¿Cuál es la longitud mínima segura de una contraseña?

NIST SP 800-63B fija 8 caracteres como el mínimo requerido para secretos elegidos por el usuario, pero lo plantea explícitamente como un piso — el estándar también recomienda que los servicios acepten al menos 64 caracteres, lo cual solo tiene sentido si se espera que las contraseñas más largas sean comunes y beneficiosas.

¿Una contraseña más larga es siempre más segura que una más corta con más símbolos?

Casi siempre sí, para contraseñas generadas aleatoriamente. Cada carácter añadido multiplica el número de contraseñas posibles por el tamaño del conjunto de caracteres, mientras que añadir una clase de carácter solo multiplica por un factor menor una única vez. Dos caracteres extra de longitud suelen superar a añadir símbolos a una contraseña que no los tenía.

¿Por qué algunos sitios bancarios limitan la contraseña a 12 o 16 caracteres?

Históricamente, algunos sistemas cifraban las contraseñas con algoritmos o campos de almacenamiento truncados que tenían límites de longitud, o ejecutaban código heredado que nunca previó entradas largas. Hoy se considera una práctica débil — OWASP recomienda que las aplicaciones admitan al menos 64 caracteres —, pero muchos sistemas bancarios antiguos y heredados todavía imponen límites bajos.

¿Importa más una contraseña maestra larga para mi gestor de contraseñas que para los inicios de sesión normales?

Sí. La contraseña maestra de tu gestor de contraseñas es la única contraseña que, si se ve comprometida, expone todas las demás que tienes. También es la que más a menudo escribes a mano, por lo que una frase de contraseña larga — no una cadena corta y compleja — es la recomendación habitual para esa contraseña en concreto.

Guide

Cuántos caracteres debe tener una contraseña

8 caracteres es un mínimo legal, no uno seguro. Aquí tienes la longitud que de verdad tiene sentido por tipo de cuenta, y por qué.

By Buğra SözeriPublished September 25, 2026

«¿Cuánto debería medir mi contraseña?» no tiene una única respuesta universal, porque la longitud correcta depende de lo que hay detrás del inicio de sesión y de cómo se escribe la contraseña. Lo que sigue es una tabla de longitudes por tipo de cuenta, construida sobre la matemática de la entropía y la postura de priorizar la longitud que NIST SP 800-63B adoptó desde que reemplazó las reglas de complejidad como predeterminado recomendado.

El piso: 8 caracteres, y por qué no es una meta

NIST SP 800-63B exige que los servicios acepten secretos elegidos por el usuario de al menos 8 caracteres, y que admitan al menos 64 — una pista clara de hacia dónde quiere realmente el estándar que se muevan las contraseñas. Ocho caracteres son un piso de cumplimiento, no una meta de seguridad: con 8 caracteres totalmente aleatorios de letras, números y símbolos, la entropía es de solo unos 52 bits, cómodamente dentro del rango que el hardware moderno de descifrado puede atacar si se filtra un hash. Trata el 8 como «el mínimo que un sitio te dejará introducir», no como una longitud que deberías elegir de verdad.

Longitud recomendada por tipo de cuenta

Tipo de cuenta	Longitud recomendada	Por qué
Bajo riesgo / desechable (foro, prueba gratuita)	12+ caracteres aleatorios	Poco valor si se filtra, pero aun así merece una contraseña única para que una filtración aquí no pueda abrir otras cuentas.
Email, redes sociales, compras	16+ caracteres aleatorios	El email en particular es una vía de recuperación hacia todo lo demás que posees — trátalo como una cuenta de alto valor.
Portales bancarios, de impuestos, de salud	16–20+ caracteres aleatorios (según el máximo del sitio)	Objetivo de alto valor con consecuencias financieras o médicas reales si se compromete.
Contraseña maestra del gestor de contraseñas	6+ palabras Diceware aleatorias (~77+ bits)	La única contraseña que se escribe de memoria; una frase de contraseña se recuerda más rápido y de forma más fiable que una cadena aleatoria de fuerza equivalente.
Wi-Fi doméstico (WPA2/WPA3)	16+ caracteres aleatorios	Rara vez se escribe después de configurarlo (los dispositivos la recuerdan), así que alargarla no tiene coste de legibilidad.

Por qué la longitud supera a añadir clases de caracteres

El razonamiento es la misma fórmula detrás de cada guía de entropía de este sitio: entropía = longitud × log2(tamaño del conjunto de caracteres). Pasar de un conjunto de 62 caracteres (letras y dígitos) a uno de aproximadamente 94 caracteres (añadiendo símbolos) eleva los bits por carácter de unos 5,95 a unos 6,55 — una ganancia multiplicativa pequeña aplicada una sola vez. Añadir cuatro caracteres más de longitud, en cambio, suma esos 5,95–6,55 bits cuatro veces por separado. Si un sitio te obliga a elegir entre una contraseña más corta con todas las clases de carácter, o cuatro caracteres más sin símbolos, elige siempre la longitud.

Cuando no puedes alargarla

Algunos sistemas heredados todavía limitan la longitud de la contraseña a 12 o 16 caracteres — una práctica que nuestra guía general de contraseñas cubre con más detalle, y una contra la que las recomendaciones de OWASP argumentan explícitamente. Cuando te topes con un límite bajo, usa todas las clases de carácter disponibles para maximizar el conjunto de caracteres, ya que la longitud deja de ser la palanca que controlas. Una contraseña de 12 caracteres limitada con el conjunto completo de símbolos (~79 bits) sigue siendo notablemente más fuerte que la misma longitud sin símbolos (~71 bits) — poco, pero es el único mando que queda. Cuando sea posible, combina un inicio de sesión limitado o por lo demás débil con autenticación de dos factores, que no depende en absoluto de la longitud de la contraseña.

Frequently asked questions

¿Cuál es la longitud mínima segura de una contraseña?: NIST SP 800-63B fija 8 caracteres como el mínimo requerido para secretos elegidos por el usuario, pero lo plantea explícitamente como un piso — el estándar también recomienda que los servicios acepten al menos 64 caracteres, lo cual solo tiene sentido si se espera que las contraseñas más largas sean comunes y beneficiosas.
¿Una contraseña más larga es siempre más segura que una más corta con más símbolos?: Casi siempre sí, para contraseñas generadas aleatoriamente. Cada carácter añadido multiplica el número de contraseñas posibles por el tamaño del conjunto de caracteres, mientras que añadir una clase de carácter solo multiplica por un factor menor una única vez. Dos caracteres extra de longitud suelen superar a añadir símbolos a una contraseña que no los tenía.
¿Por qué algunos sitios bancarios limitan la contraseña a 12 o 16 caracteres?: Históricamente, algunos sistemas cifraban las contraseñas con algoritmos o campos de almacenamiento truncados que tenían límites de longitud, o ejecutaban código heredado que nunca previó entradas largas. Hoy se considera una práctica débil — OWASP recomienda que las aplicaciones admitan al menos 64 caracteres —, pero muchos sistemas bancarios antiguos y heredados todavía imponen límites bajos.
¿Importa más una contraseña maestra larga para mi gestor de contraseñas que para los inicios de sesión normales?: Sí. La contraseña maestra de tu gestor de contraseñas es la única contraseña que, si se ve comprometida, expone todas las demás que tienes. También es la que más a menudo escribes a mano, por lo que una frase de contraseña larga — no una cadena corta y compleja — es la recomendación habitual para esa contraseña en concreto.

Sources & references

Authoritative references cited by this piece. Verified by Buğra Sözeri on the dates shown and re-checked at every deploy.

NIST SP 800-63B — Digital Identity Guidelines (Authentication and Lifecycle Management) — Fija el mínimo de 8 caracteres para secretos memorizados elegidos por el usuario y recomienda permitir al menos 64 caracteres(as of 2026-09-25)
CISA — Secure Our World: Use Strong Passwords — Recomendación del gobierno de EE. UU. para el consumidor de usar contraseñas más largas y únicas por cuenta(as of 2026-09-25)
OWASP — Authentication Cheat Sheet — Longitudes mínimas y máximas recomendadas de contraseña para sistemas de autenticación de aplicaciones(as of 2026-09-25)

Published September 25, 2026