Comprobador de seguridad de contraseñas gratis
Comprueba la fuerza de la contraseña sin conexión: estimación de conjeturas, contraseña común y detección de patrones, tiempos de crack para ataques en línea y fuera de línea, además de consejos.
Cargando herramienta…
Cómo comprobar la fuerza de una contraseña
Estima cuántas suposiciones tomaría una contraseña, qué patrones la debilitan y cuánto tiempo se resiste a los ataques, todo en esta página.
- Escribe o pega la contraseña. Se mantiene enmascarado a menos que presiones Show.
- Lee la etiqueta de resistencia y puntuación de 0 (muy débil) a 4 (muy fuerte).
- Comprobar los patrones encontrados: contraseñas comunes, caminatas de teclado, secuencias, repeticiones, fechas y palabras del diccionario.
- Compara los tiempos estimados de crack para los cuatro modelos de ataque, o establece tus propias conjeturas por segundo.
- Sigue las sugerencias y luego pulsa Borrar cuando haya terminado.
Cuándo comprobar la fuerza de una contraseña
La mayoría de los formularios de registro solo comprueban si una contraseña tiene una letra mayúscula, un número y un símbolo. A los atacantes no les importan esas reglas. Comienzan con listas de contraseñas filtradas, palabras comunes, nombres, fechas, patrones de teclado y sustituciones predecibles, y luego pasan a la fuerza bruta sólo cuando fallan. Una contraseña como Password123! pasa las reglas típicas y todavía cae rápidamente.
Este verificador estima la fuerza de la forma en que un atacante se acercaría a él. Es útil cuando se elige una nueva contraseña maestra para un administrador de contraseñas, cuando se explica a los colegas por qué una política no es suficiente, o cuando se quiere ver por qué una frase de paso supera a una contraseña compleja. Para una nueva contraseña aleatoria, el Generador de contraseñas crea uno en un clic.
Ejemplo trabajado: tres contraseñas comparadas
Summer2024! tiene 11 personajes de los cuatro grupos de personajes, por lo que un cálculo ingenuo de la piscina da unos 72 bits. El verificador encuentra a Summer, que está en el top 1,000 de contraseñas filtradas, y 2024, un año reciente, dejando sólo la fuerza bruta. Su estimación es de unos 6,5 millones de conjeturas, aproximadamente 23 bits, anotó Fair. A la velocidad offline de rápido-hash de 10 mil millones adivina por segundo que es menos de un segundo; a 10 mil por segundo contra bcrypt, unos 11 minutos; contra un login limitado a 100 intentos por hora, unos 7 años.
P@ssw0rd es peor: después de deshacer el @ y 0 swaps es la contraseña clásica, por lo que la estimación es sólo 16 suposiciones, anotó muy débil. Compara tulip-orbit-canvas-mango, cuatro palabras no relacionadas. Con la opción diccionario encendido, cada palabra es reconocida, sin embargo, la estimación es todavía alrededor de 1,3 veces 10 a las 23 conjeturas, alrededor de 77 bits, anotó muy fuerte, y cada modelo de ataque muestra siglos. Es por eso que se recomiendan largas frases de paso aleatorias.
Cómo se calcula la estimación
El verificador busca patrones: las 1.000 contraseñas más comunes de la colección pública de SecLists, sustituciones similares como @ para a y 0 para o, caminatas de teclado en QWERTY, QWERTZ, AZERTY y diseños de almohadillas de números, caracteres o trozos repetidos, secuencias de alfabeto y números, fechas en órdenes de día-mes-año, mes-día-año y año-mes-día, años y opcionalmente alrededor de 38,000 palabras del diccionario inglés. Cada patrón tiene un costo de adivinar; una contraseña común cuesta su rango, una caminata de teclado cuesta alrededor de 50 adivinaciones por personaje, y un año cuesta 200.
Luego encuentra la forma más barata de cubrir toda la contraseña con patrones, cargando el tamaño de la lista de caracteres para cada personaje que no explique ningún patrón. Las suposiciones totales dan la entropía consciente de patrón (log2 de suposiciones) y una puntuación: debajo de mil suposiciones es muy débil, debajo de un millón de débiles, debajo de 100 millones de justos, debajo de 10 mil millones de fuertes, y cualquier cosa por encima de muy fuerte. Los tiempos de crack dividen las conjeturas por cada velocidad de ataque supuesta. Estas velocidades son modelos ilustrativos, no mediciones, por lo que el campo personalizado le permite probar tu propia suposición.
Errores comunes
Confiar en la entropía de carácter es el mayor error. Muchos metros se multiplican la longitud por el tamaño del juego de caracteres, que se sitúa en Summer2024! en más de 70 bits cuando su fuerza realista está más cerca de 23. Sustitución de símbolos para las letras, adición de 1 o! al final, y capitalizando la primera letra son exactamente los trucos cracking herramientas intentar primero.
El otro error es centrarse en la fuerza e ignorar la reutilización. Una contraseña muy fuerte filtrada de un sitio es inútil en cualquier otro lugar donde se utilizó, porque los atacantes tratan de filtrar correos electrónicos y pares de contraseñas en otros servicios. Usa una contraseña única por cuenta, un administrador de contraseñas para recordarlas y autenticación de dos factores cuando esté disponible. Evita escribir una contraseña que actualmente utiliza en cualquier sitio web en el que no confíe; esta página nunca la envía, pero los buenos hábitos importan.
Consejos útiles y limitaciones
- La longitud supera la complejidad: cuatro o cinco palabras aleatorias no relacionadas son más fuertes que una palabra corta con símbolos intercambiados.
- Una contraseña fuerte sigue fallando si se reutiliza. Usa un administrador de contraseñas y una contraseña diferente para cada cuenta.
- Activa Mostrar sólo cuando nadie puede ver tu pantalla; los patrones encontrados se enmascaran con puntos mientras se oculta la contraseña.
- Para las cuentas que más importan, apunta a Muy fuerte y emparejarlo con la autenticación de dos factores.
Preguntas frecuentes
¿Se envía mi contraseña a alguna parte?
No. El análisis se ejecuta en JavaScript en esta página sin solicitud de red que contenga la contraseña, y no se guarda ni se registra. El diccionario opcional es una lista pública de palabras descargadas de este sitio.
¿Cómo se calculan los tiempos de crack?
El número estimado de conjeturas se divide por una supuesta velocidad de ataque: alrededor de 100 por hora para un acceso limitado, 10 por segundo sin límites, 10 mil por segundo para hashes lentos como el cifrado, y 10 mil millones por segundo para hashes rápidos sin sal.
¿Por qué mi contraseña larga sigue siendo baja?
La longitud sólo ayuda si es impredecible. Una contraseña común, una fila de teclado, una fecha o un trozo repetido es probado temprano por los atacantes no importa cuántos caracteres tenga.
¿Esto es lo mismo que zxcvbn?
Sigue ideas similares (estimaciones de coincidencia de patrones y conjeturas), pero es una implementación más pequeña e independiente con tus propias listas, por lo que las puntuaciones pueden diferir de zxcvbn y de otros metros.
¿Sabe el verificador si se filtró mi contraseña?
Sólo conoce las 1.000 contraseñas filtradas más comunes incluidas en la página. No comprueba las bases de datos de incumplimiento, porque eso requeriría enviar datos sobre tu contraseña.
¿A qué puntuación debería apuntar?
Fuerte (3) o Muy fuerte (4). Para una contraseña maestra o una cuenta de correo electrónico, usa una contraseña larga o una contraseña generada que llegue muy fuerte.
La contraseña nunca sale de esta página: no se envía, se guarda en el almacenamiento o se registra. Cerrar o limpiar la página lo elimina.
Lee nuestra política de privacidad · Acerca de ToolWorld Online