Un medidor de fuerza que solo dice "fuerte" o "débil" no dice mucho. La entropía en bits, en cambio, es una medida concreta y comparable: cuantifica exactamente cuántas combinaciones posibles tiene una contraseña, y a partir de ahí se puede calcular algo tangible, como el tiempo estimado que tardaría en romperse por fuerza bruta.
Qué significa la entropía en bits
La entropía mide la cantidad de información, en bits, necesaria para representar todas las combinaciones posibles de una contraseña. Cada bit adicional duplica el número de combinaciones posibles. Una contraseña con 40 bits de entropía tiene 2⁴⁰ combinaciones posibles (aproximadamente un billón); con 60 bits, ya hablamos de más de mil billones de combinaciones.
La fórmula básica es: entropía = longitud × log₂(tamaño del alfabeto usado). Si usas solo minúsculas (26 caracteres posibles por posición), cada carácter aporta menos entropía que si usas minúsculas, mayúsculas, números y símbolos (más de 90 caracteres posibles por posición).
Por qué la longitud importa más que la complejidad
Es más eficiente en términos de entropía añadir caracteres que añadir variedad de tipos de carácter. Pasar de 8 a 12 caracteres (todos minúsculas) añade más entropía real que añadir símbolos a una contraseña de 8 caracteres. Esto es contraintuitivo frente a la creencia popular de que "más símbolos = más segura", pero es lo que dicta la matemática de las combinaciones.
Cómo se mide la fuerza real de una contraseña
- Escribe la contraseña que quieres evaluar (se analiza en tu navegador, sin enviarla a ningún sitio).
- La herramienta calcula la entropía en bits según su longitud y variedad de caracteres.
- Detecta patrones comunes que reducen la entropía real por debajo de lo que sugiere el cálculo teórico: palabras de diccionario, secuencias de teclado, fechas.
Puedes hacerlo gratis con la calculadora de entropía de contraseña de esta web, que nunca envía la contraseña fuera de tu navegador.
Por qué el cálculo teórico a veces miente
Una contraseña como P@ssw0rd123 parece tener buena entropía teórica por su longitud y variedad de caracteres, pero en la práctica es una de las primeras que prueba cualquier atacante, porque los patrones de sustitución obvios (@ por a, 0 por o) y las palabras de diccionario están en las listas de ataque más comunes. Una buena calculadora de entropía no solo cuenta combinaciones matemáticas: también detecta estos patrones y ajusta la estimación de fuerza real a la baja cuando los encuentra.
De bits a "tiempo para romperla"
La entropía en bits se traduce directamente en un tiempo estimado de ataque por fuerza bruta, asumiendo una capacidad de cómputo determinada (por ejemplo, mil millones de intentos por segundo, una cifra realista para hardware de ataque moderno):
- Menos de 40 bits: segundos a minutos.
- 40-60 bits: horas a meses.
- 60-80 bits: años a siglos.
- Más de 80 bits: prácticamente inviable con la tecnología actual.
Preguntas frecuentes
¿Cuántos bits de entropía necesito para estar tranquilo? Como referencia general, 60+ bits es un buen objetivo para contraseñas importantes; para la contraseña maestra de un gestor, apunta a 80+ bits.
¿Se envía mi contraseña a algún servidor al medir la entropía? No, si usas una herramienta que procesa en el navegador; el cálculo y la detección de patrones ocurren completamente en local.
¿Por qué mi contraseña con símbolos tiene menos entropía real que una más larga sin símbolos? Porque la entropía depende más de la longitud que de la variedad de caracteres; una contraseña larga de solo minúsculas puede superar en combinaciones posibles a una corta con símbolos.
¿Sirve esto para contraseñas que ya uso, o solo para generar nuevas? Sirve para ambos casos: puedes evaluar la fuerza real de una contraseña existente para decidir si merece la pena cambiarla.
Mide la fuerza real de cualquier contraseña gratis con la calculadora de entropía, con detección de patrones y sin que salga de tu navegador.