Frases de contraseña: seguridad que sí puedes recordar
Hay un famoso cómic de XKCD que lo resumió para siempre: «correct horse battery staple» —cuatro palabras aleatorias— es más segura y más fácil de recordar que «Tr0ub4dor&3». Esa idea tiene nombre: passphrase o frase de contraseña.
Por qué funciona
La seguridad se mide en entropía: cuántas combinaciones posibles tendría que probar un atacante que conociera tu método. Con una lista de 7.776 palabras (el estándar Diceware):
- 4 palabras ≈ 51 bits: aceptable para cuentas normales.
- 5 palabras ≈ 64 bits: buena para casi todo.
- 6 palabras ≈ 77 bits: nivel contraseña maestra o cifrado de discos.
Y aquí está la clave: esa entropía se mantiene aunque el atacante sepa que usas palabras del diccionario, porque lo que cuenta es la elección aleatoria, no el secreto del método.
La condición imprescindible: aleatoriedad
«mi perro come pienso por la mañana» NO es una passphrase segura: es una frase con estructura gramatical y palabras relacionadas, justo lo que los ataques de frases prueban. Las palabras deben elegirse al azar, sin relación entre sí:
ventana-tractor-nube-93-sardina ✔ mi gato se llama luna ✘
Cómo crear la tuya: método Diceware
- Consigue una lista Diceware en español o inglés (7.776 palabras numeradas del 11111 al 66666).
- Tira 5 dados (o un dado 5 veces) por cada palabra y busca el número resultante en la lista.
- Repite hasta tener 4-6 palabras. Los dados garantizan azar real, sin sesgos de «palabra que me gusta».
- Opcional: añade un número o símbolo entre palabras para cumplir requisitos de las webs.
Cuándo usar passphrase y cuándo contraseña aleatoria
| Situación | Recomendación |
|---|---|
| Cuentas guardadas en un gestor | Contraseña aleatoria de 16-20 caracteres (no necesitas recordarla) |
| Contraseña maestra del gestor | Passphrase de 5-6 palabras |
| Cifrado del ordenador / disco | Passphrase de 6 palabras |
| WiFi de casa | Passphrase de 4-5 palabras (fácil de dictar y de teclear en la tele) |
La estrategia óptima combina ambas: passphrases para lo que tu cabeza debe recordar, contraseñas aleatorias del generador para todo lo que guarda el gestor.
💡 Pruébalo tú mismo: usa nuestro generador de contraseñas seguras gratis, sin registro y sin marcas de agua.
Preguntas frecuentes
¿Una frase de 5 palabras no es fácil de adivinar si están en el diccionario?
No: con 7.776 palabras posibles, 5 palabras aleatorias dan 7.776⁵ ≈ 2,8 × 10¹⁹ combinaciones (unos 64 bits). Aunque el atacante conozca la lista exacta, probarlas todas es inviable.
¿Puedo elegir yo las palabras «al azar» mentalmente?
Mejor no: los humanos somos malísimos generando azar y tendemos a palabras comunes y relacionadas. Usa dados, la función de passphrase de tu gestor, o un generador aleatorio.
¿En qué idioma deben estar las palabras?
Es indiferente para la seguridad: la entropía depende del tamaño de la lista y del azar, no del idioma. Usa tu idioma si te ayuda a visualizar y recordar la frase.
¿Las webs aceptan contraseñas con espacios?
Muchas sí, pero no todas. Si una web rechaza espacios, une las palabras con guiones o puntos: tractor-nube-sardina-93. La seguridad es la misma.