Cómo crear una contraseña segura (y por qué la mayoría no lo son)

La mayoría de las filtraciones de cuentas no ocurren porque alguien 'hackeó' nada: ocurren porque la misma contraseña débil se reutilizó en varios sitios, y cuando uno de ellos sufre una filtración, los atacantes la prueban automáticamente en el resto. Crear contraseñas seguras y distintas para cada servicio sigue siendo, hoy, la defensa más efectiva y más ignorada.

Lo que realmente hace fuerte a una contraseña

La longitud pesa más que la complejidad. Una contraseña de 16 caracteres aleatorios con solo minúsculas es, en la práctica, más difícil de forzar por fuerza bruta que una de 8 caracteres con mayúsculas, números y símbolos mezclados. Esto se debe a que cada carácter adicional multiplica exponencialmente el número de combinaciones posibles, mientras que añadir tipos de carácter solo lo hace de forma lineal.

• Prioriza la longitud: al menos 12-16 caracteres para cuentas normales
• Combina tipos de carácter cuando el sitio lo permita, pero no a costa de longitud
• Nunca reutilices la misma contraseña en dos sitios distintos
• Usa un gestor de contraseñas para no depender de la memoria

Por qué Math.random() no sirve para esto

Muchos generadores de contraseñas 'caseros' en JavaScript usan Math.random(), que es un generador de números pseudoaleatorios diseñado para animaciones y juegos, no para seguridad — su secuencia es predecible si se conoce el estado interno. Un generador de contraseñas serio debe usar un CSPRNG (generador criptográficamente seguro), como crypto.getRandomValues(), disponible de forma nativa en cualquier navegador moderno.

Cómo generar una contraseña fuerte en segundos

1. 1

   Elige una longitud de al menos 16 caracteres

   Cuanto más larga, mejor — dentro de lo que el sitio permita.

2. 2

   Activa varios tipos de carácter

   Mayúsculas, minúsculas, números y símbolos, si el servicio los acepta.

3. 3

   Genera y copia

   La contraseña se crea con crypto.getRandomValues() directamente en tu navegador.

4. 4

   Guárdala en un gestor de contraseñas

   Así no necesitas memorizarla ni anotarla en texto plano.

El generador de contraseñas de Herramio hace exactamente esto: usa la API criptográfica nativa del navegador, nunca envía la contraseña generada a ningún servidor, y muestra un indicador de fortaleza para que sepas de un vistazo si vale la pena regenerar.