Cada palabra de la lista de 7776 palabras de EFF aporta log2(7776) ≈ 12.9 bits, así que la frase predeterminada de seis palabras es una entre unos 2.2 × 10²³ posibilidades, es decir, 77.5 bits. Las palabras están en inglés porque esa es la lista que publica EFF; la seguridad no depende del idioma, sino de que cada palabra se elija al azar.
Para qué sirve una frase de contraseña
Hay contraseñas que no puede rellenar ningún gestor: la que abre el propio gestor de contraseñas, la de inicio de sesión del equipo, la del cifrado del disco o la del teléfono. Esas se escriben de memoria, a menudo varias veces al día. Una cadena como t9#Rk!4wQ cuesta recordarla y es fácil equivocarse al teclearla. Seis palabras comunes como outing-ruse-bucket-gangway-pristine-unfold son más largas, pero casi todo el mundo se las aprende en un par de días.
INCIBE, en su guía de contraseñas para la ciudadanía, propone partir de una frase fácil de recordar, juntar las palabras y añadir mayúsculas, un número y un símbolo. La idea de usar palabras es buena; el punto débil es que la frase la elige una persona. Los refranes, los versos de canciones, los lemas de equipos y las citas famosas están en las listas que usan los programas para descifrar contraseñas, y una frase “original” suele parecerse más a esas listas de lo que creemos. Aquí las palabras las elige el generador de números aleatorios del navegador, sin preferencias.
Por qué las palabras están en inglés
La herramienta usa la lista larga de la Electronic Frontier Foundation (EFF), publicada en 2016: 7776 palabras en inglés, elegidas para ser fáciles de escribir y de recordar, sin términos ofensivos ni palabras difíciles de deletrear. EFF no publica una versión en español, y no hemos querido mezclar listas de otras fuentes.
Que las palabras estén en inglés no cambia la seguridad. El cálculo de entropía ya supone que el atacante conoce la lista completa; lo único que lo protege es que cada palabra se elige al azar entre 7776. Para quien habla español hay dos consejos prácticos:
- Memoriza cómo se escribe, no cómo suena.
knapsackofreightno se escriben como suenan; lo que tecleas es la ortografía. - Si te tocan palabras raras, genera otra frase completa; no cambies palabras a mano (lo explicamos en las preguntas frecuentes). Eso sí, si descartas sistemáticamente las que no te gustan, reduces las combinaciones posibles y la entropía indicada ya no describe tu selección.
Las palabras de la lista tienen entre 3 y 9 letras, con una media de 7, y ninguna lleva tildes ni eñes, así que se escriben igual en cualquier teclado.
Generar una frase
- Deja el número de palabras en 6 o elige cualquier valor entre 3 y 12.
- Mantén el guion como separador o cámbialo por espacio, punto, guion bajo o nada.
- Activa la primera letra en mayúscula o el dígito añadido si un sitio te los exige.
- Usa Generar otra hasta que salga una combinación que puedas imaginarte.
- Guárdala en tu gestor de contraseñas, o apúntala en un papel en lugar seguro hasta que te la sepas de memoria.
Qué cambia cada opción
| Opción | Efecto en la entropía | Cuándo usarla |
|---|---|---|
| Número de palabras (3–12) | +12.9 bits por palabra | Es el control principal de la fuerza |
| Separador (guion por defecto) | Ninguno: lo eliges tú | Los espacios se leen con naturalidad; los guiones sobreviven a formularios que recortan espacios |
| Primera letra en mayúscula | Ninguno: todas las palabras la llevan | Para cumplir la regla “al menos una mayúscula” |
| Añadir un dígito | Suma log2(10 × palabras), unos 5.9 bits con seis palabras | Para cumplir la regla “al menos un número” |
Las mayúsculas y los separadores se aplican igual a todas las palabras, así que no añaden nada impredecible: un atacante que sabe que usaste esta herramienta también sabe que existen esas opciones. Solo cuentan las decisiones al azar: las palabras y, si lo activas, el dígito y la palabra tras la que aparece. El dígito es uno de diez valores colocado detrás de una palabra elegida al azar, de ahí los log2(10 × palabras) bits.
Quitar el separador es seguro con esta lista, porque ninguna de sus palabras es el comienzo de otra: una frase escrita toda junta solo puede dividirse de una manera. Cuatro entradas llevan un guion propio (drop-down, felt-tip, t-shirt y yo-yo), que con el guion como separador puede verse raro pero no cambia la fuerza.
¿Cuántas palabras?
La tabla supone lo peor: el atacante conoce la lista y tus ajustes, prueba sin conexión contra hashes de contraseñas robados y necesita, de media, recorrer la mitad de las combinaciones. La columna central es un hash rápido (10 000 millones de intentos por segundo, el orden de una sola tarjeta gráfica actual contra SHA-256 sin sal). La de la derecha es un hash lento como bcrypt (10 000 intentos por segundo), que es lo que debería usar un servicio bien hecho.
| Palabras | Bits | Hash rápido (10¹⁰ por segundo) | Hash lento (10⁴ por segundo) |
|---|---|---|---|
| 3 | 38.8 | 24 segundos | 9 meses |
| 4 | 51.7 | 2 días | 5800 años |
| 5 | 64.6 | 45 años | 45 millones de años |
| 6 | 77.5 | 350 000 años | 3.5 × 10¹¹ años |
| 7 | 90.5 | 2.7 × 10⁹ años | 2.7 × 10¹⁵ años |
| 8 | 103.4 | 2.1 × 10¹³ años | 2.1 × 10¹⁹ años |
Seis palabras es un buen punto de partida para algo que vas a memorizar. Usa siete u ocho para el gestor de contraseñas o un disco cifrado, donde el ataque sin conexión es la amenaza realista. Tres o cuatro palabras solo tienen sentido si el sistema limita los intentos, como el PIN de un teléfono que se bloquea tras varios fallos.
Longitud en caracteres
Una frase de seis palabras con guiones tiene entre 23 y 59 caracteres, unos 47 en el caso típico. Eso supera cualquier longitud mínima, incluidos los 15 caracteres que el NIST estadounidense pide cuando la contraseña es el único factor de acceso. Lo que hay que vigilar es el máximo: una frase de ocho palabras con separadores pasa de 64 caracteres aproximadamente una de cada tres veces, y algunos sitios no admiten más. El NIST solo pide a los servicios que acepten al menos 64, así que comprueba las frases largas cerrando sesión y volviendo a entrar.
¿Necesitas una contraseña aleatoria?
La segunda pestaña de esta página genera una contraseña clásica de letras, cifras y símbolos, con los mismos controles que el generador de contraseñas. Úsala para las cuentas que rellena tu gestor de contraseñas. Si quieres elegir las palabras tirando dados de verdad, la página de Diceware (en inglés, con la herramienta en español) muestra el número de dados de cada palabra.
La frase no sale de esta página
Las palabras se eligen dentro de tu navegador a partir de una copia de la lista que viene con la página. Nada de lo que generas se sube, se registra ni se guarda, y la página no recuerda resultados anteriores. Si cierras la pestaña antes de guardar la frase, se pierde para siempre, así que guárdala primero.
Notas técnicas
La herramienta elige una posición de la lista por palabra con crypto.getRandomValues. Los números aleatorios en bruto cubren un rango que no es múltiplo de 7776, así que los valores que caen en el tramo sobrante se descartan y se vuelven a sacar; cada palabra conserva exactamente la misma probabilidad de 1 entre 7776. La lista es la lista larga de EFF sin modificar, publicada con una licencia Creative Commons de atribución; consulta el anuncio de EFF y nuestra página de licencias (en inglés). Si quieres ver que generar no hace ninguna petición de red, la metodología te enseña a vigilarlo con las herramientas de desarrollo.
Preguntas frecuentes
¿Una frase de contraseña es tan fuerte como una contraseña aleatoria?
La fuerza depende del número de resultados igual de probables, no de su aspecto. Seis palabras de EFF dan 77.5 bits, más o menos lo mismo que una contraseña aleatoria de 12 o 13 caracteres con letras, cifras y símbolos. Añade palabras para ir más allá.
¿Importa que la lista de palabras sea pública?
No. El cálculo ya supone que el atacante tiene la lista. La protección viene de las 2.2 × 10²³ combinaciones posibles de seis palabras, no de ocultar de dónde salen.
¿Puedo cambiar una palabra que no me gusta?
Es mejor generar otra frase entera. Elegir palabras a mano, aunque sea una, empuja el resultado hacia palabras que a la gente le resultan agradables, y eso se puede modelar. Genera de nuevo hasta que te quede una.
¿Hay una versión con palabras en español?
Esta herramienta usa solo la lista de EFF, que está en inglés. La seguridad es la misma, y sus palabras se eligieron para ser fáciles de escribir. Si prefieres palabras en español, comprueba que la lista que uses sea larga, que esté publicada y que las palabras se elijan al azar, no a mano.
¿Debo añadir símbolos o números a las palabras?
Solo si un sitio lo exige. Cambiar letras por cifras parecidas aporta muy poco, porque los programas de descifrado prueban esos cambios automáticamente. Una palabra más suma 12.9 bits y es más fácil de recordar.
¿Por qué un sitio dice que mi frase es demasiado larga?
Algunos servicios limitan la longitud, a veces a 64 caracteres o menos. Usa menos palabras, quita los separadores o mira si el sitio ofrece otro método de acceso.
Fuentes
Consultadas el 11 oct. 2026.
- EFF: nuevas listas de palabras para frases de contraseña aleatorias (en inglés)
- INCIBE: Gestión de contraseñas seguras
- NIST SP 800-63B-4 (en inglés)
- Benchmark de hashcat 6.2.6 con una RTX 4090 (en inglés)
Última actualización: