¿Una frase de paso es tan fuerte como una contraseña aleatoria?

Puede serlo, pero solo si las palabras se eligen de forma uniformemente aleatoria de una lista grande de palabras — no elegidas por un humano, que tiende hacia frases comunes y pares de palabras predecibles. Una frase de paso de seis palabras verdaderamente aleatoria de una lista de 7.776 palabras (el estándar Diceware) lleva unos 77 bits de entropía, comparable a una contraseña completamente aleatoria alfanumérica más símbolos de 13 caracteres.

¿Por qué alguien usaría una frase de paso en vez de un generador?

Velocidad de escritura y memoria. Una cadena aleatoria de 16 caracteres con mayúsculas, minúsculas, dígitos y símbolos es casi imposible de escribir con precisión en el teclado de un teléfono o leer en voz alta a alguien. Una frase de paso de palabras reales (aunque no relacionadas) se escribe mucho más rápido y se recuerda mejor — algo que importa para el puñado de contraseñas que realmente tienes que memorizar, como el código de un dispositivo o la contraseña maestra de tu gestor de contraseñas.

¿Qué hace débil a una frase de paso?

Las frases elegidas por humanos. «teamo2024» o la propia «correcthorsebatterystaple» (ya lo bastante famosa como para estar en todo diccionario de cracking) no son sorteos aleatorios de una lista de palabras — son cadenas predecibles que elegiría un humano, y los diccionarios de los atacantes se construyen exactamente en torno a esa previsibilidad. Una frase de paso es tan fuerte como la aleatoriedad detrás de la selección de palabras, normalmente de una tirada de dados o un GNA criptográfico eligiendo de una lista fija.

¿Debería usar una frase de paso o una contraseña generada para la contraseña maestra de mi gestor de contraseñas?

Frase de paso. Es la única contraseña que escribirás de memoria, a menudo en un teléfono, así que la facilidad de escritura importa. Todo lo demás — cada inicio de sesión de sitio — debería ser una cadena aleatoria generada almacenada en el gestor, ya que nunca las escribes a mano.

Guide

Frase de paso vs. contraseña aleatoria: ¿cuál gana?

correct-horse-battery-staple frente a una cadena aleatoria de símbolos — la matemática de la entropía dice que ambas pueden ganar, según dónde la estés escribiendo.

By Buğra SözeriPublished September 25, 2026

Dos escuelas de consejos sobre contraseñas suenan contradictorias: usa una cadena aleatoria de letras, dígitos y símbolos; o usa una cadena de palabras ordinarias como correcto caballo batería grapa. Ambas pueden ser correctas, porque responden a la misma pregunta de entropía con bloques de construcción distintos — caracteres frente a palabras — y la correcta para ti depende enteramente de si alguna vez tendrás que escribir la contraseña a mano.

La matemática de entropía de cada enfoque

Una contraseña aleatoria extrae cada carácter de un conjunto de caracteres; una frase de paso extrae cada palabra de una lista de palabras. La fórmula es idéntica — cantidad × log2(tamaño del conjunto) — solo aplicada a una unidad distinta:

Esquema	Tamaño del conjunto	Bits por unidad	Entropía total
4 palabras aleatorias (Diceware, lista de 7.776 palabras)	7.776	12,9 bits/palabra	~52 bits
6 palabras aleatorias (Diceware)	7.776	12,9 bits/palabra	~77 bits
12 caracteres aleatorios, alfanuméricos + símbolos	~94	6,55 bits/carácter	~79 bits
16 caracteres aleatorios, alfanuméricos + símbolos	~94	6,55 bits/carácter	~105 bits

Una frase de paso Diceware de seis palabras queda cerca de una contraseña completamente aleatoria de 12 caracteres — aproximadamente 77 frente a 79 bits. Ninguna es automáticamente la ganadora; depende de cuántas palabras o caracteres estés dispuesto a añadir, y ambas escalan de forma lineal, así que la comparación se mantiene en cualquier objetivo: una palabra aleatoria extra vale aproximadamente dos caracteres completamente aleatorios extra.

Dónde gana cada una en la práctica

Los números de entropía empatan, pero los dos esquemas no son intercambiables en el uso. Una frase de paso gana en cualquier sitio donde un humano tenga que escribir o recordar la contraseña: desbloquear un teléfono, introducir una contraseña de Wi-Fi leída de una etiqueta del router, o escribir la contraseña maestra de un gestor de contraseñas — la única contraseña que nada más puede almacenar por ti. Las palabras reales (aunque no relacionadas) se escriben más rápido y se recuerdan más tiempo que una cadena aleatoria con mayúsculas, minúsculas y símbolos, y la pérdida de entropía por usar «solo» palabras se compensa fácilmente añadiendo una palabra más.

Una contraseña aleatoria generada gana en todo lo demás — que es la mayoría de los inicios de sesión. Si un gestor de contraseñas está haciendo la escritura (autocompletado), no hay coste de legibilidad en una cadena completamente aleatoria de 16 o más caracteres, y alcanza mayor entropía por carácter de lo que podría cualquier esquema basado en palabras a una longitud razonable. Nuestra guía para elegir una contraseña fuerte cubre el conjunto de reglas más amplio bajo el que cae esto: para cualquier cosa almacenada en un gestor, genera; para cualquier cosa escrita a mano, usa en su lugar una frase de paso larga y aleatoria.

Cómo generar cada una correctamente

El modo de fallo de ambos esquemas es el mismo: un humano eligiendo las palabras o los caracteres en lugar de que los elija una fuente aleatoria. Una frase que te resulta memorable lo es porque es predecible, que es exactamente lo que el diccionario de adivinanzas de un atacante está construido para explotar. Para una contraseña aleatoria, usa un generador construido sobre una fuente aleatoria criptográfica en lugar de escribir algo que «parezca» aleatorio — nuestro generador de contraseñas usa la API crypto.getRandomValues del navegador exactamente por esta razón. Para una frase de paso, el equivalente es Diceware: tira dados físicos (o usa un GNA criptográfico) para elegir cada palabra de forma independiente de una lista de palabras fija y publicada, en lugar de componer una frase que te parezca aleatoria a ti.

Frequently asked questions

¿Una frase de paso es tan fuerte como una contraseña aleatoria?: Puede serlo, pero solo si las palabras se eligen de forma uniformemente aleatoria de una lista grande de palabras — no elegidas por un humano, que tiende hacia frases comunes y pares de palabras predecibles. Una frase de paso de seis palabras verdaderamente aleatoria de una lista de 7.776 palabras (el estándar Diceware) lleva unos 77 bits de entropía, comparable a una contraseña completamente aleatoria alfanumérica más símbolos de 13 caracteres.
¿Por qué alguien usaría una frase de paso en vez de un generador?: Velocidad de escritura y memoria. Una cadena aleatoria de 16 caracteres con mayúsculas, minúsculas, dígitos y símbolos es casi imposible de escribir con precisión en el teclado de un teléfono o leer en voz alta a alguien. Una frase de paso de palabras reales (aunque no relacionadas) se escribe mucho más rápido y se recuerda mejor — algo que importa para el puñado de contraseñas que realmente tienes que memorizar, como el código de un dispositivo o la contraseña maestra de tu gestor de contraseñas.
¿Qué hace débil a una frase de paso?: Las frases elegidas por humanos. «teamo2024» o la propia «correcthorsebatterystaple» (ya lo bastante famosa como para estar en todo diccionario de cracking) no son sorteos aleatorios de una lista de palabras — son cadenas predecibles que elegiría un humano, y los diccionarios de los atacantes se construyen exactamente en torno a esa previsibilidad. Una frase de paso es tan fuerte como la aleatoriedad detrás de la selección de palabras, normalmente de una tirada de dados o un GNA criptográfico eligiendo de una lista fija.
¿Debería usar una frase de paso o una contraseña generada para la contraseña maestra de mi gestor de contraseñas?: Frase de paso. Es la única contraseña que escribirás de memoria, a menudo en un teléfono, así que la facilidad de escritura importa. Todo lo demás — cada inicio de sesión de sitio — debería ser una cadena aleatoria generada almacenada en el gestor, ya que nunca las escribes a mano.

Sources & references

Authoritative references cited by this piece. Verified by Buğra Sözeri on the dates shown and re-checked at every deploy.

NIST SP 800-63B — Digital Identity Guidelines (Authentication and Lifecycle Management) — Orientación federal que recomienda la longitud por encima de las reglas de composición, la base de que las frases de paso sean una alternativa aceptada a las cadenas aleatorias complejas(as of 2026-09-25)
OWASP — Authentication Cheat Sheet — Orientación sobre longitud de contraseña, entropía y esquemas de autenticación aceptables, incluidas las frases de paso(as of 2026-09-25)

Published September 25, 2026