Medidor de seguridad de contraseñas
Escribe una contraseña y mira lo fácil que es de adivinar: una puntuación realista que detecta palabras de diccionario, patrones de teclado, fechas y trucos habituales. Opcionalmente puedes comprobar si aparece en filtraciones conocidas.
Se ejecuta en tu navegador: no se sube nada.
Seguridad
·
Tiempo estimado para romperla
Suponiendo 100 intentos por hora online (limitado), 10 por segundo online, 10.000 por segundo offline contra un hash lento y 10.000 millones por segundo contra un hash rápido.
¿Ha aparecido en una filtración?
Opcional y desactivado hasta que pulses el botón. Solo se envían los 5 primeros caracteres del hash SHA-1 de la contraseña al servicio de rangos de Have I Been Pwned (api.pwnedpasswords.com); la contraseña en sí no sale de tu navegador.
Cómo se usa
- Escribe o pega una contraseña. La puntuación, los tiempos estimados y los consejos se actualizan al escribir.
- Lee el aviso y las sugerencias: añadir palabras impredecibles suele servir más que añadir símbolos.
- Si quieres, pulsa «Comprobar filtraciones» para ver si la contraseña ya se filtró.
Preguntas frecuentes
¿Se envía mi contraseña a algún sitio?
No por el análisis de seguridad: se hace por completo en tu navegador. Esta página no carga anuncios, analítica ni scripts de terceros y no registra nada. La única petición de red es la comprobación de filtraciones, y solo cuando pulsas su botón.
¿Qué envía la comprobación de filtraciones?
Usa la API de rangos con k-anonimato de Have I Been Pwned: tu navegador calcula el SHA-1 de la contraseña y envía solo los 5 primeros caracteres de ese hash. El servicio devuelve todos los hashes filtrados que empiezan así y tu navegador busca el resto en local, así que la contraseña y su hash completo no salen de la página. Las peticiones no llevan cookies ni referrer y piden respuestas con relleno.
¿Cómo se calcula la puntuación?
Con zxcvbn-ts, que estima cuántos intentos necesita un atacante teniendo en cuenta contraseñas, nombres y palabras comunes, recorridos del teclado, repeticiones, secuencias y fechas, no solo la longitud y los tipos de caracteres. La puntuación va de 0 (muy adivinable) a 4 (muy difícil de adivinar).
¿Qué suponen los tiempos de ruptura?
Cuatro escenarios: un ataque online limitado a 100 intentos por hora, un ataque online sin límite a 10 por segundo, un ataque offline contra un hash lento a 10.000 por segundo y un ataque offline contra un hash rápido a 10.000 millones por segundo. Los atacantes reales varían; tómalos como órdenes de magnitud.
¿Debo probar mis contraseñas reales?
Aquí es seguro, pero es buena costumbre probar el patrón y no la contraseña: si una parecida puntúa mal, cambia cómo creas contraseñas y usa un generador con un gestor de contraseñas.