Para mucha gente, la tira de xkcd zanjó el tema: cuatro palabras comunes le ganan a un revoltijo impronunciable, y además puedes recordarla. La tira tiene razón, pero el motivo por el que la tiene se recuerda mal, y ese malentendido produce frases de contraseña realmente débiles.
Lo que hace fuerte a una frase de contraseña
No es que sea larga. Es que las palabras se eligieron al azar, de una lista grande.
La fuerza sale de cuántas posibilidades igualmente probables tiene que recorrer un atacante. Si eliges cuatro palabras al azar de una lista de 7776 palabras —la lista estándar de Diceware— hay 7776⁴ combinaciones, unas 3,6 × 10¹⁵. Eso son unos 52 bits de entropía, y no importa en absoluto que el atacante sepa que usaste exactamente este método con exactamente esta lista. Conocer el método no reduce la búsqueda.
Ahora elige tú mismo cuatro palabras. No las vas a elegir al azar, porque las personas no podemos. Vas a elegir palabras que se relacionan entre sí, palabras que te gustan, palabras de tu vida. correct horse battery staple es el caso célebre de cuatro palabras aleatorias —y como hoy es la frase de contraseña más famosa del mundo, está en todos los diccionarios de cracking y cae de inmediato.
La diferencia entre esos dos casos es enorme. La misma estructura de cuatro palabras te da 52 bits cuando elige una máquina y quizá 20 cuando eliges tú.
Dónde gana cada una
| Frase de contraseña aleatoria | Contraseña aleatoria | |
|---|---|---|
| Escribirla en un teléfono o en un control remoto | Mucho más fácil | Doloroso |
| Decirla en voz alta | Posible | No |
| Recordarla | Realista | No |
| Entropía por tecla | Baja | Alta |
| Entra en un límite de 16 caracteres | Rara vez | Sí |
| Sobrevive a «debe contener un símbolo» | A duras penas | Sí |
Esa fila de entropía por tecla es el verdadero intercambio. Una contraseña aleatoria de 20 caracteres aporta unos 128 bits. Una frase de contraseña de cuatro palabras, de largo parecido al escribirla, aporta unos 52. La contraseña es más densa —pero nunca la vas a memorizar, y eso está bien cuando vive en un gestor de contraseñas.
Entonces: cuál, para qué
Usa una frase de contraseña para el puñado que tienes que escribir de memoria. La contraseña maestra de tu gestor de contraseñas. El inicio de sesión de tu dispositivo. La clave de cifrado de tu disco. Esas se escriben en teclados, en teléfonos y de vez en cuando en una consola de videojuegos, y son justo aquellas en las que poder recordarlas es un requisito ineludible y no una comodidad. Para ellas usa seis palabras en lugar de cuatro: unos 77 bits, y sigue siendo fácil.
Usa una contraseña aleatoria para todo lo demás. Cada cuenta de cada sitio va en un gestor de contraseñas, recibe 20 caracteres aleatorios o más y no la vuelves a ver nunca. No hay requisito de memorizarla, así que toma la opción más densa. El generador de contraseñas de este sitio hace justo eso y te muestra el tiempo de descifrado resultante frente a varios atacantes, lo que convierte la disyuntiva de la longitud en algo concreto y no teórico.
Generar una frase de contraseña como se debe
El método clásico es físico: tiras cinco dados, buscas el número de cinco cifras en una lista de palabras de Diceware y repites. Es lento y es realmente insuperable en cuanto a aleatoriedad, porque los dados no tienen opiniones.
El método práctico es un generador que usa una fuente aleatoria criptográficamente segura sobre una lista de palabras real. Lo que importa en ambos casos es que no puedes vetar palabras. En el momento en que vuelves a tirar porque una combinación «no te suena bien», reintrodujiste la elección humana y tiraste a la basura la propiedad que la hacía fuerte.
Dos detalles menores. Los separadores casi no importan —espacios, guiones o nada agregan casi cero, así que usa lo que acepte el sitio—. Y poner la primera letra en mayúscula agrega alrededor de un bit, es decir, nada; hazlo si un formulario lo exige, no por seguridad.
El problema del límite de longitud
Una frase de contraseña de seis palabras ocupa entre 30 y 40 caracteres, y una cantidad sorprendente de sitios limita en silencio la entrada a 16 o 20 —a veces recortándola sin avisarte, que es la forma de quedarte fuera de tu propia cuenta—. Si te topas con eso, el sitio te dijo algo sobre cómo trata la seguridad, y una contraseña aleatoria es la respuesta pragmática para esa cuenta.
Si quieres comprobar el largo de una frase antes de pegarla en un formulario que la va a cortar sin decir nada, el contador de caracteres es una manera más rápida de averiguarlo que descubrirlo en la pantalla de inicio de sesión.
Lo que ninguna de las dos arregla
La misma advertencia de siempre, porque es la que de verdad le cuesta las cuentas a la gente. Ni una frase de contraseña ni una contraseña te sirven si la reutilizas y uno de esos sitios sufre una filtración, y ninguna te sirve si la escribes en una página de inicio de sesión falsa pero convincente. Credenciales únicas por sitio y autenticación de dos factores hacen más que cualquier elección de esta página.
Elige la que vayas a usar de verdad, de forma constante. Una frase de contraseña de seis palabras que escribes bien todos los días le gana a una contraseña de 30 caracteres que te resulta tan molesta que tres semanas después la conviertes en Password1.
Para las cuentas que viven en un gestor de contraseñas, el generador de contraseñas es la herramienta correcta: ponlo en 20 caracteres y mira lo que pasa con el tiempo de descifrado mientras arrastras el control deslizante. Usa la fuente aleatoria criptográfica de tu navegador en lugar de Math.random(), lo que importa más de lo que suena, y nada sale de la página.
Si la tabla de arriba te dejó con la duda de qué significan realmente esos tiempos de descifrado —por qué la misma contraseña puede ser indescifrable frente a un atacante y caer en un día frente a otro—, cuánto se tarda en descifrar una contraseña recorre los cinco escenarios y explica de dónde salen las tasas de intentos.
Preguntas frecuentes
¿Una frase de contraseña es más segura que una contraseña?
Una frase de contraseña generada al azar es mucho más segura que una contraseña corta y mucho más fácil de recordar. Una frase en la que elegiste tú las palabras suele ser mucho más débil de lo que parece, porque la elección humana de palabras es muy predecible.
¿Cuántas palabras debería tener una frase de contraseña?
Cuatro palabras elegidas al azar de una lista grande dan unos 52 bits, que es razonable. Seis dan unos 77 bits y son el objetivo correcto para todo lo importante: la contraseña maestra de tu gestor, el inicio de sesión del dispositivo o el cifrado del disco.
¿«correct horse battery staple» es una buena frase de contraseña?
Fue una buena ilustración y hoy es una frase pésima. Ser el ejemplo más famoso del mundo la puso en todos los diccionarios de cracking, así que cae al instante. El método es sólido; ese resultado concreto está quemado.
¿Necesito separadores o mayúsculas en una frase de contraseña?
Por seguridad, no. Los separadores agregan casi nada y una mayúscula inicial agrega alrededor de un bit. Usa lo que te obliguen a usar las reglas del sitio y saca tu fuerza de la cantidad de palabras elegidas al azar.
¿Y si un sitio limita la longitud de la contraseña?
Una frase de seis palabras ocupa entre 30 y 40 caracteres y algunos sitios limitan la entrada a 16 o 20, a veces recortándola en silencio. Si te topas con ese límite, usa una contraseña aleatoria para esa cuenta, y toma nota de lo que ese límite dice del sitio.
Última actualización 19 de septiembre de 2026