Elige la longitud y los tipos de caracteres: la contraseña segura aparece al momento. Se crea en tu navegador y no se envía a ninguna parte.
Hoy una contraseña segura tiene al menos 12 caracteres, y si es la única protección de la cuenta, al menos 15. Google recomienda un mínimo de 12; el estándar estadounidense NIST pide al menos 15 para acceder solo con contraseña. INCIBE, el Instituto Nacional de Ciberseguridad, fija el mínimo en 8–10 caracteres y añade: cuanto más larga, mejor.
La longitud pesa más que la complejidad: cada carácter de más multiplica las combinaciones que un atacante tiene que probar. El generador de arriba crea por defecto contraseñas de 16 caracteres.
| Regla | Por qué |
|---|---|
| Al menos 12 caracteres, mejor 16 | cada carácter multiplica las combinaciones |
| Tipos de caracteres distintos | mayúsculas y minúsculas, cifras, caracteres especiales: más símbolos posibles, más intentos necesarios |
| Sin nombres, fechas de nacimiento ni palabras comunes | son lo primero que se prueba, con diccionarios y patrones típicos |
| Una contraseña por cuenta | una filtración en un servicio no abre todos los demás |
INCIBE reúne en su sección para la ciudadanía, «Gestión de contraseñas seguras», unas pautas sencillas. Las principales:
| Tema | Recomendación |
|---|---|
| Longitud | al menos 8–10 caracteres; cuanto más larga, mejor |
| Tipos de caracteres | letras mayúsculas y minúsculas, números y caracteres especiales |
| Qué evitar | información personal, palabras del diccionario de cualquier idioma, secuencias del teclado como 123456 o qwerty |
| Reutilización | una contraseña distinta para cada cuenta online |
| Protección extra | autenticación de dos factores siempre que el servicio la ofrezca |
| Gestión | gestor de contraseñas; cambiarlas al menos cada 6 meses |
Fuente: INCIBE, «Gestión de contraseñas seguras», comprobado el 01.11.2026.
Los caracteres de una contraseña son letras mayúsculas y minúsculas, cifras y caracteres especiales: ! @ # $ % ^ & * ( ) - _ = + [ ] { } ; : , . ? / ~. Cuantos más tipos uses, más opciones hay en cada posición: solo cifras, 10; solo minúsculas, 26; los cuatro tipos del generador, 87.
La ñ y las letras con tilde (á, é, í, ó, ú) mejor dejarlas fuera: una cuenta de Google solo acepta caracteres ASCII estándar, sin acentos, y no admite un espacio al principio ni al final. En un teclado extranjero, además, puede que no las encuentres.
Una secuencia de 5–6 palabras al azar unidas con guiones se recuerda mejor que una ristra de símbolos y aun así llega a 30–50 caracteres. Su fuerza no está en cada palabra sino en el azar: las palabras tienen que salir por sorteo, no elegirse, y no deben formar una cita ni el verso de una canción, porque esas frases están en los diccionarios que usan los atacantes.
El modo «Frase de palabras» de arriba saca las palabras al azar de un diccionario español de unas 3100 palabras de 4 a 8 letras, sin tildes ni ñ. Seis palabras dan unos 70 bits. INCIBE desaconseja usar palabras del diccionario sueltas: si buscas la máxima resistencia, usa una contraseña de caracteres; la frase de palabras es el término medio para una contraseña que tienes que recordar de memoria.
Número de combinaciones = (número de caracteres posibles) elevado a (la longitud). Una contraseña de 6 cifras tiene 10⁶ = 1 000 000 de combinaciones: un ordenador las prueba al instante. 12 caracteres tomados de 87 símbolos dan unas 87¹² ≈ 1,9 × 10²³ combinaciones. La escala bajo el generador muestra esa estimación en bits y como tiempo para descifrarla.
| Contraseña | Bits | Tiempo |
|---|---|---|
| 8 cifras | 27 | al instante |
| 8 letras minúsculas | 38 | 10 segundos |
| 8 caracteres de todos los tipos | 52 | 1 día |
| 12 caracteres de todos los tipos | 77 | 297 000 años |
| 16 caracteres de todos los tipos | 103 | más que la edad del universo |
| Frase de 6 palabras del generador | 70 | unos 1400 años |
Tiempo medio para probar las combinaciones a 10 000 millones de intentos por segundo: es el mismo cálculo que hace el generador de arriba. Un ataque real depende además de cómo guarda el servicio las contraseñas y de si limita los intentos de acceso.
Escribe la contraseña en el campo «Comprobar mi contraseña»: la evaluación se hace en tu navegador y la contraseña no se envía a ninguna parte. Señales de debilidad: menos de 12 caracteres, una palabra del diccionario, una fecha, un nombre, secuencias del teclado como qwerty o 123456, un carácter repetido.
Cada cuenta lleva su propia contraseña: así una filtración en un servicio no abre todos los demás. Nadie recuerda decenas de contraseñas distintas, y para eso están los gestores de contraseñas del navegador, del sistema operativo o como aplicación aparte. INCIBE y la Agencia Española de Protección de Datos recomiendan usar un gestor de contraseñas fiable. En las cuentas de trabajo añade un segundo factor: una contraseña robada ya no basta por sí sola.
En común: una contraseña por cuenta y un segundo factor en las cuentas importantes. Difieren en dos puntos: INCIBE pide mezclar tipos de caracteres y cambiar las contraseñas cada 6 meses; NIST apuesta solo por la longitud y prohíbe exigir cambios periódicos. Con una contraseña larga y única de este generador cumples ambos criterios de longitud.
Verano2025 a Verano2026: esas variantes son las primeras que prueban los atacantes.! al principio.INCIBE recomienda cambiar las contraseñas al menos cada 6 meses, mientras que el estándar estadounidense NIST prohíbe a los servicios exigir cambios periódicos: solo se cambia si hay indicios de que la contraseña se ha visto comprometida.
Fuente: INCIBE, «Gestión de contraseñas seguras» y NIST SP 800-63B, comprobado el 01.11.2026La Agencia Española de Protección de Datos aconseja usar al menos 8–10 caracteres, crear claves diferentes para cada cuenta online y ayudarse de un gestor de contraseñas fiable.
Fuente: AEPD, «Así puedes crear contraseñas robustas para proteger tu privacidad», 15.04.2024, comprobado el 01.11.2026El NIST exige que los servicios admitan contraseñas de al menos 64 caracteres, para que quepan frases largas.
Fuente: NIST SP 800-63B, comprobado el 01.11.2026Google recomienda contraseñas de al menos 12 caracteres y en la cuenta de Google solo admite caracteres ASCII estándar: las letras con tilde no son compatibles.
Fuente: Ayuda de la cuenta de Google sobre contraseñas seguras, comprobado el 01.11.2026Una contraseña fuerte es la mitad de la seguridad. En Elbuz el acceso de los empleados tiene más protección: después de la contraseña, Elbuz pide un código enviado por correo, bloquea los intentos repetidos de adivinar la contraseña y, si quieres, solo permite entrar desde direcciones IP autorizadas. Cada persona ve solo lo que su rol le permite.
Lo más sencillo es generarla: 12–16 caracteres entre mayúsculas, minúsculas, cifras y caracteres especiales. Si tienes que recordarla, usa una secuencia de 5–6 palabras sacadas al azar: es larga y no es una sola palabra del diccionario.
Al menos 12, mejor 16. INCIBE fija el mínimo en 8–10 caracteres y recuerda que cuanto más larga, mejor; el NIST pide al menos 15 si se accede solo con contraseña.
Por sí sola, normalmente no: incluso con todos los tipos de caracteres, 8 caracteres a 10 000 millones de intentos por segundo se descifran en más o menos un día. Con un segundo factor de acceso el riesgo baja mucho.
Al menos 8–10 caracteres con mayúsculas, minúsculas, números y caracteres especiales; nada de datos personales, palabras del diccionario ni secuencias del teclado; una contraseña por cuenta, gestor de contraseñas, doble factor y cambio al menos cada 6 meses.
Mejor no. Una cuenta de Google solo acepta caracteres ASCII estándar, y en un teclado extranjero puede que no encuentres la ñ ni las tildes.
Aquí sí: la contraseña se crea en tu navegador con un generador aleatorio criptográfico (crypto.getRandomValues) y no se envía ni se guarda.
Escríbela en el campo «Comprobar mi contraseña»: la evaluación por longitud, tipos de caracteres y patrones típicos (123456, qwerty, repeticiones) se hace solo en tu navegador.