico. Los atacantes reales también usan ataques de diccionario y datos personales para adivinar, así que no te confíes solo en esta cifra.
Puedes generar una contraseña con crypto.generator.password (el generador de contraseñas aleatorias) y comprobarla aquí para verificar al instante si tiene la fortaleza que buscabas.

Cuándo usar el comprobador de fortaleza de contraseñas

Antes de registrarte en un nuevo servicio

Comprueba de antemano si la contraseña que has pensado tiene la fortaleza suficiente antes de crear una cuenta nueva.

Revisión de contraseñas antiguas

Es una buena forma de comprobar si una contraseña que llevas años usando sigue siendo suficientemente segura según los criterios actuales.

Explicar políticas de contraseñas en el trabajo

Sirve como material didáctico para mostrar, con resultados reales, por qué la longitud importa más que la complejidad.

Verificar contraseñas generadas automáticamente

Pega aquí una contraseña creada con crypto.generator.password para confirmar al instante que alcanza el nivel de fortaleza deseado.

Glosario

Entropía: Medida en bits de lo difícil que es adivinar una contraseña. Cuantos más caracteres y tipos de carácter tenga, mayor es el valor, y el número de combinaciones que habría que probar por fuerza bruta crece de forma exponencial.
Ataque de fuerza bruta: Técnica de ataque que consiste en probar de forma sistemática todas las combinaciones posibles hasta dar con la contraseña correcta.
Ataque de diccionario: Técnica de ataque que prueba primero palabras y frases de uso común, o listas de contraseñas filtradas anteriormente. Las palabras sencillas o las contraseñas débiles ya conocidas se descubren mucho más rápido que con un ataque de fuerza bruta puro.
Relleno de credenciales: Ataque que usa combinaciones de correo electrónico y contraseña filtradas en un servicio para intentar iniciar sesión de forma fraudulenta en otros servicios. Reutilizar contraseñas es lo que permite que este tipo de ataque se propague.
Sal (salt): Cadena aleatoria que se añade a una contraseña antes de convertirla en hash para almacenarla. Hace que el valor guardado sea distinto aunque dos personas usen la misma contraseña, lo que evita los ataques mediante tablas precalculadas (tablas arcoíris).
Gestor de contraseñas: Programa que genera, recuerda y rellena automáticamente una contraseña distinta y compleja para cada servicio. Permite usar contraseñas muy seguras sin necesidad de repetirlas ni memorizarlas.
Passkey: Método de autenticación que prescinde de las contraseñas y verifica tu identidad mediante datos biométricos o el bloqueo de pantalla del dispositivo. Se considera más resistente frente al phishing y a las filtraciones de contraseñas.

Preguntas frecuentes

No. Todo el análisis se realiza mediante JavaScript dentro de tu propio navegador, y el texto que escribes nunca se transmite a ningún servidor. Al cerrar la página, esos datos desaparecen por completo.

No necesariamente. Este análisis es solo una estimación teórica basada en la longitud, los tipos de carácter y los patrones débiles conocidos. Puedes verte afectado por otras causas ajenas a la fortaleza de la contraseña, como el phishing o una filtración de datos del propio servicio. Te recomendamos activar también la autenticación en dos pasos.

Es una medida numérica de lo difícil que resulta adivinar una contraseña. Cada bit adicional duplica aproximadamente el número de combinaciones que habría que probar por fuerza bruta. En general, se considera que a partir de unos 60 bits la fortaleza es suficiente para un uso práctico.

Porque si un correo electrónico y una contraseña se filtran de un servicio, esa combinación se usa después para intentar iniciar sesión en otros servicios (lo que se conoce como relleno de credenciales). Aunque la contraseña sea muy fuerte, si la reutilizas, una sola filtración puede poner en peligro el resto de tus cuentas.

Añadir símbolos amplía los tipos de carácter disponibles, pero su efecto es más limitado que el de aumentar la longitud. Lo más eficaz es asegurar primero una longitud suficiente y, si es posible, sumar después más tipos de carácter.

Curiosidad — el mito de la "complejidad" en las contraseñas

Durante años, muchos servicios exigían incluir obligatoriamente mayúsculas, minúsculas, números y símbolos en cada contraseña. Pero esta regla pasaba por alto algo muy humano: a las personas nos cuesta memorizar cadenas de caracteres sin ningún patrón reconocible. El resultado fue que la mayoría terminó recurriendo a transformaciones predecibles, como "Password1!" —una palabra con la primera letra en mayúscula y un número y un símbolo al final—. Como los atacantes conocen bien esta tendencia, ese tipo de variaciones son de las primeras que se prueban en cualquier ataque de fuerza bruta.

En 2017, el Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) publicó una guía (SP 800-63B) que cambió el rumbo de esta práctica. En ella se reconoce que exigir cambios periódicos obligatorios o reglas estrictas de complejidad aporta menos seguridad real que simplemente favorecer contraseñas más largas. De forma casi paradójica, una frase larga formada por varias palabras sin relación entre sí resulta más fácil de recordar para una persona y, al mismo tiempo, mucho más difícil de romper para un ordenador que una cadena corta y aleatoria.

Aun así, depender únicamente de la memoria humana para gestionar contraseñas largas y complejas tiene límites evidentes. Por eso cada vez es más habitual usar gestores de contraseñas que generan y almacenan cadenas aleatorias, así como avanzar hacia métodos de autenticación que combinan datos biométricos con las passkeys, pensados para que ya no sea necesario memorizar ninguna contraseña. Conocer los puntos débiles de tu contraseña actual con esta herramienta puede ser justo el primer paso para dar ese salto.

Ver todas las curiosidades