Seguridad de contraseñas: Cómo generar, almacenar y auditar contraseñas fuertes
Respuesta rápida
Genere contraseñas aleatorias de más de 16 caracteres con nuestro Generador de contraseñas, nunca las reutilice y guárdelas en un administrador de contraseñas. En el servidor, haga hash con bcrypt (factor de trabajo 12+), scrypt o Argon2id; nunca MD5 o SHA-256. Infracciones de auditoría a través del k-anonimato de Have I Been Pwned API. Nunca transmita ni registre contraseñas en texto plano.
Introducción
Las contraseñas débiles, reutilizadas y almacenadas incorrectamente provocan la mayoría de las apropiaciones de cuentas. Esta guía resuelve cuatro problemas concretos: (1) generar contraseñas con suficiente entropía para resistir la fuerza bruta, (2) codificar contraseñas con un KDF lento en lugar de un hash rápido, (3) evitar la reutilización entre servicios y (4) auditar las credenciales filtradas. Cada solución es viable y está respaldada por herramientas.
Paso a paso
-
Generar una contraseña de alta entropía
Utilice el Generador de contraseñas para crear una contraseña de más de 16 caracteres que combine dígitos superiores, inferiores y símbolos. Entropía = log2(charsetSize^length); un alfabeto de 16 caracteres con 94 símbolos da ~105 bits, lo cual no es factible mediante fuerza bruta incluso con 10^12 conjeturas/segundo.
-
Nunca reutilice contraseñas en todos los servicios
Reutilizar una contraseña significa que una sola infracción compromete todas las cuentas que la comparten. Genere una contraseña única por servicio y guárdela en un administrador de contraseñas (Bitwarden, 1Password, KeePassXC). La contraseña maestra es la única que necesita recordar: conviértala en una frase de contraseña larga.
-
Contraseñas hash con un KDF lento en el servidor
Nunca almacene contraseñas con MD5, SHA-1 o SHA-256 sin formato: son demasiado rápidas y las GPU pueden probar miles de millones por segundo. Utilice bcrypt con factor de trabajo 12+, scrypt con N=2^17 o Argon2id con 64 MB de memoria. Estos KDF son deliberadamente lentos y tienen poca memoria para derrotar los ataques de GPU/ASIC.
-
Usa una sal para derrotar a las mesas arcoíris.
Una sal es un valor aleatorio único por contraseña, antepuesto o combinado antes del hash. Garantiza que contraseñas idénticas produzcan hashes diferentes, lo que hace que las tablas de arcoíris precalculadas sean inútiles. bcrypt y Argon2 generan e incorporan la sal automáticamente; no utilices la tuya propia.
-
Auditoría de contraseñas violadas
Antes de aceptar una contraseña, verifíquela con Have I Been Pwned API usando el protocolo k-anonimato: envíe solo los primeros 5 caracteres del hash SHA-1, reciba la lista de sufijos coincidentes y compare localmente. Esto nunca revela la contraseña completa de API.
Ejemplos
Contraseña segura generada (16 caracteres, ~105 bits de entropía)
Aporte: Longitud 16, todas las clases de personajes.
Producción: K9$mP2#vL7@nQ4!x (aleatorio, único, nunca reutilizado)
Frase de contraseña para una contraseña maestra (memorable + segura)
Aporte: 4 palabras comunes aleatorias
Producción: correct-horse-battery-staple (~44 bits but easy to remember; use 5-6 words for ~60+ bits)
hash bcrypt de una contraseña (factor de trabajo 12)
Aporte: contraseña123 con bcrypt cuesta 12
Producción: $2b$12$N9qo8uLOickgx2ZMRZoMy.MrqKQp7vqB4V1e5sTq7vqB4V1e5sTq (sal + costo + hash incrustado)
Problemas comunes
- Usar MD5 o SHA-256 para hash de contraseñas: ambos son hashes rápidos. Una GPU moderna calcula ~10 mil millones de SHA-256/s, descifrando una contraseña de 8 caracteres en minutos. Utilice siempre bcrypt, scrypt o Argon2id.
- Reutilizar una contraseña en todos los sitios: una infracción en el sitio más débil filtra la contraseña de cada sitio. Genera contraseñas únicas y guárdalas en un administrador.
- Almacenamiento de contraseñas en texto sin formato o cifrado reversible: si la base de datos se filtra, todas las cuentas se ven comprometidas instantáneamente. El hash es unidireccional e irreversible: ni siquiera el servidor puede recuperar el original.
- Bajo factor de trabajo en bcrypt: el costo 4 estaba bien en 2002; en 2026, el uso costará 12+ (aproximadamente 4096 iteraciones). Vuelva a realizar el hash al iniciar sesión para actualizar los hashes antiguos sin forzar el restablecimiento de la contraseña.
Consejos
- Apunte a al menos 100 bits de entropía para cuentas de alto valor, es decir, 16 caracteres aleatorios de un alfabeto de 94 símbolos o 6 palabras aleatorias.
- Active la autenticación de dos factores (TOTP o clave de hardware) para cada cuenta que la admita; una contraseña segura por sí sola no es suficiente si la contraseña es suplantada.
- Utilice la opción 'excluir caracteres ambiguos' de nuestro Generador de contraseñas (0/O, 1/l/I) cuando las contraseñas se lean en voz alta o se escriban a máquina.
- Rote las contraseñas solo después de una infracción confirmada, no según un cronograma fijo: ¡la rotación forzada lleva a los usuarios a patrones predecibles como Spring2026!