# Cómo crear una contraseña segura (y por qué la longitud gana)

> La longitud gana a los símbolos raros: NIST pide 15 caracteres como mínimo y prohíbe las reglas de composición. Medimos la entropía real de nuestro generador y explico qué longitud usar en cada caso.

Source: https://toolpantry.app/es/blog/como-crear-una-contrasena-segura

La regla corta: no hace falta un símbolo raro para estar seguro, hace falta longitud. La [generación aleatoria](https://toolpantry.app/es/generador-de-contrasenas) es la parte difícil de resolver — y se puede hacer en tu navegador, sin que nadie más vea el resultado.

## Quick answer

**Respuesta corta:** abre el [generador de contraseñas](https://toolpantry.app/es/generador-de-contrasenas), elige 20 caracteres o más, deja activados todos los tipos de carácter y copia el resultado a tu gestor de contraseñas. No hace falta que la recuerdes: tu gestor la recuerda por ti.

## Qué hace nuestro generador

El generador trabaja con el generador criptográfico del navegador (Web Crypto), el mismo que usan las aplicaciones de seguridad. Elige la longitud (de 4 a 128 caracteres), activas los tipos de carácter que quieras y obtienes entre 1 y 20 contraseñas de una vez. La contraseña se crea en tu pestaña: no se envía a ningún servidor y esta página no guarda el resultado.

Detalle que no es trivial: el alfabeto tiene **70 caracteres** — 49 letras, 8 dígitos y 13 símbolos — y deja fuera los que se confunden entre sí (0/O, 1/l/I). Está pensado para una contraseña que alguien va a teclear a mano o copiar a un papel: un 0 y una O son el mismo símbolo cuando los escribes con bolígrafo.

## La longitud es lo que cuenta

Con esos 70 símbolos, cada carácter que añades multiplica el número de combinaciones posibles por 70. Medido sobre nuestro generador:

| Longitud | Combinaciones posibles | Equivalente en bits |
|---|---|---|
| 8 caracteres | 5,7 × 1014 | 49 bits |
| 12 caracteres | 1,4 × 1021 | 74 bits |
| 16 caracteres | 3,3 × 1028 | 98 bits |
| 20 caracteres | 7,9 × 1035 | 123 bits |
| 32 caracteres | 9,8 × 1056 | 196 bits |
| 64 caracteres | 10 × 10120 | 392 bits |

Y no es una intuición: [NIST SP 800-63B-4](https://pages.nist.gov/800-63-4/sp800-63b.html) (la guía de identidad digital del Gobierno de Estados Unidos, julio de 2025) fija 15 caracteres como mínimo para una contraseña que se usa sola, y dice que los servicios **no deben** imponer reglas de composición — ni obligar a cambiarla cada cierto tiempo, salvo que haya señales de que se ha filtrado.

## Por qué "P@ssw0rd!" no es la respuesta

La contraseña de siempre es corta con dos símbolos pegados al final. El problema no es que tenga dos símbolos: es que sigue siendo corta, y que las reglas de composición empujan a la gente a poner el número y el símbolo en el sitio predecible, al final. El propio apéndice de la guía de NIST señala que los análisis sobre bases de datos filtrados muestran que el beneficio de esas reglas es menor de lo que se suponía, y que obligar a cambiarla periódicamente hace que la gente haga variantes predecibles de la misma contraseña.

La regla que sí queda, y que se cumple con el generador:

- **Una contraseña larga por cuenta.** Reutilizar es el problema real: una sola filtración se lleva varias cuentas a la vez. Es el motivo por el que un gestor de contraseñas importa más que un símbolo extra.
- **Una contraseña distinta para cada sitio.** El generador produce hasta 20 de golpe, así que no es un trabajo extra.

## Qué longitud usar en cada caso

- **Correo, banco, cuenta principal: 20 caracteres o más.** Son las cuentas que importan y las que se atacan con más insistencia.
- **Cuentas secundarias: 16 caracteres.** Sigue por encima del mínimo de 15 que fija NIST para contraseñas en solitario.
- **Un sitio de usar y tirar: 12 caracteres.** Suficiente para algo que no vas a volver a usar, y más fácil de teclear si hace falta.
- **Tu gestor de contraseñas: una sola contraseña larga.** Si el gestor está bien protegido con una contraseña larga, las demás pueden ser las que guarda el mismo gestor.

## Lo que nuestro generador no hace

- **No guarda nada.** La contraseña existe en la pestaña hasta que la copies o recargues. Si se pierde, se pierde.
- **No comprueba filtraciones.** No consulta listas de contraseñas robadas, así que no te avisa de que esa contraseña ya está en una base de datos filtrada.
- **No sincroniza ni tiene cuenta.** Es una página, no un servicio.
- **No genera frases.** Devuelve cadenas aleatorias de 70 caracteres, que son más seguras pero más difíciles de memorizar — por eso el destino natural es el gestor de contraseñas, no tu memoria.

## Notes

Por el equipo de Tool Pantry, octubre de 2026. Las medidas de entropía se tomaron el 20 de octubre de 2026 contra nuestra propia API. Las recomendaciones por longitud y reglas de composición proceden de NIST SP 800-63B-4 (julio de 2025).

## FAQ

**¿Caducan las contraseñas que genera esta página?**

No. La contraseña se crea en tu navegador con el generador criptográfico del sistema y la página no la guarda ni la envía a ningún sitio. Si borras la pestaña, se pierde, así que cópiala en tu gestor de contraseñas antes.

**¿Hay que cambiar la contraseña cada pocos meses?**

No, salvo que haya señales de que se ha filtrado. La guía NIST SP 800-63B-4 dice explícitamente que los verificadores no deben exigir cambios periódicos, y que sí deben forzarlos cuando hay evidencia de compromiso.

**¿Es seguro escribir una contraseña en un generador de contraseñas online?**

En el nuestro, sí: se genera localmente con Web Crypto y la contraseña nunca sale del dispositivo. En otros sitios depende de si la generación ocurre en tu navegador o en su servidor; si la contraseña llega a un servidor, ese servidor ya la conoce.