La fuerza de una contraseña se mide en entropía: los bits que un atacante tendría que adivinar. Sale de la longitud multiplicada por el logaritmo del espacio de caracteres, y crece mucho más deprisa con la longitud que con la variedad.
Un carácter más, con 94 posibles, aporta 6,6 bits. Pasar de solo minúsculas a mezclar mayúsculas y minúsculas aporta apenas un bit por carácter: la longitud gana a la complejidad, y por mucho.
Por qué Verano2026! es débil
Sobre el papel son once caracteres de un espacio de 94, o sea unos 72 bits, que suena bien. Pero sigue un patrón que cualquier atacante prueba primero: una palabra con inicial mayúscula, un año y un signo de exclamación.
Los ataques de diccionario funcionan justamente con esas reglas y no prueban todas las combinaciones, sino las probables antes. La fuerza real de esas contraseñas queda muy por debajo de la cifra calculada.
Lo que sí funciona
Cuatro o cinco palabras elegidas al azar dan una contraseña que se recuerda y que sobre el papel es más fuerte que cualquier amasijo de símbolos: con una lista de 7 776 palabras, cada una aporta 12,9 bits, y cinco suman 64 bits reales, porque son aleatorias.
La clave está en el azar: una secuencia de palabras pensada por uno mismo no lo es. Lo más fiable es un gestor de contraseñas que genere claves largas al azar y las guarde, dejando solo una que memorizar.