La entropía mide la imprevisibilidad de una contraseña en bits y se calcula como E = L × log2(N), donde L es la longitud y N el tamaño del conjunto de caracteres. Una contraseña aleatoria de 16 caracteres sobre 94 símbolos ASCII alcanza unos 104,9 bits, muy por encima del umbral de 80 bits que INCIBE y NIST consideran adecuado para cuentas sensibles. Cada bit adicional duplica el coste de un ataque por fuerza bruta, por lo que sumar longitud aporta más que añadir reglas de complejidad.

NIST SP 800-63B fija un mínimo de 8 caracteres para contraseñas elegidas por el usuario, admite al menos 64 caracteres y elimina las reglas obligatorias de composición y los cambios periódicos sin motivo. ENISA, en sus guías de buenas prácticas de autenticación, coincide en priorizar longitud y aleatoriedad y desaconseja patrones predecibles como 'Empresa2026!'. Para cuentas que te importan, apunta a 14 caracteres aleatorios o a una frase de paso de 4 a 6 palabras no relacionadas.

Sí. INCIBE recomienda usar un gestor de contraseñas para generar y almacenar credenciales únicas en cada servicio, y la AEPD considera estas herramientas compatibles con el RGPD y la LOPDGDD siempre que cifren los datos en local con una clave maestra fuerte. Opciones consolidadas como Bitwarden, 1Password o KeePassXC permiten sincronización cifrada de extremo a extremo. Recuerda proteger la contraseña maestra con un segundo factor y guardar una copia de seguridad de la bóveda.

Una aplicación de autenticación (TOTP) o, mejor aún, una llave de seguridad FIDO2 o passkey, son siempre preferibles al SMS. INCIBE y NIST advierten de que los códigos por SMS son vulnerables a ataques de SIM swapping y a la interceptación en redes móviles. Aun así, activar 2FA por SMS es preferible a no usar ningún segundo factor: cualquier 2FA bloquea la mayoría de los compromisos derivados de filtraciones de contraseñas.

Lo es cuando la generación se hace en el lado cliente con una fuente criptográficamente segura. Esta herramienta utiliza crypto.getRandomValues de la Web Crypto API, el CSPRNG que OWASP recomienda en su Authentication Cheat Sheet, y todo el proceso ocurre en tu navegador sin enviar ni almacenar nada en servidores. Como buena práctica, copia la contraseña directamente al gestor en lugar de pegarla en notas, chats o correos.

Ambas son válidas si tienen suficiente entropía. Una frase de paso de 5 o 6 palabras aleatorias de una lista amplia (por ejemplo, las 7.776 de Diceware) aporta unos 12,9 bits por palabra, alcanzando 64 a 77 bits, que basta para la mayoría de servicios. Para la contraseña maestra del gestor, INCIBE sugiere usar una frase de paso larga y memorable, ya que se debe escribir a menudo y conviene que no dependa del autocompletado.

Puedes consultarlo en el servicio Pwned Passwords de Have I Been Pwned, que utiliza un modelo de k-anonimato para que la contraseña completa nunca salga de tu dispositivo. INCIBE también difunde alertas tempranas a través de su servicio Antibotnet y de avisos públicos. Si una contraseña aparece en una filtración, regenérala de inmediato y revisa cualquier otra cuenta donde la hubieses reutilizado.