¿Cuánto tardan en descifrar una contraseña? Generador gratis

Cuánto se tarda en descifrar una contraseña depende de tres cosas: cuántas contraseñas posibles hay (longitud y tipos de caracteres), qué tan rápido puede probar intentos un atacante y si la contraseña es aleatoria o no. Una contraseña aleatoria de 8 letras minúsculas guardada con un hash lento puede caer en un par de semanas con tarjetas gráficas rentadas; una contraseña aleatoria de 16 caracteres mezclados tardaría más que la edad del universo. El Generador de contraseñas gratis crea las del tipo largo y aleatorio en tu dispositivo.

Las famosas tablas de colores que se comparten en internet son útiles, pero se basan en supuestos. Conocer esos supuestos te dice qué es lo que de verdad mantiene segura una cuenta.

Qué significa realmente "descifrar"

Cuando te registras en algún lado, un sitio bien administrado no guarda tu contraseña. Guarda un hash: una huella revuelta de ella. Cuando inicias sesión, el sitio calcula el hash de lo que escribes y compara las huellas. El Generador de hash gratis muestra la idea: escribe password123 y su hash MD5 es 482c811da5d5b4bc6d497ffa98491e38, siempre, en cualquier computadora.

Si alguien roba la base de datos de un sitio, los atacantes obtienen los hashes, no las contraseñas. Descifrar significa adivinar contraseñas, calcular el hash de cada intento y buscar una coincidencia, sin conexión, tan rápido como lo permita su hardware. Ningún bloqueo del sitio web los frena.

Por eso dos cosas deciden el tiempo:

1. El número de posibilidades que el atacante podría tener que probar.
2. La velocidad de los intentos, que depende mucho del método de hash que usó el sitio.

Las cuentas de la fuerza bruta

El número de contraseñas posibles es el tamaño del conjunto de caracteres elevado a la longitud.

Conjunto de caracteres	Caracteres
Solo dígitos	10
Letras minúsculas	26
Minúsculas + mayúsculas + dígitos	62
Los cuatro tipos de nuestro generador	85

Una contraseña de 8 letras minúsculas tiene 26^8 posibilidades, unos 209 mil millones. Con los 85 caracteres, 8 caracteres dan unas 2.7 × 10^15. Cada carácter extra multiplica el total por el tamaño del conjunto, por eso la longitud le gana a todo lo demás.

Qué dice la tabla más reciente

Según la tabla de contraseñas 2026 de Hive Systems, un grupo de 16 tarjetas gráficas RTX 5090 que ataca contraseñas guardadas con bcrypt (un hash deliberadamente lento, con factor de trabajo 10) logró unos 138,675 intentos por segundo. A ese ritmo, calculan que una contraseña de 8 letras minúsculas tarda unas dos semanas en descifrarse, y una de 8 caracteres con todos los tipos, unos 132 años. Sus tiempos son el peor caso, en el que la contraseña correcta es justo el último intento.

Con esa misma velocidad y el conjunto de 85 caracteres del generador, este es el tiempo en el peor caso que calculamos para contraseñas aleatorias:

Longitud	Solo minúsculas (26)	Los cuatro tipos (85)
6	unos 37 minutos	unos 32 días
8	unos 17 días	unos 620 años
10	unos 32 años	unos 4.5 millones de años
12	unos 22,000 años	unos 32 mil millones de años
16	unos 10 mil millones de años	unos 1.7 × 10^18 años

Nuestra cifra para 8 caracteres no coincide con la de Hive porque las tablas difieren en el tamaño del conjunto de caracteres, la configuración del hash y la forma de contar los intentos; la idea es la misma. En promedio, el intento correcto llega más o menos a la mitad, así que divide estas cifras entre dos para un caso típico.

Por qué la tabla puede ser demasiado optimista

La tabla supone el mejor caso para ti en dos sentidos.

El sitio podría usar un hash rápido. bcrypt está hecho para ser lento. Los sistemas viejos o descuidados usan hashes rápidos como MD5 o SHA-1 simple, que una sola tarjeta gráfica puede probar miles de millones de veces por segundo. Contra esos, los tiempos de arriba se reducen un millón de veces o más. No puedes saber cómo guarda un sitio tu contraseña, así que supón el peor caso. La guía de MD5 vs SHA-256 explica la diferencia.

Tu contraseña podría no ser aleatoria. La fuerza bruta es el ataque más lento. El descifrado real empieza con listas de contraseñas filtradas, palabras de diccionario, nombres, fechas y patrones comunes como Password123! (mayúscula al inicio, número y símbolo al final). Una contraseña armada así se encuentra en segundos, sin importar cuántos tipos de caracteres tenga, porque los atacantes prueban esos patrones primero.

Podría estar ya filtrada. Si reutilizas una contraseña y cualquier sitio donde la usaste sufre una filtración, los atacantes no necesitan descifrar nada. Simplemente prueban el mismo correo y la misma contraseña en otros sitios.

Lo que de verdad te protege

• Longitud y aleatoriedad. Una contraseña aleatoria de 16 caracteres o más está fuera del alcance de la fuerza bruta para cualquier atacante realista. Según la SP 800-63B del NIST (revisión 4, 2025), los servicios que dependen solo de una contraseña deberían exigir al menos 15 caracteres, y no deberían imponer reglas de composición ni cambios periódicos.
• Una contraseña única para cada sitio. Esto anula por completo los ataques por reutilización.
• Un gestor de contraseñas. Recuerda decenas de contraseñas largas y aleatorias para que tú no tengas que hacerlo. Así la longitud no te cuesta nada.
• Autenticación en dos pasos. Aunque descifren una contraseña, el atacante todavía necesita tu teléfono o tu llave de seguridad. Actívala primero en el correo, el banco y las redes sociales.

Si necesitas una contraseña que puedas recordar y escribir, como la contraseña maestra de tu gestor, una frase de contraseña larga hecha de palabras aleatorias es una buena opción. Mira frase de contraseña vs contraseña.

Crea una que no puedan descifrar

Abre el Generador de contraseñas gratis, pon la Longitud en 16 o más (empieza en 20), deja marcadas Minúsculas, Mayúsculas, Números y Símbolos, pulsa Generar y luego Copiar. La contraseña se crea en tu dispositivo y nunca se envía a ningún lado. Para más sobre las opciones, mira cómo crear una contraseña segura.