Frase de contraseña vs contraseña tradicional
Una frase de contraseña es una secuencia de varias palabras elegidas al azar. En vez de memorizar «hT9$kR2p», recuerdas «caballo-batería-grapa-correcto»: igual de difícil de adivinar para un atacante, mucho más fácil para ti.
La idea fue popularizada por la viñeta de xkcd «Password Strength», y desde entonces organizaciones como el NIST (instituto estadounidense de estándares) o el NCSC británico la recomiendan oficialmente. La razón: la longitud es lo que mejor resiste un ataque por fuerza bruta, y las palabras son la forma más natural de obtener longitud sin sacrificar la memoria.
La entropía de las frases, en cifras
Cuando eliges palabras al azar de una lista pública, la entropía es palabras × log₂(tamaño de la lista). Este generador usa una lista de 2048 palabras comunes en español, sin tildes ni eñes para que se escriban igual en cualquier teclado, así que cada palabra aporta exactamente 11 bits. Es la misma idea que el método Diceware, cuya lista de 7776 palabras aporta unos 12,9 bits por palabra.
- 4 palabras: 44 bits. Suficiente solo para cuentas poco importantes protegidas además con 2FA.
- 5 palabras: 55 bits. Razonable para el día a día si el servicio limita los intentos.
- 6 palabras: 66 bits. Buen punto de partida para el correo o el desbloqueo del ordenador.
- 7 palabras: 77 bits. Recomendado para la contraseña maestra de tu gestor.
- 8 o más palabras: 88 bits o más. Para cifrado de discos, monederos o cualquier secreto que deba resistir ataques fuera de línea durante décadas.
Si necesitas más entropía, lo más eficaz es añadir una palabra más (+11 bits). Añadir un número al final suma unos 6,6 bits. Poner todas las palabras en mayúscula inicial ayuda a cumplir las reglas de algunos formularios, pero no añade seguridad: es una transformación predecible.
Cuándo usar una frase y cuándo no
Úsala para tu contraseña maestra del gestor de contraseñas, para tu cuenta de correo principal, para el cifrado de tu disco o de un volumen sensible, y en general para cualquier clave que necesites recordar tú. Son los casos donde una clave de 24 caracteres aleatorios resultaría inviable.
No la uses para cuentas que va a recordar tu gestor: ahí lo óptimo es una contraseña aleatoria larga del generador clásico, porque no necesitas memorizarla y aprovechas todo el alfabeto de caracteres posibles.
Consejos para memorizar tu frase
- Visualízala. Imagina una escena que conecte las palabras: «un caballo galopando junto a una batería gigante que cose con una grapadora correctamente». Cuanto más absurda, mejor se queda.
- Tecléala varias veces el primer día. La memoria muscular ayuda más que repetirla mentalmente.
- Apúntala una vez en papel en un sitio seguro de tu casa los primeros días, hasta que la tengas dominada. Luego destruye el papel.
- Evita compartirla por escrito. Si tienes que decirla a alguien, hazlo en persona.