Frase de contraseña vs contraseña: ¿cuál es más segura?

Una frase de contraseña (passphrase) son varias palabras aleatorias unidas, como walnut-ferry-tidal-oxygen-clamp-violin. Una contraseña es una cadena de caracteres aleatorios, como q7#Vd!m2Kp@x. Las dos pueden ser igual de seguras: seis palabras aleatorias de una lista grande tienen más o menos la misma fuerza que 12 caracteres aleatorios. Usa contraseñas de caracteres aleatorios del Generador de contraseñas gratis para todo lo que rellena un gestor de contraseñas, y una frase de contraseña para las pocas cosas que tienes que recordar o escribir a mano.

La palabra clave en los dos casos es aleatoria. Una frase que eliges tú, como la letra de una canción, es débil; una frase elegida con dados o con un programa es segura.

La comparación rápida

	Contraseña aleatoria	Frase de contraseña aleatoria
Se ve así	q7#Vd!m2Kp@x	walnut-ferry-tidal-oxygen-clamp-violin
Su fuerza viene de	Muchos caracteres posibles en cada posición	Muchas palabras posibles en cada posición
Longitud segura típica	16-20 caracteres	6-7 palabras
¿Fácil de recordar?	No	Bastante
¿Fácil de escribir en un celular o con el control de la tele?	No, hay que cambiar mucho a los símbolos	Sí, casi todo son letras minúsculas
¿La aceptan en todos lados?	Casi; algunos sitios limitan la longitud o prohíben ciertos símbolos	Algunos sitios limitan la longitud por debajo de una frase larga
Ideal para	Todo lo que guardas en un gestor de contraseñas	Contraseña maestra del gestor, inicio de sesión de la computadora, Wi-Fi que escribes seguido

Cómo se mide la fuerza

La fuerza se cuenta en bits de entropía: cada bit duplica el número de intentos que podría necesitar un atacante.

• Un carácter aleatorio del conjunto de 85 caracteres del generador (letras, dígitos y 23 símbolos) aporta unos 6.4 bits.
• Una palabra aleatoria de una lista de 7,776 palabras (el tamaño de las populares listas diceware, donde cinco tiradas de dado eligen cada palabra) aporta unos 12.9 bits.

Así que una palabra aleatoria vale más o menos lo que dos caracteres aleatorios. Algunas equivalencias:

Frase de contraseña	Bits	Contraseña aleatoria similar
4 palabras (lista de 7,776)	unos 52	8 caracteres (unos 51 bits)
5 palabras	unos 65	10 caracteres (unos 64 bits)
6 palabras	unos 78	12 caracteres (unos 77 bits)
8 palabras	unos 103	16 caracteres (unos 103 bits)

Las cuentas solo funcionan si cada palabra se elige al azar de toda la lista. Si eliges las palabras tú, vas a escoger palabras comunes y relacionadas, y las herramientas de los atacantes prueban justo esas combinaciones primero. Una lista más pequeña también significa menos bits: con 2,000 palabras, cada una aporta unos 11 bits.

Para darte una idea de lo que significan estos bits en tiempo, mira cuánto se tarda en descifrar una contraseña.

Dónde ganan las contraseñas

• Dentro de un gestor de contraseñas. Nunca las escribes ni las recuerdas, así que hazlas largas y totalmente aleatorias. 20 caracteres de los cuatro tipos dan unos 128 bits, mucho más que cualquier frase que quisieras escribir.
• Sitios con límites de longitud cortos. Algunos sitios viejos limitan las contraseñas a 16 o 20 caracteres. Los caracteres aleatorios meten más fuerza en menos caracteres.
• Claves de API, cuentas de servicio y secretos compartidos. A las máquinas no les importa poder recordarlos.

Dónde ganan las frases de contraseña

• La contraseña maestra de tu gestor de contraseñas. Es la que tienes que recordar, y protege todo lo demás. Seis o siete palabras aleatorias es una buena meta.
• El inicio de sesión de tu computadora o celular, si ahí usas una contraseña en lugar de un PIN o la huella.
• Todo lo que se escribe en un teclado incómodo: smart TV, consolas de videojuegos, una contraseña de Wi-Fi que los invitados escriben a mano.
• Algo que tengas que leer en voz alta, donde quartz-lemon-harbor sobrevive mejor una llamada que q7#Vd!m2.

Según la SP 800-63B del NIST (revisión 4, 2025), las contraseñas y frases largas son bienvenidas, los sitios deberían permitir espacios y al menos 64 caracteres, y no deberían imponer reglas de composición ni cambios periódicos. Algunos sitios todavía exigen una mayúscula, un dígito y un símbolo. Agrégalos en un lugar predecible, como Walnut-ferry-tidal-oxygen-clamp-violin-7. No suma mucha fuerza, pero cumple la regla sin debilitar las palabras aleatorias.

Cómo crear cada una

Una contraseña aleatoria: abre el Generador de contraseñas gratis, ajusta la Longitud (empieza en 20 y va de 8 a 128), deja marcadas Minúsculas, Mayúsculas, Números y Símbolos, pulsa Generar y luego Copiar. Se crea en tu dispositivo y nunca se envía a ningún lado.

Una frase de contraseña aleatoria: el generador de contraseñas solo crea contraseñas de caracteres; no elige palabras. Dos formas de conseguir una frase aleatoria:

1. Dados. Usa una lista de palabras diceware publicada y tira cinco dados por cada palabra. Cada tirada elige una palabra de las 7,776. Es lento, pero totalmente sin conexión.
2. Nuestro selector aleatorio. Abre el Generador de números aleatorios gratis, elige Elegir de una lista, pega una lista larga de palabras (una por línea, cuanto más larga mejor), pon Cuántos elegir en 6 y pulsa Elegir. Usa la fuente aleatoria segura de tu navegador y no se sube nada. Une las palabras con guiones o espacios.

Elijas lo que elijas, no edites el resultado para que quede "más bonito". Cambiar una palabra aleatoria por una favorita es justo como se pierde la fuerza.

Mitos comunes

"Las frases de contraseña siempre son más seguras porque son más largas." La cantidad de letras no importa; importa el número de elecciones aleatorias. correcthorsebattery tiene 19 letras pero solo 3 palabras aleatorias, unos 39 bits con una lista de 7,776 palabras, más débil que una contraseña aleatoria de 8 caracteres.

"Cambiar letras por símbolos la hace segura." P@ssw0rd es uno de los primeros intentos de cualquier herramienta para descifrar contraseñas. Los cambios como a→@ y o→0 son muy conocidos.

"Primero le saco el hash a mi contraseña para que sea aleatoria." Calcular el hash de una contraseña débil da una cadena larga, pero un atacante que adivine tu método puede calcular el hash de los mismos intentos. El Generador de hash gratis es para sumas de verificación, no para crear contraseñas.

Para una rutina completa, incluida la longitud que debería tener una contraseña según el tipo de cuenta, lee cómo crear una contraseña segura.

Genera una ahora

Para cada cuenta que maneja tu gestor de contraseñas, una contraseña aleatoria de 16 a 20 caracteres es la opción más segura y sencilla. Crea una con el Generador de contraseñas gratis, cópiala directo en tu gestor y deja las frases de contraseña para las pocas cosas que escribes tú.