Verificador de Fortaleza de Contraseña
Un verificador de fortaleza de contraseñas impulsado por el motor zxcvbn de Dropbox — el mismo algoritmo que usan grandes sitios como Stripe, GitLab y 1Password. Estima cuántos intentos necesitaría un atacante reconociendo diccionarios comunes, listas de contraseñas filtradas, secuencias de teclado, fechas y repeticiones — no solo contando clases de caracteres.
Cómo se usa
La puntuación se actualiza con cada pulsación. Pulse el icono del ojo para alternar la visibilidad.
Apunte a una puntuación de 3 o 4. Si ve avisos, atiéndalos — añadir un "1!" rara vez ayuda.
¿Login de servicio web? Online limitado. ¿Filtración de base de datos? Offline hash rápido — y esa es la fila que más importa.
Añada longitud y aleatoriedad hasta que la puntuación sea 4 en todas las filas.
Pruebe qué tan adivinable es realmente su contraseña — con diccionarios, patrones y datos de filtraciones reales
Tiempo para descifrar
Características
Preguntas frecuentes
¿Dónde ocurre la puntuación de la contraseña?
El estimador zxcvbn se ejecuta en su navegador vía JavaScript en cada pulsación — la misma librería del lado del cliente que usan el alta de Stripe, la creación de cuenta de GitLab, 1Password y Dropbox. No existe ningún endpoint /run para esta herramienta; la lógica de puntuación viene incluida en los recursos de la página y se computa localmente en su pestaña.
¿Qué es zxcvbn?
Un estimador de fortaleza de contraseñas creado por el ingeniero de Dropbox Daniel Lowe Wheeler. En lugar de contar clases de caracteres, estima el número de intentos necesarios usando diccionarios, patrones comunes y reconocimiento de sustitución l33t. Usado en producción por Stripe, GitLab, 1Password y muchos otros.
¿Por qué "Password123!" obtiene una puntuación baja?
Porque aparece en el top 1000 de toda lista de contraseñas filtradas, y el sufijo "123!" es la modificación más habitual. Un atacante las prueba primero.
¿Qué puntuación es "segura"?
La puntuación 4 (10⁹+ intentos) es segura frente a ataques offline. La puntuación 3 es segura frente a ataques online. Puntuación 2 e inferior es insegura en cualquier escenario.
¿Puedo confiar en las estimaciones de tiempo?
Son estimaciones conservadoras frente a atacantes bien equipados. Los adversarios reales varían, pero si una contraseña cae en "offline hash rápido, < 1 hora", es insegura para cualquier base de datos que pueda filtrarse.
¿Por qué la longitud importa más que los símbolos?
Porque añadir un carácter de longitud multiplica el espacio de búsqueda por el tamaño del alfabeto; añadir un símbolo solo cambia un carácter. Una contraseña de 16 caracteres todo minúsculas resiste más intentos que una "compleja" de 10 caracteres.
