Calculadora de entropía Shannon de contraseña | Pool de caracteres, bits Shannon y tiempo de descifrado por modelo

Calcula la longitud, el conjunto de caracteres, la entropía de fuerza bruta (bits) y la entropía Shannon (bits por carácter) de una contraseña, y observa el tiempo estimado de descifrado bajo tres modelos de atacante en una sola vista. Pensada para revelar la diferencia entre lo complicada que parece una contraseña y lo difícil que es adivinarla.

💡 Sobre esta herramienta

La mayoría de los medidores muestran una barra de color y nada más. Eso apenas dice contra qué amenaza te estás defendiendo. Una contraseña que resiste siglos en un formulario de inicio de sesión con límite de intentos puede caer en horas si el atacante roba el hash y lo procesa en una GPU. Esta calculadora separa esos escenarios en lugar de fundirlos en una sola puntuación.

Dos cifras hacen el trabajo. La entropía de fuerza bruta es longitud × log2(tamaño del pool): el techo teórico suponiendo que el atacante recorre todas las combinaciones del conjunto de caracteres. La entropía Shannon se calcula a partir de las frecuencias reales de los caracteres del texto, de modo que las repeticiones o los sesgos la reducen. Cuando ambas divergen, esa brecha indica que la contraseña parece más densa de lo que realmente es (compara aaaa1111 con k7Qm9xZr).

Los tres modelos de atacante difieren en órdenes de magnitud de velocidad: en línea (~10^4/s) modela un endpoint con límite de tasa; KDF sin conexión (~10^10/s) modela un hash robado protegido por un KDF lento como bcrypt; y GPU sin conexión (~10^12/s) modela un hash rápido de una sola ronda como SHA-256 descifrado en clústeres GPU. Alternar entre ellos muestra por qué usar bcrypt y salar los hashes no es folclore: la misma contraseña puede pasar de minutos a milenios.

🧐 Preguntas Frecuentes

¿Qué número importa de verdad, fuerza bruta o Shannon? Para un umbral práctico, usa la entropía de fuerza bruta (bits totales). Menos de 60 bits es frágil; 128 o más se clasifica aquí como muy fuerte. Lee la Shannon como verificación que detecta entradas poco diversas.

¿Añadir un símbolo realmente ayuda? Incluir cualquier símbolo ASCII suma 32 al pool, lo que aumenta el término log2 una vez. Añadir longitud suma ese término por cada carácter extra, así que una frase de paso más larga casi siempre supera a un ! suelto.

¿Por qué mi tiempo de descifrado aparece en siglos? Es un límite superior que asume fuerza bruta pura. Ignora ataques de diccionario, relleno de credenciales con listas filtradas y adivinación de datos personales. Una contraseña de alta entropía que ya figure en una filtración se descifra al instante.

¿Cómo se tratan los caracteres Unicode? Cualquier punto de código por encima del ASCII imprimible suma 1000 al pool como aproximación. Eleva la entropía teórica, pero la fricción de los métodos de entrada hace que la longitud sea la palanca más fiable.

¿Se envía mi contraseña a algún sitio? No. La detección de caracteres, el cálculo de entropía y las estimaciones de tiempo se ejecutan en JavaScript dentro de tu navegador. El valor que escribes nunca se transmite a un servidor.

📚 Datos Curiosos

Todo parte del artículo de Claude Shannon de 1948, donde la entropía medía la imprevisibilidad de un mensaje en bits, mucho antes de aplicarse a contraseñas. La orientación moderna ha evolucionado: NIST SP 800-63B ya desaconseja los cambios periódicos obligatorios y las reglas arbitrarias de composición, y recomienda en su lugar la longitud y el cotejo con listas de filtraciones. El motivo es conductual: exigir "una mayúscula, un símbolo" empuja a la gente hacia patrones predecibles como Contraseña1!, que parecen entrópicos a un medidor pero encabezan cualquier diccionario de ataque.