¿Qué longitud debe tener una contraseña?

Quien intenta adivinar una contraseña tiene que recorrer las combinaciones posibles. Cada carácter adicional multiplica ese número por el tamaño del alfabeto. Con los 90 caracteres de un generador típico (letras, números y símbolos), una contraseña de 12 caracteres tiene unas 2,8 × 10²³ combinaciones, mientras que una de 16 tiene unas 1,9 × 10³¹: aproximadamente 66 millones de veces más.

Añadir símbolos a una contraseña corta ayuda mucho menos. Pasar de 62 caracteres posibles (letras y números) a 90 añade alrededor de medio bit de entropía por carácter, mientras que un carácter más añade más de seis bits.

• Cuentas online habituales: al menos 16 caracteres aleatorios, guardados en un gestor de contraseñas.
• Cuentas importantes, como el correo, el banco o el propio gestor de contraseñas: 20 caracteres o más, y verificación en dos pasos.
• Redes Wi-Fi: 20 caracteres o más. Se escribe pocas veces, y un código QR puede compartirla por ti.
• Una contraseña que debes memorizar: una frase de cinco o seis palabras aleatorias es más fácil de recordar que caracteres aleatorios con la misma fortaleza.

Los estándares de seguridad apuntan en la misma dirección. La última revisión de las directrices de identidad digital del NIST (SP 800-63B) pide a los servicios que exijan al menos 15 caracteres cuando la contraseña es el único factor de acceso, y que acepten contraseñas largas en lugar de imponer reglas de composición complejas.

La longitud solo ayuda si la contraseña es impredecible. «Verano2026!» tiene once caracteres, pero sigue un patrón que las herramientas de ataque prueban pronto. Cambiar letras por números (c0ntr4seña) o añadir un año tampoco sirve.

Una contraseña realmente aleatoria no tiene ningún patrón que aprovechar. Eso es lo que hace el generador de contraseñas: elige cada carácter con el generador criptográfico de números aleatorios de tu navegador, sin sesgos, y nada sale de tu dispositivo.

Incluso una contraseña larga se vuelve débil si la reutilizas. Cuando se filtran los datos de una web, los atacantes prueban las combinaciones de correo y contraseña en otros servicios. Usar una contraseña distinta en cada cuenta limita el daño a un solo sitio.

Nadie puede recordar decenas de contraseñas largas y aleatorias, y no hace falta. Un gestor de contraseñas las guarda, las rellena por ti y te avisa de las reutilizadas. Solo tienes que recordar una contraseña maestra robusta.

• 16 caracteres o más para las cuentas normales y 20 o más para las importantes.
• Generadas al azar, no inventadas.
• Distintas en cada sitio.
• Guardadas en un gestor de contraseñas.
• Verificación en dos pasos activada siempre que esté disponible.