Crackmeter: fuerza de contraseña

Nuevasin opiniones
Gratissin límites
Sin registroni cuenta
Sin internetfunciona igual

Escribí una contraseña y mirá cuántos intentos haría falta para adivinarla, qué patrones la debilitan y cómo mejorarla. Se analiza en tu dispositivo y no se envía.

Tu contraseña no se envía ni se guarda: se analiza en tu navegador

Usar Crackmeter

Escribí o pegá una contraseña

Empezá a escribir y el resultado aparece al instante.

¿Apareció en una filtración?

Opcional y solo si lo pedís. Se calcula el código SHA-1 de tu contraseña en tu dispositivo y se envían únicamente sus primeros 5 caracteres a Have I Been Pwned, que responde con cientos de códigos que empiezan igual. La comparación final se hace acá: ni ese servicio ni nosotros podemos saber cuál es tu contraseña.

Cómo usar esta herramienta

Escribí la contraseñaO pegala. Podés mostrarla u ocultarla.
Mirá el resultadoNivel, intentos necesarios y tiempos.
Seguí los consejosTe dice qué patrones la debilitan.

Cómo mide la fuerza

La mayoría de los medidores solo cuentan si hay mayúsculas, números y símbolos. Por eso dicen que «Password1!» es fuerte, cuando es de las primeras que prueba cualquier atacante. Crackmeter usa zxcvbn, el estimador que creó Dropbox y que hoy usan muchos servicios. Piensa como un programa que adivina contraseñas: divide la tuya en partes y busca la combinación de patrones más fácil de adivinar.

Listas de contraseñas filtradas: casi 50 mil de las más usadas en filtraciones reales.
Diccionarios: palabras comunes en español y en inglés, nombres, apellidos y términos frecuentes de Wikipedia en español.
Términos populares de Argentina y Latinoamérica: clubes de fútbol, ídolos, ciudades y frases como «teamo». Los agregamos nosotros, porque son de lo primero que se prueba.
Patrones: fechas, años, teclas seguidas (qwerty, asdf), repeticiones, secuencias (abc, 4321) y cambios de letras por números o símbolos (@ por a, 3 por e, 0 por o).

Con eso estima cuántos intentos haría falta para adivinarla y le asigna un nivel:

Nivel	Intentos estimados	Qué significa
Muy débil	menos de mil	Está en las listas de contraseñas más usadas o es casi igual.
Débil	menos de un millón	Se adivina con un ataque en línea sin límite de intentos.
Regular	menos de 100 millones	Resiste en línea, pero no si roban la base de datos.
Fuerte	menos de 10 mil millones	Resiste si la base robada estaba bien protegida.
Muy fuerte	10 mil millones o más	Muy difícil de adivinar con la tecnología actual.

Los cuatro escenarios de ataque

El tiempo depende de dónde y cómo se prueban las contraseñas. En un sitio con bloqueo, un atacante hace unos 100 intentos por hora. Si el sitio no limita, unos 10 por segundo. El caso grave es cuando roban la base de datos: ahí prueban en sus propias computadoras, a 10 mil por segundo si el sitio guardaba las contraseñas con un método lento como bcrypt, o a 10 mil millones por segundo si usaba uno rápido y viejo como MD5. No podés saber cómo las guarda cada sitio, así que conviene mirar el peor caso.

Por qué «P@ssw0rd2024!» no es tan segura como parece

Tiene mayúsculas, números y símbolos, pero cada parte es predecible: «password» es la contraseña más usada del mundo, los cambios de a por @ y o por 0 son los primeros que se prueban, y un año con un signo de exclamación al final es lo más común. Crackmeter la califica como «Regular»: unos 10 millones de intentos, que con una base de datos robada y mal protegida se prueban en menos de un segundo. «Password1!» directamente está en las listas de filtraciones y sale «Muy débil». En cambio, una frase de cinco palabras al azar, sin un solo símbolo, sale «Muy fuerte». Si necesitás una, el generador de contraseñas la arma por vos.

Cómo funciona la verificación de filtraciones

Have I Been Pwned es un servicio que reúne cientos de millones de contraseñas expuestas en filtraciones reales. Para consultarlo sin revelar la tuya se usa una técnica llamada k-anonimato: tu navegador calcula el código SHA-1 de la contraseña (40 caracteres que la representan) y envía solo los 5 primeros. El servicio devuelve todos los códigos que empiezan igual, que son cientos, y tu navegador busca el tuyo en esa lista. Además pedimos respuestas con relleno, para que ni siquiera el tamaño de la respuesta dé pistas. Es la misma técnica que usan los gestores de contraseñas y los navegadores.

Preguntas frecuentes

¿Mi contraseña se envía a algún servidor?

No. La medición se hace en tu navegador. Solo si tocás «Verificar en filtraciones» se envían los primeros 5 caracteres de su código SHA-1, que no permiten saber cuál es.

¿Por qué mi contraseña con símbolos sale débil?

Porque los programas que adivinan contraseñas prueban primero palabras conocidas con cambios típicos, como @ por a o un año al final. El largo y el azar suman mucho más que los símbolos.

¿Qué significan los tiempos?

Son estimaciones de cuánto tardaría un atacante en cuatro situaciones distintas, desde un sitio que bloquea los intentos hasta una base de datos robada que se prueba a 10 mil millones de intentos por segundo.

¿Qué hago si mi contraseña apareció en una filtración?

Cambiala en todos los sitios donde la uses, y no la vuelvas a usar. Activá la verificación en dos pasos en tus cuentas importantes.

¿Es 100 % exacto?

Ningún medidor puede serlo, porque no sabe cómo armaste la contraseña. Esta estimación es conservadora y se basa en cómo trabajan los programas de ataque reales, que es la mejor referencia disponible.

¿Funciona sin internet?

Sí, una vez que la página cargó los diccionarios. Solo la verificación de filtraciones necesita conexión.