Frase de contraseña vs contraseña aleatoria
Última actualización: 2 de noviembre de 2026
Hay dos formas válidas de tener una contraseña fuerte: una cadena corta de caracteres aleatorios que no vas a recordar, o una frase larga de palabras al azar que sí puedes recordar. Ninguna es "mejor" en todo; resuelven problemas distintos. Esta guía compara su fuerza con números, resume lo que exige el estándar NIST vigente y te dice cuál usar en cada situación — incluyendo el error que invalida la fuerza de una frase.
Lo que dice el estándar NIST actual (y qué cambió)
La publicación NIST SP 800-63B-4, la guía de autenticación del gobierno de Estados Unidos que muchas organizaciones toman como referencia, establece por escrito varias reglas sobre contraseñas. Las más relevantes para esta guía: una contraseña usada como único factor de autenticación debe tener un mínimo de 15 caracteres (si solo forma parte de una autenticación multifactor, el mínimo baja a 8); los sistemas deberían permitir longitudes de al menos 64 caracteres; y NO deben imponer reglas de composición, como exigir mezclar mayúsculas, números y símbolos, ni obligar a cambiar la contraseña periódicamente salvo que haya evidencia de que se comprometió.
El cambio de fondo es de enfoque: el estándar prioriza la longitud sobre la complejidad aparente. La razón práctica es que las reglas de composición empujan a las personas a patrones predecibles ("Contraseña1!"), mientras que una contraseña más larga eleva el espacio de búsqueda sin hacerla más difícil de recordar. Esto es justo lo que hace atractiva a una frase de varias palabras.
Cómo se mide la fuerza: entropía en bits
La entropía en bits resume cuántas combinaciones tendría que probar un atacante: cada bit adicional duplica el espacio de búsqueda. Para una contraseña de caracteres aleatorios, cada carácter aporta log₂(N) bits, donde N es el tamaño del alfabeto: con los 94 caracteres imprimibles son ≈6.55 bits por carácter. Para una frase, cada palabra elegida al azar de una lista de 7 776 palabras (la lista larga de EFF para Diceware, pensada para tirarse con cinco dados) aporta log₂(7776) ≈ 12.9 bits por palabra.
La tabla siguiente compara ambas con los mismos supuestos de la guía de tiempos de crackeo: una sola GPU de gama alta, 1.6 × 10¹¹ intentos por segundo contra un hash rápido y unos 1.7 × 10³ contra bcrypt de costo 12. Son tiempos para recorrer todo el espacio (el peor caso); en promedio, la mitad.
| Tipo | Longitud | Entropía | Hash rápido | bcrypt (costo 12) |
|---|---|---|---|---|
| Frase (lista de 7 776 palabras) | 4 palabras | 51.7 bits | 6 horas | 7.0 × 10⁴ años |
| Frase (lista de 7 776 palabras) | 5 palabras | 64.6 bits | 6 años | 5.4 × 10⁸ años |
| Frase (lista de 7 776 palabras) | 6 palabras | 77.5 bits | 4.4 × 10⁴ años | 4.2 × 10¹² años |
| Frase (lista de 7 776 palabras) | 7 palabras | 90.5 bits | 3.4 × 10⁸ años | 3.3 × 10¹⁶ años |
| Caracteres aleatorios (94) | 8 caracteres | 52.4 bits | 11 horas | 1.2 × 10⁵ años |
| Caracteres aleatorios (94) | 12 caracteres | 78.7 bits | 9.4 × 10⁴ años | 9.1 × 10¹² años |
| Caracteres aleatorios (94) | 16 caracteres | 104.9 bits | 7.4 × 10¹² años | 7.1 × 10²⁰ años |
Qué muestra la comparación
Una frase de 6 palabras al azar (77.5 bits) es prácticamente equivalente en fuerza a una contraseña de 12 caracteres aleatorios (78.7 bits). La diferencia es que la frase se recuerda y se teclea con relativa facilidad, y la cadena de caracteres no. Una frase de 4 palabras, en cambio, equivale a una contraseña de solo 8 caracteres aleatorios: contra un hash rápido cae en cuestión de horas. Por eso 4 palabras se consideran el límite inferior y 6 una cifra más segura para algo importante.
También hay un límite hacia arriba de lo que tiene sentido: 16 caracteres aleatorios dan 104.9 bits, mucho más de lo que se necesita para resistir un ataque realista incluso con hardware dedicado. Pasado cierto punto, alargar más no te protege contra el riesgo que sí importa: que el sitio guarde mal tu contraseña, que la reutilices o que te la roben por phishing o malware.
El error que invalida la fuerza de una frase
Las cifras de la tabla solo valen si las palabras se eligieron al azar y de una lista conocida, por ejemplo tirando dados. Una frase que "suena aleatoria" pero la inventaste tú ("mi perro come galletas azules") no tiene 12.9 bits por palabra: los humanos elegimos palabras comunes, relacionadas entre sí y con sintaxis natural, y un atacante que modele frases en vez de caracteres las prueba mucho antes. Lo mismo aplica a una cita famosa, una letra de canción o un refrán, que están en listas de diccionario.
Dos reglas prácticas: no modifiques la frase generada para que "se vea más segura" (cambiar letras por símbolos aporta casi nada y dificulta recordarla) y no elijas las palabras tú. Si quieres frases por palabras, usa la lista de EFF con dados reales o un gestor de contraseñas que ofrezca generación de frases con una fuente criptográfica.
Cuál usar en cada caso
Para la inmensa mayoría de tus cuentas, la respuesta es una contraseña de caracteres aleatorios, única por servicio, guardada en un gestor de contraseñas. No necesitas recordarla, así que la longitud y la aleatoriedad no cuestan nada; 16 caracteres o más es un valor cómodo. Puedes generarla con el generador de contraseñas de este sitio, que construye cada carácter con crypto.getRandomValues() en tu navegador.
La frase de varias palabras es la mejor opción para lo que SÍ tienes que recordar y teclear sin ayuda: la contraseña maestra del gestor, el inicio de sesión de tu computadora, el cifrado de un disco. Ahí una frase de 6 palabras aleatorias da fuerza equivalente a una contraseña larga y es mucho más fácil de memorizar. En ambos casos, activa la verificación en dos pasos donde exista: ninguna contraseña, por larga que sea, te protege de que la entregues en una página falsa.
Preguntas frecuentes
- ¿Cuántas palabras debe tener una frase de contraseña segura?
- Con palabras elegidas al azar de una lista de 7 776 (como la lista de EFF para Diceware), 4 palabras dan unos 51.7 bits, que contra un hash rápido caen en horas. 5 palabras (64.6 bits) es un mínimo razonable y 6 (77.5 bits) es más seguro para cuentas importantes.
- ¿Qué longitud mínima exige NIST para una contraseña?
- El texto de NIST SP 800-63B-4 exige un mínimo de 15 caracteres cuando la contraseña es el único factor de autenticación, y permite 8 cuando solo forma parte de una autenticación multifactor. También indica que los sistemas no deben imponer reglas de composición ni cambios periódicos obligatorios.
- ¿Una frase con símbolos y números es más fuerte?
- Casi nada. Sustituir letras por símbolos de la forma habitual ("a" por "@") es un patrón que los atacantes ya incluyen en sus reglas. Añadir una palabra más aleatoria aporta mucho más: cada palabra suma unos 12.9 bits.
- ¿Puedo usar una frase famosa o una letra de canción?
- No. Las frases conocidas, refranes y letras están en listas de diccionario y un atacante las prueba mucho antes que combinaciones realmente aleatorias, sin importar cuántos caracteres tengan.
- ¿Necesito entonces una frase si uso un gestor de contraseñas?
- Para las cuentas guardadas en el gestor, no: usa caracteres aleatorios largos. Sí necesitas una frase memorable para la contraseña maestra del propio gestor y para lo que debas teclear sin él, como el inicio de sesión del equipo.