Evaluar la entropía de una contraseña
Mida la entropía en bits de su contraseña (su resistencia matemática al azar) y estime el tiempo necesario para descifrarla por fuerza bruta según diferentes potencias de cálculo. Nada se envía a ningún sitio: el cálculo se realiza completamente en su navegador.
Cómo funciona
La entropía mide, en bits, el número medio de intentos necesarios para adivinar una contraseña por fuerza bruta pura: se calcula a partir de la longitud de la contraseña y del tamaño del conjunto de caracteres utilizado (minúsculas, mayúsculas, números, símbolos). Cuanto más alta es la entropía, más aumenta exponencialmente el número de combinaciones posibles, y más se alarga el tiempo de descifrado estimado. La tabla anterior aplica esta entropía a varias velocidades de cálculo realistas, desde un ataque en línea limitado hasta un clúster de GPU dedicado al descifrado de hashes.
¿Garantiza la estimación de entropía que una contraseña es segura?
No. Este cálculo supone un ataque de fuerza bruta pura, que prueba todas las combinaciones posibles al azar. En la práctica, los atacantes utilizan diccionarios de contraseñas filtradas y reglas de transformación comunes (mayúscula al principio, número al final, sustituciones "a" → "@") que descifran mucho más rápido una contraseña basada en una palabra del diccionario, incluso si es larga. Una contraseña aleatoria generada por un gestor sigue siendo siempre preferible a una frase memorable, aunque su entropía teórica sea similar.
¿Por qué varía tanto el tiempo de descifrado según el escenario?
La velocidad de cálculo depende en gran medida del contexto: un servicio en línea que limita el número de intentos (a menudo unos pocos intentos por segundo) ofrece una protección muy diferente a un hash robado y luego descifrado fuera de línea en hardware dedicado, capaz de probar decenas de miles de millones de combinaciones por segundo. Por eso el almacenamiento seguro de contraseñas (con funciones de hash lentas como bcrypt o argon2) es tan importante como la elección de la contraseña en sí.
Privacidad: la contraseña introducida nunca se envía por la red — el cálculo de entropía y la estimación del tiempo de descifrado se ejecutan completamente en su navegador, localmente, y no se almacenan ni se transmiten.