Un medidor puede mostrar segundos, años o un periodo enorme. Ninguna de esas cifras predice cuándo una persona accederá a tu cuenta. Para interpretarlas hay que separar el modelo matemático, la velocidad elegida y las formas de robo que no necesitan adivinar la contraseña.
No todos los intentos ocurren en una pantalla de acceso
En un ataque contra un inicio de sesión, el servicio puede limitar intentos o bloquear accesos. Si un atacante obtiene una base de hashes, puede probar candidatos por su cuenta, según el algoritmo y los parámetros utilizados para almacenar las contraseñas. OWASP explica por qué el almacenamiento con funciones adecuadas y un coste de cálculo influye en esa resistencia. OWASP: almacenamiento de contraseñas ↗
También existe el uso de credenciales ya robadas. En ese caso, una combinación que parecía difícil de adivinar deja de ser desconocida. Estos escenarios no deben mezclarse bajo una sola etiqueta de tiempo. OWASP: ataques automatizados ↗
La cuenta que hace esta versión
En el modelo de Password Securex se utiliza la aproximación T = 2ᴴ / (2 × R), donde H son los bits calculados y R es el número hipotético de intentos por segundo. El factor dos representa aproximadamente la mitad del espacio de búsqueda; supone una búsqueda sin repeticiones y candidatos equiprobables.
La interfaz actual toma 10.000 intentos por segundo como escenario fijo de referencia. No mide tu cuenta, tu ordenador ni un equipo de ataque. El nombre del escenario no demuestra que esa velocidad corresponda a un servicio real. El selector de varios escenarios de versiones antiguas ya no se muestra.
Un mismo espacio, tres velocidades
Con 40 bits, hay 2⁴⁰ posibilidades en el supuesto uniforme. La tabla siguiente se deriva de la fórmula anterior. Los valores están redondeados y sirven únicamente para mostrar cuánto importa la velocidad:
| Velocidad hipotética | Tiempo medio aproximado |
|---|---|
| 10 intentos/s | 1.742 años |
| 10.000 intentos/s | 1,74 años |
| 10.000 millones de intentos/s | 55 segundos |
La tabla no afirma que un sitio permita diez intentos cada segundo ni que cualquier hash pueda probarse a la velocidad de la última fila. Es una comparación de parámetros inventados para explicar el modelo, no un resultado de hardware.
El punto débil de los bits estimados
Para una clave elegida por una persona, la aplicación parte de longitud y categorías de caracteres y aplica penalizaciones a ciertos patrones. Esa heurística puede fallar: una cita, un dato personal o una transformación poco común pueden pasar desapercibidos. Si los bits se sobreestiman, el tiempo también se sobreestima, y la fórmula amplifica mucho la diferencia.
Para una salida recién generada, el cálculo utiliza el proceso de selección conocido por la herramienta. Aun así, no incluye filtraciones posteriores, reutilización ni malware. La explicación completa está en metodología y limitaciones.
Qué decisión sí puedes tomar con el resultado
Utiliza la estimación para comparar estructuras ficticias bajo los mismos supuestos. Por ejemplo, observa qué sucede cuando una clave repite un bloque o incorpora una secuencia que el modelo reconoce. No interpretes «muchos años» como permiso para reutilizar una contraseña o desactivar otras protecciones.
Si sospechas que una credencial ya se ha compartido o filtrado, no necesitas calcular cuánto tardarían en descubrirla: corresponde sustituirla. Para crear la nueva, revisa la guía de contraseñas. Para proteger el acceso más allá del texto, consulta gestores y segundo factor.
De la explicación a la práctica.
Prueba una construcción ficticia y entiende su diagnóstico. No introduzcas claves que ya protejan tus cuentas.