Qué tan segura es mi contraseña

La fortaleza de una contraseña se resume en una pregunta, cuánto esfuerzo le costaría a un atacante adivinarla. Dos factores dominan la respuesta, la longitud y la imprevisibilidad. La longitud importa porque cada carácter adicional multiplica el número de combinaciones posibles. La imprevisibilidad importa porque una contraseña basada en una palabra, un nombre o una fecha se prueba mucho antes que una cadena sin sentido. Una contraseña corta se descifra con rapidez incluso con hardware modesto, mientras que una larga y aleatoria vuelve el intento tan costoso en tiempo de cálculo que deja de ser viable. Entender estos dos factores le permite juzgar cualquier contraseña sin necesidad de una herramienta que la evalúe por usted.

Los expertos miden la imprevisibilidad de una contraseña con el concepto de entropía, que se expresa en bits. De forma sencilla, cada bit de entropía duplica el número de intentos necesarios para adivinar la clave. Una contraseña con más bits de entropía es exponencialmente más difícil de descifrar. La entropía crece con la longitud y con el tamaño del conjunto de caracteres, pero se desploma cuando la contraseña sigue un patrón o contiene palabras reales. Por eso una cadena de doce caracteres aleatorios puede tener mucha más entropía real que una de veinte formada por una frase con sentido. No hace falta calcular la entropía a mano, basta con recordar que longitud y aleatoriedad son las dos palancas que la elevan.

Muchas páginas muestran un medidor de fortaleza mientras escribe una contraseña. Es una ayuda visual útil, pero conviene tomarla con cautela. Estos medidores suelen basarse en reglas aproximadas, como la presencia de mayúsculas o símbolos, y no siempre detectan que una contraseña sigue un patrón conocido. Una clave puede parecer fuerte según el medidor y ser en realidad débil si es una variante de una palabra común. Si un medidor de este tipo funciona en su navegador, evalúa la contraseña en su propio dispositivo, no la envía a ningún servidor. Aun así, no dependa solo de la barra de colores, sino de los principios de longitud e imprevisibilidad que sí determinan la seguridad real.

Ciertos errores debilitan una contraseña por muy larga que parezca. El más grave es la reutilización, ya que una filtración en un servicio expone la misma clave en todos los demás donde la haya usado. Otros errores frecuentes son incluir datos personales, usar palabras del diccionario, recurrir a secuencias del teclado como las primeras letras de una fila, o aplicar sustituciones obvias como cambiar una letra por un número parecido. Los atacantes conocen todos estos trucos y los incorporan a sus diccionarios. Evitarlos es tan importante como alargar la contraseña. La forma más fiable de esquivar todos estos fallos a la vez es no crear la contraseña usted mismo, sino dejar que un generador elija cada carácter al azar.

Saber qué hace fuerte a una contraseña se traduce en unas pocas prácticas concretas. Use contraseñas largas, de dieciséis caracteres o más siempre que sea posible, y que sean realmente aleatorias. Asigne a cada cuenta una clave única, para que una filtración quede aislada. Guarde sus contraseñas en un gestor, que le permite manejar muchas claves distintas sin memorizarlas, y active la verificación en dos pasos en las cuentas importantes. Revise de vez en cuando si sus direcciones aparecen en filtraciones conocidas y cambie de inmediato cualquier clave afectada. Con estos hábitos, la pregunta de qué tan segura es su contraseña deja de generar dudas, porque cada una cumplirá por diseño los criterios que de verdad importan.