Generador de contraseñas de 8 caracteres

Solo para cuentas sin valor real o para sistemas que se bloquean tras varios intentos fallidos. Una contraseña aleatoria de 8 caracteres que combine los cuatro tipos de caracteres alcanza unos 52 bits de entropía; el hardware especializado agota ese espacio sin conexión en unos días. Frente a ataques en línea frenados por un límite de intentos, aguanta. Para todo lo que importe, las referencias actuales están bastante más arriba: 12 caracteres como mínimo en el material formativo de INCIBE y 15 recomendados por NIST SP 800-63B.

Una contraseña de 8 caracteres realmente aleatoria (unos 52 bits) cae en unos días frente a un atacante sin conexión que pruebe 10 000 millones de combinaciones por segundo. Una contraseña de 8 caracteres inventada cae mucho antes, porque los ataques de diccionario y de patrones descartan casi todo el espacio de búsqueda. El único remedio es la longitud: con 12 caracteres, el mismo ataque necesita cientos de miles de años.

Los ejemplos de contraseñas de 8 caracteres que ves en esta página se generan en tu navegador en cada visita, y por eso puedes usar cualquiera de ellos. Nunca reutilices un ejemplo publicado en un artículo o en un foro: en cuanto se imprime pasa a las listas que los atacantes prueban primero, por muy aleatorio que parezca. Una buena contraseña de 8 caracteres mezcla mayúsculas, minúsculas, números y caracteres especiales elegidos al azar, sin palabras ni fechas, y aun así sigue siendo corta: úsala solo donde no te dejen otra opción.

Porque 8 caracteres son el mínimo obligatorio de NIST SP 800-63B y muchas políticas de contraseñas datan de una época en la que ese mínimo hacía también de recomendación. Los sistemas construidos sobre esa base nunca elevaron ese mínimo. Toma los 8 caracteres como lo mínimo que un sitio acepta, no como un objetivo: casi todos esos sitios admiten también contraseñas más largas, y NIST exige a los servicios aceptar al menos 64 caracteres.

Menos de lo que parece. Pasar de solo letras y números al conjunto completo con caracteres especiales sube una contraseña de 8 caracteres de unos 48 a unos 52 bits: la diferencia entre unas horas y unos días para descifrarla sin conexión. Ningún truco con el conjunto de caracteres salva una contraseña corta; solo lo hace la longitud.

Cuando el sistema impone 8 caracteres como límite estricto, cuando la cuenta es de verdad desechable o cuando un bloqueo severo deja al atacante solo un puñado de intentos en línea: la lógica del cajero automático, que retiene la tarjeta tras tres códigos incorrectos. Incluso entonces, elige ocho caracteres aleatorios en lugar de inventados: los patrones previsibles son lo primero que prueban los atacantes. Y si el servicio ofrece doble factor de autenticación, actívalo: INCIBE lo recomienda siempre que sea posible.