Contraseñas seguras y UUID

Longitud y aleatoriedad

Una contraseña es segura cuando un atacante necesitaría demasiados intentos para encontrarla. Lo que más importa son dos cosas: su longitud y cómo se eligió. Cada carácter adicional multiplica el número de posibilidades, así que la longitud suele ayudar más que añadir un tipo de símbolo más.

La forma de elegir una contraseña importa igual. Las personas tienden a elegir palabras, nombres, fechas y sustituciones predecibles como «P@ssw0rd», y los atacantes prueban primero esos patrones. Una contraseña generada por una fuente aleatoria segura evita esos patrones. El generador de LeedyBox usa el generador de números aleatorios de Web Crypto del navegador en lugar de Math.random(), que no está diseñado para la seguridad.

Esta guía ofrece información general, no asesoramiento profesional de seguridad. Sigue los requisitos de tu organización o del servicio en el que te registras.

Qué significan los bits de entropía

La entropía, medida en bits, estima cuántos intentos haría falta para adivinar una contraseña aleatoria. Para una contraseña de longitud L elegida de forma uniforme entre N caracteres posibles, la entropía es L × log₂(N). Cada bit adicional duplica el espacio de búsqueda.

La estimación tiene límites. Solo tiene sentido cuando cada carácter se eligió al azar. Una contraseña que te has inventado, como «Summer2026!», puede parecer que tiene muchos bits según esta fórmula, pero es mucho más fácil de adivinar. La entropía tampoco dice nada de cómo almacena un servicio las contraseñas, de si la contraseña se ha reutilizado o de si se ha capturado mediante phishing.

Gestores de contraseñas y contraseñas únicas

Las contraseñas aleatorias son difíciles de recordar, y ahí ayuda un gestor de contraseñas: genera, guarda y rellena una contraseña distinta para cada sitio. Usar una contraseña única en todas partes es importante porque las filtraciones de datos ocurren, y una contraseña reutilizada permite a un atacante probar el mismo inicio de sesión en otros servicios. Para las pocas contraseñas que necesitas recordar, como la contraseña maestra del propio gestor, una frase de contraseña larga formada por varias palabras elegidas al azar es un enfoque habitual.

Autenticación en dos pasos

Incluso una contraseña segura puede robarse mediante phishing o malware. La autenticación en dos pasos (2FA) añade una segunda comprobación, como un código de una aplicación de autenticación, una llave de seguridad física o una clave de acceso (passkey). Activarla en el correo electrónico, la banca y otras cuentas importantes reduce el daño que puede causar una contraseña robada. Guarda los códigos de recuperación en un lugar seguro.

UUID v4 frente a UUID v7

Un UUID (identificador único universal) es un valor de 128 bits que se escribe con 36 caracteres, como 550e8400-e29b-41d4-a716-446655440000. El dígito que sigue al segundo guion indica la versión.

• UUID v4 es casi totalmente aleatorio (122 de sus 128 bits). No revela nada sobre cuándo ni dónde se creó, y la probabilidad de que dos coincidan es despreciable a efectos prácticos.
• UUID v7, definido en RFC 9562, empieza con una marca de tiempo Unix en milisegundos seguida de bits aleatorios. Los valores creados más tarde se ordenan después de los anteriores, lo que puede hacer que los índices de las bases de datos sean más eficientes que con v4. La contrapartida es que cualquiera que vea un UUID v7 puede saber aproximadamente cuándo se creó.

La herramienta de LeedyBox puede generar ambas versiones, y su inspector de UUID te permite examinar un UUID que pegues.

Los UUID son identificadores, no secretos

Un UUID está diseñado para ser único, no secreto. Muchos UUID acaban en URL, registros y respuestas de API, y un UUID v7 incluye su momento de creación. No uses un UUID por sí solo como contraseña, clave de API o token para restablecer contraseñas; usa un token aleatorio específico procedente de un generador seguro, junto con controles de acceso adecuados.

Preguntas frecuentes