Por qué una clave corta cae en segundos

Una contraseña no se "adivina" como en las películas: un programa prueba combinaciones a toda velocidad. Eso se llama fuerza bruta. Una computadora común prueba millones de claves por segundo, y una con placas gráficas, miles de millones.

Por eso importa tanto el largo. Cada carácter extra multiplica el trabajo del atacante: un código de 3 dígitos tiene 1.000 combinaciones, uno de 4 dígitos tiene 10.000. Con letras, números y símbolos, cada carácter multiplica por decenas.

Lo primero que prueban

Antes de recorrer todas las combinaciones, los atacantes prueban listas de claves comunes (123456, qwerty, contraseña), nombres, equipos de fútbol y fechas con año (Mateo2015, Boca1905). Si tu clave es de esas, cae en el primer segundo aunque tenga mayúscula y número.

Dos defensas que valen oro

Una clave distinta en cada cuenta: si una web se hackea y filtra tu clave, los atacantes la prueban en tu mail, tu banco y tus redes. Y la verificación en dos pasos (2FA): aunque roben tu clave, les falta el código de tu celular.

const sal = crypto.getRandomValues(new Uint8Array(16));
const base = await crypto.subtle.importKey(
  'raw', new TextEncoder().encode(clave), 'PBKDF2', false, ['deriveBits']);
const huella = await crypto.subtle.deriveBits(
  { name: 'PBKDF2', hash: 'SHA-256', salt: sal, iterations: 100000 },
  base, 256);