Cuánto resistiría su contraseña un ataque y qué es exactamente lo que la debilita
Runs in your browser. Only the lookup you start is sent to api.pwnedpasswords.com; nothing else leaves your device.La fuerza no depende de los símbolos, sino de cuántos intentos necesitaría un atacante. Esta herramienta estima cuánto resistiría la suya, nombra el patrón que la debilita y muestra lo que realmente aportan 4 caracteres más. Su contraseña se comprueba dentro del navegador.
Esta página se ha traducido automáticamente del original en inglés. Ninguna persona ha revisado todavía la traducción, así que la versión en inglés es la que debe consultar. Leer el original en inglés
Escriba o pegue la contraseña en Contraseña que comprobar; pulse Mostrar si quiere ver los caracteres.
Lea el medidor de fuerza y la tarjeta Tiempo para descifrarla, que estiman cuánto necesitaría un atacante.
Añada su nombre, su correo o el sitio en Palabras que penalizar, para que las contraseñas basadas en ellos puntúen menos.
Pulse Comprobar filtraciones para buscar en la lista de Have I Been Pwned; solo se envían 5 de los 40 caracteres del hash.
Revise la lista Qué corregir y pulse Copiar informe para guardar el resultado.
Este comprobador puntúa su contraseña de 0 a 4 e indica cuánto resistiría cuatro ataques reales: intentos contra un inicio de sesión con y sin límite de intentos, y el descifrado de un hash robado guardado con un algoritmo lento o rápido. Nombra los patrones que debilitan una contraseña, como palabras de diccionario, secuencias de teclado, fechas y repeticiones, y dice qué cambiar.
Se usa antes de fijar una contraseña maestra o una clave de Wi-Fi, o para mostrar a un compañero por qué Summer2024! es mala idea aunque cumpla todas las casillas de un formulario de registro. También detecta problemas que los formularios ignoran: espacios al principio o al final que algunos sitios eliminan, y contraseñas de más de 72 bytes, que bcrypt recorta sin avisar.
La puntuación usa zxcvbn-ts con diccionarios en inglés y de contraseñas comunes, y se ejecuta en su navegador. La contraseña nunca se guarda, se registra ni se envía. Las palabras que añada a la lista de penalización, como su nombre, también se quedan en la página.
La comprobación opcional de filtraciones es la única función de este sitio que hace una llamada de red con algo derivado de lo que escribe, por eso está desactivada hasta que hace clic. Su navegador calcula el hash SHA-1 de la contraseña y envía solo los cinco primeros de sus cuarenta caracteres a Have I Been Pwned. El servicio devuelve todos los hashes filtrados que empiezan por esos cinco caracteres, varios cientos, y la coincidencia se busca aquí. Ni el servicio ni nadie que observe la conexión conoce la contraseña, ni siquiera su hash completo.
Un buen resultado no autoriza a reutilizarla. Genere una contraseña distinta para cada sitio con el Password Generator y guárdelas en un gestor de contraseñas.
Aquí, sí. La puntuación se calcula en su navegador y la contraseña nunca se envía, se guarda ni se registra. Solo la comprobación opcional de filtraciones contacta con otro servidor, y envía únicamente cinco caracteres de un hash unidireccional, nunca la contraseña. Si aun así prefiere no hacerlo, pruebe una contraseña construida igual que la suya.
zxcvbn estima cuántos intentos necesitaría un atacante que conoce contraseñas comunes, palabras, nombres, fechas y patrones de teclado. Ese número se divide entre cuatro ritmos de intento: 100 por hora para un inicio de sesión con límite, 10 por segundo para uno sin límite, 10.000 por segundo para un hash bcrypt robado y 10.000 millones por segundo para un hash MD5 o SHA-1 robado.
La comprobación usa k-anonimato. Su navegador calcula el hash SHA-1 de la contraseña y envía solo los 5 primeros de los 40 caracteres hexadecimales a Have I Been Pwned. El servicio responde con todos los hashes filtrados que empiezan por esos caracteres, normalmente entre 800 y 1.000, y esta página busca el suyo en esa lista. La comprobación está desactivada hasta que hace clic.
Porque los atacantes prueban las sustituciones que hace la gente. P@ssw0rd2024! es una palabra de diccionario con cambios previsibles, un año y un símbolo al final, y las herramientas de descifrado la prueban en segundos. La longitud y la imprevisibilidad importan mucho más que los símbolos: cuatro palabras aleatorias superan a una contraseña corta llena de caracteres especiales.
A un 4, muy fuerte, para el correo, el gestor de contraseñas y la banca, porque dan acceso a todo lo demás. Un 3 es aceptable para cuentas que limitan los intentos de inicio de sesión. Todo lo que puntúe de 0 a 2 se puede adivinar o descifrar rápido en cuanto se filtra un sitio, así que cámbiela y no la reutilice.
bcrypt, una de las formas más comunes en que los sitios web guardan contraseñas, solo lee los primeros 72 bytes. Lo que va después se ignora, así que una contraseña más larga no gana nada en esos sitios. La mayoría de los caracteres ocupan un byte, pero las letras con acento ocupan dos y el hindi o los emoji tres o cuatro, así que el límite llega antes de lo que sugiere el número de caracteres.
¿Sigue sin resolverlo? Pregunte sobre Comprobador de seguridad de contraseñas y cualquiera que lo sepa puede responder. No se necesita cuenta.