Generador de contraseñas de 10 caracteres

Es aceptable si es realmente aleatoria, pero va justa. Con los cuatro tipos de caracteres alcanza unos 65 bits de entropía: un ataque sin conexión a 10 000 millones de intentos por segundo tardaría de media unos 58 años, y un equipo de un billón de intentos por segundo, unos 7 meses. Ese margen se estrecha cada año con hardware más rápido. Toma los 10 caracteres como un límite que te impone un sistema, no como una longitud que elegir por gusto: el material formativo de INCIBE pide 12, y NIST SP 800-63B exige 15 cuando la contraseña es el único factor.

Depende del atacante. Contra un formulario de inicio de sesión con límite de intentos, una contraseña aleatoria de 10 caracteres resiste sin problema. Si alguien roba la base de datos y el servicio usaba un hash lento como bcrypt, scrypt o Argon2, harían falta unos 58 millones de años a 10 000 intentos por segundo. Contra un hash rápido como MD5 o NTLM, a 10 000 millones de intentos por segundo, unos 58 años; con un equipo de varias tarjetas gráficas, unos 7 meses. Una contraseña de 10 caracteres inventada por una persona cae mucho antes.

Sí. Cada carácter aleatorio adicional multiplica por 88 el número de combinaciones posibles. Con 8 caracteres (unos 52 bits), un ataque sin conexión contra un hash rápido tarda unos 2,6 días; con 10 (unos 65 bits), unos 58 años. Dos caracteres más convierten días en décadas, y la misma lógica explica por qué 16 caracteres quedan fuera del alcance de la fuerza bruta.

Sí, si el servicio los acepta. Los caracteres especiales amplían el conjunto de 62 a 88 símbolos y suben una contraseña de 10 caracteres de unos 60 a unos 65 bits: sin ellos, el mismo ataque sin conexión tardaría alrededor de 1,8 años en lugar de 58. A esta longitud cada bit cuenta. Mejor aún, si el sistema lo permite, añade caracteres: la longitud aporta mucho más que cualquier cambio en el conjunto.

Normalmente cumplen las reglas del servicio, pero esas cuentas merecen más margen. Para el correo principal, el banco y el propio gestor de contraseñas usa 16 caracteres o más: desde ellas se restablecen todas las demás, y en un gestor la longitud extra no cuesta nada. Activa además el doble factor de autenticación siempre que sea posible, como recomienda INCIBE: así una contraseña filtrada no basta por sí sola para entrar.

Suele ser una herencia de sistemas antiguos: bases de datos con campos de longitud fija, terminales o aplicaciones corporativas que nunca se actualizaron. NIST SP 800-63B recomienda a los servicios aceptar contraseñas de al menos 64 caracteres, así que un tope de 10 es señal de software desfasado. Si te encuentras con uno, usa los 10 caracteres completos con caracteres aleatorios, comprueba que puedes iniciar sesión con la contraseña entera y trata esa cuenta como menos fiable.