Guía de privacidad K-Anonymity, brechas de datos y entropía
Comprende el funcionamiento del protocolo matemático que permite verificar si una clave ha sido expuesta en filtraciones masivas sin transmitir jamás tu contraseña completa por internet.
Tabla comparativa de entropía y tiempo de descifrado por fuerza bruta
La resistencia de una clave depende exponencialmente de su longitud y variedad de conjuntos de caracteres frente a ataques con GPUs modernas:
| Estructura de la clave | Longitud típica | Entropía estimada | Tiempo de descifrado (Hashcat GPU) |
|---|---|---|---|
| Solo números (PIN) | 6 – 8 dígitos | 20 – 26 bits | Instantáneo (< 1 milisegundo) |
| Solo letras minúsculas | 8 caracteres | 37 bits | Menos de 2 segundos |
| Mayúsculas y minúsculas | 8 – 10 caracteres | 47 – 57 bits | Desde 1 minuto hasta varias horas |
| Alfanumérica con símbolos | 12 caracteres | 78 bits | Aproximadamente 200 a 3.000 años |
| Frase de paso (Passphrase 4 palabras) | 16 – 20 caracteres | > 90 bits | Millones de años (inmune a fuerza bruta) |
Pasos para auditar tu contraseña con seguridad absoluta
Escribir la clave en tu equipo
El campo de contraseña procesa la clave en local. El texto en claro nunca se envía a ningún servidor ni se almacena en caché.
Generación del hash SHA-1 local
Tu navegador calcula mediante Web Crypto API la cadena de 40 caracteres hexadecimales correspondiente a tu contraseña.
Envío de prefijo k-Anonymity
Solo viajan a la API los primeros 5 caracteres. La API de Have I Been Pwned devuelve todos los sufijos que coinciden con ese inicio.
Cotejo interno y diagnóstico
El navegador compara en su memoria si tu sufijo figura en la lista. Si aparece, sabrás cuántas veces fue filtrada.
Preguntas frecuentes sobre seguridad y contraseñas filtradas
¿Cómo garantiza el modelo K-Anonymity que nadie conozca mi contraseña?
El modelo k-Anonymity garantiza privacidad matemática absoluta. Tu navegador calcula el hash SHA-1 y solo transmite los primeros 5 caracteres a la API. El servidor responde con cientos o miles de hashes que comparten ese prefijo, y la comparación final la realiza tu propio equipo de forma local. Ningún servidor ni intermediario ve tu contraseña completa ni su hash íntegro.
¿Qué base de datos utiliza este comprobador para detectar brechas?
Se conecta a la base de datos oficial Pwned Passwords de Have I Been Pwned, creada por Troy Hunt, que recopila y audita más de 850 millones de contraseñas expuestas en filtraciones públicas, volcados corporativos y ataques masivos en internet.
¿Qué debo hacer si mi contraseña habitual aparece como filtrada?
Debes cambiarla de forma urgente en todos los servicios, correos y páginas web donde la utilices. Los ciberdelincuentes emplean diccionarios automatizados de ataques de 'credential stuffing' para probar claves filtradas en miles de portales bancarios y redes sociales.
¿Es seguro añadir un signo de exclamación o un número al final de una clave?
No. Las herramientas de fuerza bruta como Hashcat o John the Ripper utilizan reglas automáticas que prueban sistemáticamente sufijos como '123', '!', o cambios de 'a' por '@'. Para una seguridad real se requiere una frase de contraseña larga (passphrase) de al menos 16 caracteres sin palabras del diccionario.
¿Por qué es crucial activar la autenticación en dos pasos (2FA)?
Porque el doble factor de autenticación añade un segundo canal de verificación independiente (código TOTP temporal en móvil o llave de seguridad física FIDO2). Aunque tu contraseña sea filtrada en una brecha externa, el atacante no podrá acceder a tu cuenta sin el segundo factor.