En muchas apps bancarias de España y América Latina, iniciar sesión no requiere una contraseña alfanumérica, sino una clave numérica corta de 4 a 6 dígitos, a menudo introducida con un teclado numérico en pantalla que cambia el orden de las cifras en cada uso para dificultar el registro de pulsaciones. Frente a esto, un generador de contraseñas con mayúsculas, minúsculas, números y símbolos parece pensado para otro mundo — pero es exactamente el que protege la cuenta de correo o el gestor de contraseñas detrás de esa clave numérica.
Qué es la entropía de una contraseña
La entropía se mide en bits y depende del tamaño del alfabeto de caracteres y la longitud de la contraseña: entropía = log2(tamaño_alfabeto ^ longitud). Un PIN numérico de 6 dígitos tiene como máximo unos 20 bits de entropía; una contraseña de 16 caracteres con letras, números y símbolos supera fácilmente los 90 bits, una diferencia de varios órdenes de magnitud.
Por qué la longitud importa más que la complejidad
Una contraseña de cuatro palabras aleatorias del diccionario (como "correcto-caballo-batería-grapa") a menudo tiene mayor entropía que una contraseña corta como "P@ssw0rd!", aunque esta última parezca "más compleja" por mezclar tipos de caracteres. Esto se debe a que cada carácter adicional de longitud aumenta el espacio de búsqueda exponencialmente, mientras que ampliar el alfabeto solo afecta linealmente al exponente.
Para qué se necesita esto
- Generar contraseñas fuertes para cuentas nuevas sin depender de la memoria humana.
- Entender por qué exigir "al menos un número y un símbolo" no es el factor de seguridad más importante.
- Estimar la resistencia real de contraseñas existentes ante un ataque de fuerza bruta.
Frases de contraseña frente a caracteres aleatorios
Una frase de contraseña formada por varias palabras aleatorias de un diccionario (por ejemplo, «correct-horse-battery-staple») puede tener mayor entropía que una contraseña corta con caracteres especiales, y además es mucho más fácil de recordar para una persona. Para contraseñas que se guardan en un gestor de contraseñas y nunca se escriben a mano, esto no importa — los caracteres aleatorios dan mayor entropía por carácter. Pero para la «contraseña maestra» del propio gestor de contraseñas, que sí hay que recordar, una frase de contraseña suele ser una opción más práctica.