Calculadora: ¿cuánto tardarían en hackear tu contraseña?
Elige una longitud y los tipos de caracteres, o escribe una contraseña, y descubre cuánto tardaría un ataque de fuerza bruta en descifrarla: desde un formulario de inicio de sesión con límite de intentos hasta un equipo con varias tarjetas gráficas. Todo se calcula en tu navegador.
16 caracteres · conjunto de 88 caracteres · 103 bits de entropía
| Escenario de ataque | Tiempo medio para descifrarla |
|---|---|
| En línea, con límite de intentos100 intentos por hora · Un formulario de inicio de sesión que bloquea o frena los intentos fallidos. | 5,8 × 10²⁴ añosmás tiempo que la edad del universo |
| En línea, sin límite10 intentos por segundo · Un inicio de sesión que no limita los intentos. | 1,6 × 10²² añosmás tiempo que la edad del universo |
| Sin conexión, hash lento10 000 intentos por segundo · Hashes robados que se guardaron con bcrypt, scrypt o Argon2. | 1,6 × 10¹⁹ añosmás tiempo que la edad del universo |
| Sin conexión, hash rápidoNuestra referencia10 000 millones de intentos por segundo · Hashes MD5, SHA-1 o NTLM robados, probados con una tarjeta gráfica. | 16 billones de añosmás tiempo que la edad del universo |
| Sin conexión, equipo con varias GPU1 billón de intentos por segundo · Un equipo dedicado a descifrar contraseñas contra un hash rápido sin sal. | 161 mil millones de añosmás tiempo que la edad del universo |
Todo se calcula en tu navegador: nada de lo que escribes se envía ni se guarda.
Cómo funciona la calculadora
La calculadora mide la entropía de la contraseña en bits: la longitud multiplicada por log₂ del tamaño del conjunto. El conjunto son los caracteres entre los que puede elegirse cada posición: 26 minúsculas, 26 mayúsculas, 10 dígitos y 26 símbolos, los mismos 88 caracteres que usa el generador de este sitio. Una contraseña de 16 caracteres con los cuatro tipos reúne unos 103 bits, y cada bit adicional duplica el número de contraseñas que el atacante tiene que probar.
El tiempo que muestra es la media: la mitad de todas las contraseñas posibles (2 elevado a la entropía en bits) dividida entre los intentos por segundo del atacante. Cuando escribes una contraseña, la calculadora solo analiza en tu navegador su longitud, los tipos de caracteres que contiene y si figura entre las más comunes: no se envía ni se guarda nada.
Los cinco escenarios de ataque
- En línea, con límite de intentos (100 por hora): alguien prueba contraseñas en un formulario de inicio de sesión que se bloquea o se ralentiza tras varios fallos. Es el ataque al que se enfrentan a diario la mayoría de las cuentas.
- En línea, sin límite (10 por segundo): un inicio de sesión que no limita el número de intentos.
- Sin conexión, hash lento (10 000 por segundo): el atacante ha robado la base de datos, pero el servicio guardaba las contraseñas con bcrypt, scrypt o Argon2, funciones lentas por diseño que encarecen cada intento.
- Sin conexión, hash rápido (10 000 millones por segundo): hashes MD5, SHA-1 o NTLM robados y probados con tarjetas gráficas. Es la referencia que usamos en todo el sitio, también en la tabla de la guía ¿Cuánto se tarda en descifrar una contraseña?
- Sin conexión, equipo con varias GPU (1 billón por segundo): una máquina dedicada a descifrar contraseñas contra un hash rápido sin sal. Es el peor caso para el que conviene prepararse.
Los cuatro primeros siguen los escenarios de zxcvbn, el estimador de fortaleza de código abierto que publicó Dropbox. Los atacantes reales varían, así que lee la tabla como órdenes de magnitud y no como un cronómetro.
Por qué tu contraseña real puede caer antes
Los cálculos suponen que cada carácter se eligió al azar. Las contraseñas que inventan las personas no lo son: las herramientas de descifrado prueban palabras del diccionario, nombres, fechas, secuencias del teclado como qwerty123 y sustituciones como P@ssw0rd1! mucho antes de recurrir a la fuerza bruta. Ese último ejemplo suma unos 65 bits sobre el papel y en la práctica cae en segundos. La calculadora reconoce las contraseñas más comunes, pero no puede detectar cada palabra ni cada fecha de cumpleaños: si la eligió una persona, da por hecho que es más débil de lo que indica.
Por eso INCIBE insiste en que “la forma más segura de obtener una contraseña robusta es utilizar un generador de contraseñas”: solo el azar de una máquina hace válidas las cifras de la tabla. Si quieres una puntuación de fortaleza para una contraseña que ya usas, prueba el comprobador de seguridad de contraseñas (en inglés).
Qué hacer con el resultado
Apunta a 80 bits como mínimo: a partir de ahí, la fuerza bruta deja de ser una amenaza realista incluso sin conexión y contra un hash rápido. Una contraseña aleatoria de 16 caracteres (unos 103 bits, unos 16 billones de años a 10 000 millones de intentos por segundo) supera ese umbral con holgura. Cuando la contraseña es el único factor de autenticación, NIST SP 800-63B exige a los servicios un mínimo de 15 caracteres; una contraseña aleatoria de 15 caracteres da unos 97 bits, unos 251 mil millones de años al mismo ritmo. Una de 12 caracteres (unos 78 bits, unos 479 mil años) es el suelo práctico y coincide con la “longitud mínima de 12 caracteres” del material formativo de INCIBE. Deja los 8 caracteres para los sistemas que limitan la longitud: unos 2,6 días al mismo ritmo. Para entender de dónde salen estas recomendaciones, lee la guía ¿Cuántos caracteres debe tener una contraseña?
La longitud no lo es todo. Usa una contraseña distinta para cada servicio, guárdala en un gestor de contraseñas y activa el doble factor de autenticación siempre que sea posible. No hace falta cambiarla por calendario: cámbiala cuando un servicio anuncie una filtración o tengas indicios de que se ha visto comprometida.
Preguntas frecuentes
¿Cuánto tardarían en hackear mi contraseña?
Depende de lo aleatoria que sea y de quién la ataque. Una contraseña aleatoria de 8 caracteres con los cuatro tipos (mayúsculas, minúsculas, números y símbolos) cae en unos 2,6 días ante un atacante sin conexión que pruebe 10 000 millones de combinaciones por segundo, y en menos de una hora con un equipo de varias tarjetas gráficas. Con 12 caracteres aleatorios, el mismo ataque tardaría unos 479 mil años, y con 16, unos 16 billones de años. Una contraseña construida con palabras, nombres o fechas cae mucho antes de lo que indican estas cifras.
¿Es seguro escribir mi contraseña en esta calculadora?
Sí. Todos los cálculos se hacen en JavaScript dentro de tu navegador: nada de lo que escribes se envía, se registra ni se guarda. Puedes comprobarlo abriendo la pestaña de red de las herramientas para desarrolladores mientras escribes: lo que tecleas no aparece en ninguna de las peticiones que hace la página. Aun así, el modo de longitud y caracteres te da el mismo resultado sin escribir ninguna contraseña real.
¿Cómo se calcula el tiempo para descifrar una contraseña?
Primero, la entropía: la longitud multiplicada por log₂ del tamaño del conjunto, es decir, del número de caracteres posibles (26 minúsculas, 26 mayúsculas, 10 dígitos y 26 símbolos). Después, el tiempo medio: la mitad de las contraseñas posibles (2 elevado a la entropía) dividida entre los intentos por segundo del atacante. Una contraseña de 16 caracteres tomados de los 88 posibles tiene unos 103 bits de entropía.
¿Por qué cada calculadora da un resultado distinto?
Porque cada una supone un atacante distinto. Entre un formulario de inicio de sesión con límite de intentos y un equipo de varias tarjetas gráficas contra un hash rápido, el ritmo de intentos se multiplica por más de un billón. Además, algunas herramientas dan el peor caso (recorrer todas las combinaciones) en lugar de la media, y otras cuentan 95 caracteres imprimibles en vez de los 88 que usa un generador habitual. Esta calculadora muestra los cinco escenarios a la vez para que ningún supuesto quede oculto.
¿Cuántos bits de entropía necesita una contraseña segura?
Por debajo de 40 bits, una contraseña es débil, y entre 40 y 59, aceptable. A partir de 60 bits es fuerte para la mayoría de las cuentas, y a partir de 80 queda fuera del alcance de la fuerza bruta sin conexión incluso contra un hash rápido. Una contraseña aleatoria de 16 caracteres (unos 103 bits) supera ese umbral con mucho margen, y por eso es la longitud por defecto en este sitio.
Escrito y revisado por Andrew Ivanov, Fractional CTO. Última revisión el .