Cuando los equipos de seguridad escriben políticas de contraseñas, casi siempre enfatizan la complejidad: al menos una letra mayúscula, un número, un símbolo. Pero la investigación criptográfica moderna cuenta una historia diferente. La longitud es el factor dominante en la seguridad de contraseñas — una contraseña de 20 caracteres de letras minúsculas es matemáticamente más segura que una de 10 caracteres que mezcla todas las clases de caracteres. Entender por qué cambia la forma en que piensas sobre cada contraseña que estableces.
Por Qué la Longitud Supera a la Complejidad
La fortaleza de una contraseña se mide en bits de entropía — un valor que representa cuántos intentos se necesitarían, en promedio, para descifrarla probando todas las posibilidades. La entropía depende de dos variables: el tamaño del conjunto de caracteres posibles y la longitud total. Doblar la longitud añade más entropía que ampliar el conjunto de caracteres, porque la entropía escala multiplicativamente con la longitud pero solo aditivamente con el tamaño del conjunto.
Considera dos contraseñas: "P@ssw0rd!" (9 caracteres, todas las clases de caracteres) y "lago-montana-violeta-27" (22 caracteres, solo minúsculas, guiones y dígitos). La primera sigue las reglas clásicas de complejidad pero tiene aproximadamente 54 bits de entropía. La segunda tiene más de 120 bits de entropía — más del doble — y es prácticamente irompible con cualquier hardware previsible.
Las contraseñas cortas y complejas también son vulnerables a los ataques de diccionario híbridos — herramientas automatizadas que combinan fragmentos de palabras, sustituciones comunes (a→@, o→0, e→3) y símbolos añadidos en patrones predecibles. La mayoría de las contraseñas "complejas" elegidas por humanos siguen estos patrones, por lo que los crackers los prueban primero. Una contraseña larga y aleatoria no tiene ningún patrón que explotar.
Qué Dice la Normativa NIST SP 800-63B
El Instituto Nacional de Estándares y Tecnología de los EE.UU. (NIST) revisó sus directrices de identidad digital en 2024. La revisión se alejó explícitamente de los requisitos obligatorios de complejidad y se centró en la longitud. NIST recomienda un mínimo de 8 caracteres para contraseñas elegidas por el usuario, pero alienta firmemente a permitir contraseñas de hasta al menos 64 caracteres, sin longitud máxima que impida el uso de frases de contraseña.
NIST también recomienda no forzar cambios periódicos de contraseña salvo que exista evidencia de compromiso. Los usuarios obligados a cambiar contraseñas regularmente tienden a hacer cambios incrementales predecibles — Contraseña1, Contraseña2, Contraseña3 — que aportan una mejora de seguridad mínima mientras degradan la usabilidad. Una contraseña larga y genuinamente aleatoria es más segura que una que rota frecuentemente.
Las directrices desaconsejan explícitamente los requisitos de complejidad que restringen la entropía de formas contraproducentes — como prohibir el uso de espacios (lo que impide las frases de contraseña), limitar la longitud a menos de 64 caracteres, o exigir combinaciones de clases de caracteres que producen contraseñas más cortas con estructuras predecibles.
Longitudes Recomendadas Según el Caso de Uso
Para cuentas online estándar — redes sociales, correo electrónico, comercio electrónico — 16 caracteres es un mínimo práctico que proporciona aproximadamente 105 bits de entropía cuando se usan las cuatro clases de caracteres. A ese nivel de entropía, los ataques de fuerza bruta son computacionalmente inviables con el hardware actual. Una longitud de 20 a 24 caracteres ofrece margen adicional a medida que crece la potencia de cómputo.
Para cuentas de alto valor — bancarias, de inversión, portales de salud, cuentas de trabajo con acceso sensible — 24 caracteres o más es el objetivo apropiado. Estas son cuentas donde una brecha tiene consecuencias reales significativas. La ligera incomodidad de una contraseña más larga almacenada en un gestor es un intercambio trivial por el margen de seguridad adicional.
Para las contraseñas maestras de gestores de contraseñas — la única credencial que protege todas las demás — 32 caracteres o una frase de contraseña de cuatro a cinco palabras aleatorias con separadores es lo adecuado. La contraseña maestra no puede almacenarse en ningún lugar, por lo que la memorabilidad importa. Una frase como "correcto-caballo-bateria-grapa-7" es memorable y tiene una entropía muy superior a cualquier contraseña "compleja" de 12 caracteres.
Genera una contraseña aleatoria de cualquier longitud — desde 8 hasta 128 caracteres — con control total sobre los conjuntos de caracteres y la exclusión de caracteres ambiguos.
Abrir el Generador de Contraseñas →La conclusión práctica es simple: usa un generador de contraseñas configurado a al menos 16 caracteres para cuentas cotidianas, al menos 24 para cuentas de alto valor, y una frase de contraseña memorable de 32 caracteres o más para tu contraseña maestra del gestor. Las opciones de complejidad — mayúsculas, minúsculas, números, símbolos — siguen siendo importantes porque amplían el conjunto de caracteres posibles y añaden entropía por carácter. Pero la longitud es el motor; la variedad de caracteres es el multiplicador. Maximiza la longitud primero, luego asegura la diversidad de caracteres.