Resumen: la longitud importa más que la complejidad — las pautas actuales de NIST sobre contraseñas (SP 800-63B) favorecen explícitamente frases de contraseña largas frente a combinaciones forzadas de símbolos/números, y recomiendan verificar contra listas de contraseñas comprometidas conocidas en lugar de hacer expirar las contraseñas según un calendario. Combina esta guía con Character Counter, Text Encryption, Duplicate Finder y AI Hidden Characters.
La fortaleza de una contraseña se trata fundamentalmente de entropía — cuántos intentos necesita un atacante en promedio — y la longitud aumenta la entropía exponencialmente, mientras que añadir un símbolo obligatorio solo la aumenta linealmente.
Por qué la longitud vence a las reglas de complejidad
El espacio de búsqueda de una contraseña crece con el tamaño del conjunto de caracteres elevado a la potencia de su longitud: una contraseña de 8 caracteres solo minúsculas tiene aproximadamente 26⁸ (~2×10¹¹) combinaciones posibles, pero una frase de contraseña de 16 caracteres solo minúsculas tiene 26¹⁶ — muchos órdenes de magnitud más grande — a pesar de usar un conjunto de caracteres más pequeño y simple. Esta es la razón principal por la que NIST SP 800-63B recomienda frases de contraseña largas frente a cadenas cortas y complejas: cuatro palabras aleatorias no relacionadas son a la vez más fáciles de recordar y más difíciles de forzar que "P@ssw0rd1!".
Qué dejó realmente de recomendar NIST
Dos "mejores prácticas" de larga data ahora se desaconsejan explícitamente en las pautas actuales de NIST: la expiración periódica obligatoria de contraseñas (que tiende a hacer que la gente elija contraseñas más débiles y predecibles cuando se les fuerza a cambiarlas seguido — un patrón común es incrementar un número al final), y las reglas de complejidad forzada que requieren clases específicas de caracteres, que empujan hacia sustituciones predecibles (@ por a, 0 por o) que los diccionarios de los atacantes ya contemplan. La recomendación actual en cambio es: permitir contraseñas largas (64+ caracteres), no forzar complejidad arbitraria, y verificar las contraseñas nuevas contra listas de credenciales comprometidas conocidas.
Por qué verificar contra listas de filtraciones importa más que un medidor de fortaleza
Una contraseña puede tener alta entropía teórica — larga, de apariencia aleatoria, mayúsculas y minúsculas mixtas — y aun así ser peligrosa si aparece en una filtración de datos conocida, porque los atacantes usan estas listas filtradas como primer intento, no fuerza bruta. Por eso existen servicios como la API de contraseñas de Have I Been Pwned: verificar una contraseña nueva contra listas de filtraciones conocidas captura un riesgo real que una estimación genérica de fortaleza, que solo mide aleatoriedad teórica, no puede ver.
Un enfoque práctico
- Usa una frase de contraseña de 4+ palabras no relacionadas, o una cadena aleatoria de 16+ caracteres, en lugar de una corta y compleja.
- Nunca reutilices una contraseña entre varios sitios — una filtración en un servicio se convierte en un ataque a toda cuenta que use la misma contraseña.
- Verifica las contraseñas nuevas contra listas de filtraciones conocidas en lugar de confiar solo en un medidor visual de "fortaleza".
- Usa un gestor de contraseñas para generar y almacenar contraseñas únicas por sitio — longitud y unicidad dejan de ser una carga para la memoria una vez que no las memorizas tú.
- Rota una contraseña solo cuando haya una razón específica (una filtración sospechada), no según un calendario arbitrario.
Errores comunes que evitar
- Priorizar la complejidad de símbolos/números sobre la longitud bruta — la longitud contribuye mucha más entropía por cada carácter añadido.
- Reutilizar una contraseña fuerte en múltiples cuentas, lo que anula el propósito en el momento en que un sitio es comprometido.
- Confiar en una contraseña porque "parece aleatoria" sin verificar si aparece en una filtración conocida.
- Rotar contraseñas según un calendario fijo por costumbre — las pautas actuales de NIST desaconsejan explícitamente esta práctica.
Una contraseña fuerte hoy es una larga y única — verificada contra filtraciones conocidas, no una cadena forzada a través de reglas de complejidad arbitrarias que mayormente la hacen más difícil de recordar y no más difícil de adivinar.