Cómo crear una contraseña segura
La longitud importa más que los símbolos. Las directrices del NIST (SP 800-63B-4) piden al menos 15 caracteres para una contraseña que se usa sola, y al menos 8 cuando se combina con un segundo factor, como un código o una llave de seguridad.
Actualizado el 6 de noviembre de 2026 · Fuentes
Lo que recomienda el NIST
Estas reglas están pensadas para los servicios que verifican contraseñas. También dicen qué protege de verdad:
- al menos 15 caracteres para una contraseña que se usa sola, al menos 8 con un segundo factor;
- aceptar contraseñas de al menos 64 caracteres, espacios incluidos;
- no imponer mezclas de tipos de caracteres (una mayúscula, un número, un símbolo…);
- no obligar a cambiarla periódicamente, pero sí cuando haya indicios de que se ha comprometido;
- rechazar contraseñas comunes, previsibles o ya filtradas;
- no ofrecer pistas ni preguntas de seguridad;
- permitir gestores de contraseñas, el autocompletado y pegar.
Por qué gana la longitud
En una contraseña generada al azar, la fuerza se mide en bits: longitud × log₂(número de caracteres posibles). Con los 94 caracteres imprimibles del teclado, cada carácter aporta unos 6,6 bits.
Resultado: 15 minúsculas al azar dan 71 bits, más que 8 caracteres de todo tipo (52 bits). Añadir caracteres compensa más que complicar cada uno.
Estas cifras solo valen para contraseñas al azar. Una inventada (un nombre, una fecha, una palabra conocida) es mucho más fácil de adivinar de lo que sugiere su longitud.
| Longitud | Minúsculas (26) | Minúsculas y números | Todos (94) |
|---|---|---|---|
| 8 | 38 | 41 | 52 |
| 12 | 56 | 62 | 79 |
| 15 | 71 | 78 | 98 |
| 20 | 94 | 103 | 131 |
Buenos hábitos
- Una contraseña distinta para cada servicio: una filtración no debe abrir todas tus cuentas.
- Un gestor de contraseñas recuerda por ti contraseñas largas y aleatorias.
- Para las que tienes que teclear, varias palabras elegidas al azar forman una frase larga y fácil de recordar.
- Activa la verificación en dos pasos cuando el servicio la ofrezca.
- Cambia una contraseña en cuanto haya podido filtrarse, no en una fecha fija.
Nuestro generador
Nuestro generador elige los caracteres en tu navegador con el generador criptográfico del sistema. La contraseña no se envía, no se guarda y no aparece en la dirección de la página.