Comprobador de fuerza de contraseñas

Funciones

• ⚠️ La primera línea avisa de que no uses una contraseña real — el único punto donde esta herramienta podría causar daño
• Dos cifras de entropía: la bruta, por longitud y juego de caracteres, y la efectiva, tras las penalizaciones por patrón
• Detección de contraseñas comunes que ve a través de cambios de mayúsculas, sustituciones leet como p@ssw0rd e inserciones como pass-word
• Detección de patrones: recorridos de teclado (qwerty), secuencias (abcd / 4321), años y fechas, repeticiones (aaa / ababab) y sustituciones leet
• Cinco escenarios de ataque con su tiempo: en línea con límite, en línea sin límite, hash lento en local (bcrypt y compañía), hash rápido en local con una GPU y un clúster de GPU — cada uno con su velocidad supuesta indicada
• Varias candidatas a la vez, agrupadas por línea para compararlas
• Una contraseña que está en la lista común se marca como «ninguna protección» por mucha entropía que aparente

Cómo se usa

1. ⚠️ No pegues primero una contraseña real — usa una de la misma forma
2. Pega las candidatas, una por línea
3. Lee la entropía efectiva y los patrones detectados, y compara los cinco tiempos de descifrado

Preguntas frecuentes

¿Es segura esta página? ¿Puedo escribir mi contraseña real?

Técnicamente sí, pero no lo hagas. La página es estática, la entrada solo se usa dentro de tu navegador y no se hace ninguna petición — puedes comprobarlo en el panel de red del navegador. Pero la página en sí vino de la red y no puedes verificar que no la hayan alterado por el camino. Una página de fuerza de contraseñas invita de forma natural a escribir la real, y ese es su único riesgo real. Una sustituta de forma parecida da el mismo veredicto.

¿Por qué no basta la fórmula de la entropía?

Porque la entropía solo ve la longitud y el juego de caracteres: no puede saber si la cadena significa algo. `Password1!` tiene 9 caracteres de las cuatro clases, unos 59 bits según la fórmula, y parece bien — pero es `Password` con `1!` añadido, y está en la primera página del diccionario de cualquier atacante. Al revés, `qwertyuiop` son 10 minúsculas, unos 47 bits, y es una fila del teclado. Por eso primero van la lista común y las penalizaciones por patrón: réstale lo que una persona adivinaría, y solo lo que queda cuenta como entropía.

¿Por qué los tiempos de descifrado varían tanto?

Porque el coste de un intento cambia diez órdenes de magnitud. Las interfaces en línea suelen limitar la tasa (diez por segundo), así que cada bit extra cunde muchísimo. Cuando el atacante tiene los hashes de una filtración, trabaja en local a cientos de miles de millones por segundo y la misma contraseña cae casi al instante. Es también por esto que el algoritmo de hash importa más que la longitud: bcrypt, scrypt y Argon2 son lentos a propósito, y arrastran «cien mil millones por segundo» de vuelta a «diez mil por segundo».

Mi contraseña dice «muy fuerte»: ¿estoy a salvo?

No necesariamente. Este veredicto cubre solo la búsqueda exhaustiva en local. El riesgo real incluye además: que la misma contraseña se haya filtrado en otro sitio (esta herramienta no ve listas de filtraciones), el phishing, los registradores de teclas y las extensiones maliciosas del navegador. Un gestor de contraseñas con verificación en dos pasos vale más que cualquier puntuación de fuerza.