Herramientas populares

Tema

Verificador de Seguridad de Contraseñas

Vea cuánto tardaría en descifrarse su contraseña, ataque por ataque, qué patrones la delatan y si ha aparecido en una filtración de datos. Este evaluador de contraseñas nunca envía su contraseña: solo 5 caracteres de su hash salen de su dispositivo.

Estimación de patrones: zxcvbn-ts, corregido · velocidad de los ataques: pruebas de hashcat · datos de filtraciones: Have I Been Pwned · no se guarda nada
Comprobada en este navegador
Cada parte que un atacante adivinaría aparece aquí:
  • Contraseña común
  • Palabra
  • Nombre
  • Año
  • Teclado
  • Repetición
  • Aleatorio

Se evalúa en su navegador. Solo los primeros 5 de los 40 caracteres de su hash SHA-1 salen de él, para la comprobación de filtraciones.

Pruebe

¿Cuánto tardaría en caer?

Escriba o pegue una contraseña: el veredicto se actualiza mientras escribe.

Bits que un atacante debe adivinar
0128

Qué comprueba

  • Patrones que los atacantes prueban primero: 49 233 contraseñas comunes, palabras y nombres, años, secuencias de teclado, repeticiones y cambios por caracteres parecidos.
  • Filtraciones de datos: unos 2,07 mil millones de contraseñas filtradas en Have I Been Pwned, mediante k-anonimato.
  • Ocho ataques, desde una página de acceso que bloquea tras 100 intentos hasta hashes NTLM en 100 tarjetas gráficas.

¿Qué tan segura es mi contraseña?

Tanto como el número de intentos que un atacante necesita para dar con ella, y los atacantes prueban primero las contraseñas probables: contraseñas comunes, palabras y nombres, años, secuencias de teclado y letras cambiadas, mucho antes que las cadenas aleatorias. Este evaluador de contraseñas cuenta esos intentos.

Divide lo que escribe en las piezas que prueban los atacantes, como Summer + 2026 + !, valora cada pieza según los intentos que cuesta y suma la forma más barata de armar la contraseña completa. El motor es zxcvbn-ts, el estimador de código abierto al que remite OWASP, con listas de palabras en inglés y en el idioma de la página cuando existe.

Corregimos los dos puntos donde el estimador original falla en el extremo fuerte: valora una contraseña de 12 caracteres realmente aleatoria en unos 10¹² intentos en lugar de unos 10²⁴, y una frase de seis palabras miles de millones de veces por encima de lo real. Ahora los tramos aleatorios se valoran por los caracteres que usan, y las frases de contraseña por el esquema que las creó.

Las mayúsculas, los dígitos y los símbolos se muestran, pero que falte un tipo nunca cuenta en su contra: NIST eliminó esas reglas porque producen contraseñas predecibles como Password1! (NIST SP 800-63B-4). Se analizan los primeros 64 caracteres; lo que pase de ahí queda fuera del alcance de la adivinación, salvo que sea una frase conocida, y la comprobación de filtraciones sigue viéndolo entero.

Summer2026!

  1. SummerPalabra de diccionarioUna estación, con la mayúscula habitual: 50 intentos
  2. 2026!AleatorioCinco caracteres sin patrón encontrado: 100 000 intentos
0128

DébilUnos 10 millones de intentos: DébilExpuestaEn filtraciones 45 veces: Expuesta

Deciden los patrones, no los tipos de carácter: 11 caracteres de cuatro tipos, adivinados en segundos en cuanto se filtra una lista de hashes.
Verificador de seguridad de contraseñas: patrones débiles, tiempos de descifrado de 8 ataques y comprobación de filtracionesVerificador de seguridad de contraseñas: patrones débiles, tiempos de descifrado de 8 ataques y comprobación de filtracionesLa calificaciónDe Muy débil a Muy fuerte, según los intentos que necesita un atacante, o Expuesta cuando la contraseña está en datos de filtraciones.Dónde es débilLa contraseña dividida en los patrones que prueban los atacantes, cada uno con el motivo por el que es barato de adivinar.Tiempo de descifradoCuánto tardaría cada uno de los ocho ataques, con una tarjeta gráfica o con cien.Comprobación de filtracionesSi Have I Been Pwned la ha visto, y los 5 caracteres de su hash que se enviaron.
Una contraseña inventada evaluada: la calificación, los patrones que la delatan, el tiempo que tardaría cada ataque y la comprobación de filtraciones. Seleccione un número para ver qué muestra cada parte.

¿Cuánto tardaría en descifrarse mi contraseña?

Depende del ataque: la misma contraseña puede resistir años frente a una página de acceso que limita los intentos y caer en menos de un segundo cuando un sitio filtra hashes mal guardados. Este verificador da el tiempo de descifrado de ocho ataques con nombre, con una tarjeta gráfica o con cien.

Cuánto se tarda en descifrar una contraseña es el número de intentos que necesita dividido entre la velocidad del atacante. En línea, los atacantes adivinan por la página de acceso: 100 intentos por hora donde el sitio bloquea los fallos repetidos (NIST permite como máximo 100 seguidos), 10 por segundo donde no. Sin conexión, tras la filtración de una base de datos, adivinan contra los hashes guardados con tarjetas gráficas, y la velocidad depende de cómo los guardó el sitio.

Una RTX 5090 prueba 340 100 millones de hashes NTLM por segundo (Windows), 220 600 millones de MD5 y 70 200 millones de SHA-1, pero unos 9500 de bcrypt con costo 10 y 1,48 millones de sha512crypt de Linux (pruebas de hashcat). Argon2id con 64 MiB de memoria avanza a 1699 por segundo en una RTX 4090 (hashcat). Esa diferencia es la razón por la que OWASP pide a los sitios guardar las contraseñas con Argon2id o bcrypt.

Cada tiempo es un promedio: para una contraseña aleatoria, la mitad de todas las posibilidades. Una prueba de contraseña solo es tan honesta como el ataque que supone, por eso cada fila nombra uno; los atacantes reales también usan listas y reglas antes de la fuerza bruta, que es lo que modela la estimación de patrones. El phishing y los keyloggers se saltan por completo la adivinación.

En línea, con intentos limitadosEn línea, sin límiteFiltrada, Argon2id*Filtrada, bcryptFiltrada, sha512crypt de LinuxFiltrada, SHA-1Filtrada, MD5Filtrada, NTLM
PIN de 6 dígitos105,7208 días14 horas5 minutos52 segundosmenos de un segundomenos de un segundomenos de un segundomenos de un segundo
Summer2026!, solo por sus patrones107,011 años12 días2 horas17 minutos7 segundosmenos de un segundomenos de un segundomenos de un segundo
8 caracteres aleatorios1015,11601 M años4 M años26 mil años5 mil años30 años6 horas2 horas1 hora
4 palabras al azar1015,32085 M años6 M años34 mil años6 mil años39 años7 horas2 horas1 hora
12 caracteres aleatorios1023,210¹⁷ años10¹⁴ años10¹² años554 mil M años3566 M años75 mil años24 mil años16 mil años
6 palabras al azar1023,010¹⁷ años10¹⁴ años10¹² años368 mil M años2367 M años50 mil años16 mil años10 mil años
16 caracteres aleatorios1031,210²⁵ años10²² años10²⁰ años10¹⁹ años10¹⁷ años10¹² años10¹² años10¹² años
Cualquier contraseña en filtraciones109,32 mil años7 años14 días3 días23 minutosmenos de un segundomenos de un segundomenos de un segundo
En línea, con intentos limitadosEn línea, sin límiteFiltrada, Argon2id*Filtrada, bcryptFiltrada, sha512crypt de LinuxFiltrada, SHA-1Filtrada, MD5Filtrada, NTLM
PIN de 6 dígitos105,7208 días14 horas3 segundosmenos de un segundomenos de un segundomenos de un segundomenos de un segundomenos de un segundo
Summer2026!, solo por sus patrones107,011 años12 días59 segundos10 segundosmenos de un segundomenos de un segundomenos de un segundomenos de un segundo
8 caracteres aleatorios1015,11601 M años4 M años262 años47 años110 días3 minutos1 minuto41 segundos
4 palabras al azar1015,32085 M años6 M años341 años61 años143 días4 minutos1 minuto54 segundos
12 caracteres aleatorios1023,210¹⁷ años10¹⁴ años31 mil M años5540 M años36 M años752 años239 años155 años
6 palabras al azar1023,010¹⁷ años10¹⁴ años21 mil M años3677 M años24 M años499 años159 años103 años
16 caracteres aleatorios1031,210²⁵ años10²² años10¹⁸ años10¹⁷ años10¹⁵ años69 mil M años22 mil M años14 mil M años
Cualquier contraseña en filtraciones109,32 mil años7 años3 horas36 minutos14 segundosmenos de un segundomenos de un segundomenos de un segundo
Tiempos medios. Velocidades: pruebas de hashcat en una RTX 5090; Argon2id en una RTX 4090. Los ataques reales prueban listas y reglas antes que la fuerza bruta. * Argon2id: medido en una RTX 4090 (aún no hay una prueba publicada con la RTX 5090).

¿Es segura mi contraseña? Qué significa cada calificación

Su contraseña es segura frente a la adivinación si se califica como Muy fuerte, o como Fuerte en un sitio que guarda las contraseñas con un hash lento, y nunca ha aparecido en una filtración. Expuesta anula todo lo demás.

Cada calificación es un intervalo de intentos, fijado según lo que tardan los ataques reales en cubrirlo. Muy fuerte necesita 10²¹ intentos o más: ninguna tarjeta gráfica sola la encuentra en un siglo, ni siquiera contra NTLM.

Intentos que necesita un atacante
Expuesta
  1. 6-digit PIN
  2. Summer2026!
  3. 8 random characters
  4. 4 random words
  5. 6 random words
  6. 12 random characters
  7. 16 random characters
Muy débilDébilAceptableFuerteMuy fuerte
  1. Acceso con bloqueo
  2. Acceso abierto
  3. Argon2id
  4. bcrypt
  5. sha512crypt
  6. SHA-1
  7. MD5
  8. NTLM

▲: un año con una tarjeta gráfica

Expuesta queda fuera de la escala: una contraseña filtrada está en las listas de los atacantes, sea cual sea su longitud.
CalificaciónIntentos necesariosA qué resiste
ExpuestaEn filtracionesA nada: los atacantes prueban primero las contraseñas filtradas. Cámbiela en todos los sitios donde la use.
Muy débilMenos de 10⁴La adivinación en línea la encuentra en 17 minutos, incluso a 10 intentos por segundo.
Débil10⁴ a 10⁸Un sitio que bloquea tras 100 fallos, pero no uno sin límite; tras una filtración, 16 horas como máximo.
Aceptable10⁸ a 10¹⁴La adivinación en línea, de meses a milenios; tras una filtración, de horas a 333 años contra bcrypt, pero menos de 10 minutos contra MD5 o NTLM.
Fuerte10¹⁴ a 10²¹Tras una filtración: de 333 a 3000 millones de años contra bcrypt, pero de 5 minutos a 93 años contra NTLM, con una tarjeta gráfica.
Muy fuerte10²¹ o másNinguna tarjeta gráfica sola la encuentra en un siglo, ni siquiera contra NTLM, el hash más rápido de descifrar.

¿Qué hace fuerte a una contraseña?

Longitud y aleatoriedad: al menos 15 caracteres si la contraseña sola protege la cuenta, creada por un generador o con palabras al azar, usada en una sola cuenta y que nunca aparezca en una filtración. Ya no se exigen símbolos, mayúsculas ni cambios periódicos.

Ese es el conjunto de reglas de NIST SP 800-63B-4, la norma de Estados Unidos revisada en julio de 2025: 15 caracteres con un solo factor y 8 con un segundo factor, al menos 64 aceptados, cualquier carácter, incluidos espacios y emojis, sin reglas de composición, sin cambios forzados, y cada contraseña nueva comparada con las filtradas y las comunes.

CISA, la agencia de ciberseguridad de Estados Unidos, pide al menos 16 caracteres o una frase de contraseña de cuatro a siete palabras sin relación entre sí, y el NCSC del Reino Unido sugiere tres palabras al azar. Las tres ponen la longitud primero.

Cambiar letras por dígitos parecidos no ayuda: los atacantes conocen o → 0 y a → @, y los prueban pronto (NCSC). El generador de contraseñas crea contraseñas que cumplen todas las reglas.

NIST SP 800-63B-4lo que dice la norma · lo que hace el verificador
  • Al menos 15 caracteres, u 8 con un segundo factorLongitud comprobada frente a 15
  • Aceptar al menos 64 caracteresAcepta hasta 256 y analiza los primeros 64
  • Cualquier carácter, incluidos espacios y emojisSe cuenta en caracteres: un emoji es uno
  • Sin reglas como "debe contener un símbolo"Nunca se marca como problema que falte un tipo
  • Sin cambios forzados; cambiarla tras un compromisoExpuesta avisa cuándo es el momento
  • Bloquear contraseñas comunes y filtradasComprobada con Have I Been Pwned
  • Permitir pegar y los gestores de contraseñasPegar funciona y activa la comprobación de filtraciones
NIST SP 800-63B-4, sección 3.1.1.2, la norma de Estados Unidos para contraseñas desde julio de 2025.

Entropía de una contraseña: por qué fallan P@ssw0rd y Tr0ub4dor&3

La entropía cuenta las contraseñas posibles que un atacante tendría que probar, algo que solo tiene sentido en una contraseña elegida al azar. Por tipos de carácter, P@ssw0rd suma unos 52 bits y Tr0ub4dor&3 unos 72; las dos están en datos de filtraciones, de miles a millones de veces.

Una calculadora de entropía de contraseñas multiplica la longitud por los bits de cada tipo de carácter presente, como si cada carácter se hubiera elegido al azar. Una persona nunca lo hace así: P@ssw0rd es la palabra "password" con dos cambios muy conocidos, y Have I Been Pwned la ha visto 6 421 042 veces. Por eso NIST basa sus reglas en la longitud: la entropía no se puede calcular para las contraseñas que eligen las personas (NIST SP 800-63B-4, Apéndice A).

Tr0ub4dor&3, el ejemplo de xkcd de una contraseña difícil de recordar, es una palabra de diccionario con letras cambiadas, un símbolo y un dígito: cerca de un millón de intentos una vez deshechos los cambios, Débil por sí sola y Expuesta en la práctica, con 3196 apariciones.

En una contraseña aleatoria los dos recuentos coinciden, y el generador de contraseñas muestra sus bits exactos. El verificador informa en intentos: 10ˣ intentos son 3,32 × x bits.

  • Por tipos de carácter
  • Por patrones
  • En filtraciones
  1. P@ssw0rd52,6 bits5,0 bits6 421 042 veces
  2. Tr0ub4dor&372,3 bits62,2 bits3196 veces
  3. 12 caracteres aleatorios78,8 bits78,8 bitsNo aparece
Los tipos de carácter suponen que cada carácter fue aleatorio. Solo en la contraseña aleatoria coinciden los dos recuentos.

¿Se ha filtrado mi contraseña? Una comprobación privada con Have I Been Pwned

El verificador comprueba la contraseña exacta con Pwned Passwords de Have I Been Pwned, unos 2,07 mil millones de contraseñas de filtraciones de datos, sin enviarla: solo los 5 primeros de los 40 caracteres de su hash SHA-1 salen de su navegador, y van a nuestro servidor, no a Have I Been Pwned.

Su navegador calcula el hash SHA-1 de la contraseña y envía los 5 primeros caracteres, como 21BD1. Unos 2000 hashes de la base de datos empiezan por esos 5; la respuesta los enumera todos con sus recuentos, y su navegador busca los otros 35 caracteres en esa lista. Es k-anonimato, el diseño propio de Have I Been Pwned (HIBP): quien vea los 5 caracteres no puede saber cuál de las 2000 es la suya.

Nuestro servidor consulta a Have I Been Pwned en su nombre, así que este nunca ve su dirección IP, rellena cada respuesta con 100 a 300 filas falsas para que el tamaño no delate nada, y no registra el prefijo. La comprobación se hace al salir del campo, al pulsar Intro o al pegar, nunca con cada tecla: un prefijo por cada letra escrita podría delatar la contraseña, y por eso Have I Been Pwned lo desaconseja (HIBP).

El recuento son apariciones, no filtraciones: Tr0ub4dor&3 se vio 3196 veces. Los 2,07 mil millones son una medición propia, ya que Have I Been Pwned no publica un total actual: 256 prefijos al azar contenían 1971 hashes cada uno de media (23 de octubre de 2026).

Su navegador

••••••••

SHA-1 de la contraseña

21BD12DC183F740EE76F27B78EB39C8AD972A757

Enviado: los 5 primeros caracteres · Conservados: los otros 35

Comparado en su navegador

…2DC183F74…:6.421.042

Veces vista: 6.421.042

dnsrobot.net

21BD1

+ de 100 a 300 filas de relleno

No se registra

Unos 2000 hashes que empiezan por 21BD1

Have I Been Pwned

/range/21BD1

Ve a nuestro servidor, nunca a usted

k-anonimato: quien vea los 5 caracteres no puede saber cuál de unas 2000 contraseñas es la suya.

Qué hacer si su contraseña apareció en una filtración

Deje de usarla: cámbiela primero en su cuenta de correo, después en todos los sitios donde usó la misma o una parecida, cada vez por una nueva y aleatoria, y active la verificación en dos pasos donde se ofrezca.

Una contraseña filtrada está en las listas que los atacantes prueban primero, así que su fortaleza ya no cuenta: recorrer toda la lista de 2,07 mil millones le toma a una tarjeta gráfica menos de un segundo contra hashes NTLM o MD5 y unos 2,5 días contra bcrypt. Por eso NIST obliga a los sitios a rechazar las contraseñas filtradas y a hacerle cambiar una que se haya visto comprometida (NIST SP 800-63B-4).

El correo va primero porque puede restablecer todas las demás cuentas. El generador de contraseñas da a cada cuenta su propia contraseña, y un gestor de contraseñas las recuerda. Una coincidencia no significa que hayan entrado en su cuenta: la lista contiene la contraseña misma, de quien la usó.

Ni siquiera una contraseña fuerte y única detiene el phishing ni un keylogger, que la capturan mientras la escribe (NIST SP 800-63B-4). Compruebe adónde lleva realmente un enlace antes de iniciar sesión, y verifique el remitente real de un correo sospechoso con el analizador de encabezados de correo.

  1. 1Cámbiela primero en su correoEl correo puede restablecer todas las demás cuentas.
  2. 2Después en todos los sitios donde la repitióCada cuenta recibe su propia contraseña generada.
  3. 3Active la verificación en dos pasosUna contraseña robada, por sí sola, ya no entra.
  4. 4Guárdelas en un gestor de contraseñasRecuerda cada una y la rellena por usted.

Seguridad de contraseñas: preguntas y respuestas

¿Es seguro escribir aquí mi contraseña real?

La contraseña se queda en su navegador. La estimación se hace en su dispositivo, y la comprobación de filtraciones envía solo los 5 primeros de los 40 caracteres de su hash SHA-1, cuando sale del campo, pulsa Intro o pega. No se guarda ni se registra nada, y el corrector ortográfico está desactivado en el campo. Si aun así prefiere no hacerlo, pruebe una contraseña creada de la misma forma.

¿Es lo mismo que la comprobación de contraseñas de Have I Been Pwned?

Usa los mismos datos, Pwned Passwords de Have I Been Pwned, y la misma búsqueda por rango con k-anonimato. Cambian tres cosas: la solicitud pasa por nuestro servidor, así que Have I Been Pwned nunca ve su dirección IP; se hace cuando termina de escribir, nunca con cada tecla; y una coincidencia cambia la calificación a Expuesta en vez de quedar junto a una puntuación de fortaleza.

¿Qué significa "vista 3196 veces"?

Es cuántas veces aparece esa contraseña exacta en los datos de filtraciones de Have I Been Pwned: 3196 apariciones para Tr0ub4dor&3. No es el número de filtraciones ni de cuentas, y no significa que hayan entrado en su cuenta: la lista contiene la contraseña, no a quien la usó. Cualquier recuento por encima de cero la pone en las listas que los atacantes prueban primero.

¿Cómo calcula el verificador de contraseñas el tiempo de descifrado?

Divide los intentos que un atacante necesitaría de media entre la velocidad de cada ataque. Los intentos salen de la estimación de patrones; las velocidades son pruebas publicadas de hashcat para una RTX 5090 (una RTX 4090 para Argon2id), y 100 tarjetas gráficas dividen el tiempo entre 100. Los atacantes reales prueban listas y reglas antes que la fuerza bruta, lo que modela la estimación de patrones.

¿Por qué otro verificador de contraseñas seguras da una respuesta distinta?

La mayoría cuenta tipos de carácter y no dice qué ataque supone. Cuando probamos nueve verificadores populares el 23 de octubre de 2026, seis presentaron Tr0ub4dor&3 como segura, con tiempos de descifrado de 4 meses a 2000 años, aunque está en filtraciones 3196 veces. Este nombra cada ataque, valora los patrones que los atacantes prueban primero y deja que una filtración anule la calificación.

¿Es una calculadora de entropía de contraseñas?

En la práctica, sí: estima cuántos intentos necesita una contraseña, y 10ˣ intentos son unos 3,32 × x bits. A diferencia de una calculadora de entropía que cuenta tipos de carácter, busca primero patrones: por tipos, P@ssw0rd suma unos 52 bits, pero está en filtraciones 6,4 millones de veces. En una contraseña aleatoria los dos coinciden, y el generador muestra sus bits exactos.

¿Por qué mi contraseña larga se califica como débil?

La longitud ayuda solo cuando los caracteres son impredecibles. Las letras repetidas, las secuencias de teclado como qwertyuiop, una frase famosa o un verso de una canción están entre lo primero que prueban los atacantes: aaaaaaaaaaaaaaaa tiene 16 caracteres y se califica como Muy débil. Una contraseña larga también puede estar en filtraciones, lo que la califica como Expuesta: correcthorsebatterystaple aparece 4173 veces.

¿Necesito símbolos, números y mayúsculas?

No para la fortaleza. Las reglas actuales de NIST indican a los sitios que dejen de exigirlos, porque llevan a elecciones predecibles como Password1!, y el verificador nunca marca como problema que falte un tipo. La longitud y la aleatoriedad importan mucho más: 20 minúsculas aleatorias (94 bits) superan a 12 caracteres aleatorios de todos los tipos (78 bits). Algunos sitios aún los exigen, por eso el generador puede añadirlos.

¿Cuánto se tarda en descifrar una contraseña de 8 caracteres?

Una aleatoria, con los 94 caracteres del teclado: unas 2 horas con una RTX 5090 si el sitio la guardó como hash NTLM, 4 horas como MD5 y unos 10 000 años con bcrypt de costo 10. Una de 8 caracteres elegida por una persona, como una palabra y un año, cae en menos de un segundo contra esos hashes rápidos y en unas horas contra bcrypt.

¿Se puede hackear una contraseña fuerte?

Sí, porque la fortaleza solo mide la adivinación. Las páginas de phishing, los keyloggers y el malware capturan una contraseña mientras la escribe, por larga que sea, y una contraseña repetida en un sitio vulnerado se prueba en sus otras cuentas. Use una contraseña distinta en cada sitio, active la verificación en dos pasos y compruebe adónde lleva realmente un enlace antes de iniciar sesión.

¿Por qué una contraseña que parece fuerte aparece como Expuesta?

Porque está en datos de filtraciones, y los atacantes prueban esas contraseñas antes que ninguna otra. Recorrer toda la lista de unos 2,07 mil millones le toma a una tarjeta gráfica menos de un segundo contra hashes MD5 o NTLM y unos días contra bcrypt, así que la complejidad ya no la protege. NIST obliga a los sitios a rechazar las contraseñas filtradas por la misma razón. Expuesta anula cualquier otra calificación.

¿Por qué la comprobación de filtraciones no se hace mientras escribo?

Porque una comprobación con cada tecla enviaría un prefijo nuevo por cada letra, y esa serie de prefijos podría revelar la contraseña a quien vigile el tráfico. Have I Been Pwned aconseja esperar a que se introduzca la contraseña completa, así que el verificador comprueba al salir del campo, al pulsar Intro o al pegar. La calificación de fortaleza sí se actualiza mientras escribe.

¿Le falta algo?Sugiera una función o una herramienta nueva

Herramientas relacionadas