Cuándo usar una frase y cuándo una contraseña aleatoria
Si la contraseña la va a guardar un gestor, usa el generador de contraseñas: 20 caracteres al azar son más fuertes que cualquier frase razonable y no tienes que recordarlos. La frase tiene sentido en las pocas contraseñas que tienes que escribir de memoria:
- la contraseña maestra del gestor de contraseñas;
- la del inicio de sesión del ordenador o del cifrado del disco (BitLocker, FileVault);
- la de tu correo principal, si es lo que usas para recuperar todo lo demás;
- la del wifi de casa, si la dictas a menudo a las visitas.
Cómo se calculan los bits
El generador elige cada palabra al azar entre las 7.776 del diccionario, con la misma probabilidad para todas. Por eso cada palabra suma log₂(7.776) = 12,92 bits, y la frase entera vale:
bits = palabras × log₂(tamaño del diccionario)
| Palabras | Bits | Tiempo medio | Para qué |
|---|---|---|---|
| 4 | 51 | 2 días | Solo con bloqueo por intentos (el PIN de un móvil, por ejemplo) |
| 5 | 64 | 45 años | Cuentas con doble factor |
| 6 | 77 | 3.502 siglos | Nuestro valor por defecto |
| 7 | 90 | más de 100 millones de años | Contraseña maestra, cifrado de disco |
| 8 | 103 | más de 100 millones de años | Si quieres margen para décadas |
Son cifras pesimistas a propósito: suponemos que el atacante sabe exactamente cómo has creado la frase. Es la única forma honesta de medirla.
Cómo recordarla
Inventa una escena absurda con las palabras en orden y repásala unas cuantas veces durante los primeros días. Con tomate-colina-brujula-humo-ancla-vapor, imagina un tomate que rueda colina abajo hasta una brújula que echa humo, atada a un ancla de la que sale vapor. Cuanto más rara la imagen, mejor se queda.
Lo que no debes hacer es cambiar palabras por otras que te gusten más ni reordenarlas para que «suenen bien». Si una frase no te convence, genera otra completa.
Preguntas frecuentes
¿Qué es una frase de contraseña?
Una contraseña formada por varias palabras corrientes elegidas al azar, como tomate-colina-brujula-humo-ancla-vapor. Es larga, así que es difícil de adivinar, pero se recuerda como una imagen mental, no como una ristra de símbolos.
¿Cuántas palabras debo usar?
Cada palabra de nuestro diccionario aporta 12,92 bits. Con 4 palabras tienes 51 bits, con 5 llegas a 64, con 6 a 77 y con 7 a 90. Usa 6 para cuentas importantes y 7 u 8 para la contraseña maestra del gestor o el cifrado del disco.
¿Las palabras las elijo yo o el generador?
El generador, siempre. Las palabras que elige una persona son previsibles: nombres, aficiones, palabras que van juntas. La seguridad de una frase sale entera del azar con el que se eligen las palabras, y eso solo lo garantiza un sorteo.
¿Por qué vuestro contador da menos bits que otras webs?
Porque solo contamos lo que no se puede adivinar: cuántas palabras hay y cuántas posibles había en cada hueco. Muchas herramientas tratan la frase como si fuera una cadena de letras al azar y multiplican su longitud por log₂(26) o por log₂(94), lo que infla el resultado cuatro o cinco veces. Un atacante que sepa que usas una frase probará palabras, no letras.
¿Las mayúsculas o el separador la hacen más segura?
Casi nada. Son ajustes que cualquiera puede probar en pocos intentos, así que no les sumamos bits. Sirven para cumplir los requisitos de algunas webs (una mayúscula, un símbolo). Si quieres más seguridad, añade una palabra: eso multiplica por 7.776 las combinaciones.
¿De dónde salen las palabras?
En inglés usamos la lista larga de la Electronic Frontier Foundation (EFF), pensada para no tener palabras ofensivas, muy raras o fáciles de confundir. En español es una lista propia de 7.776 palabras de uso corriente, sin tildes ni eñes, para que se pueda teclear en cualquier teclado del mundo.