Aleatoria para guardarla en el gestor de contraseñas, memorizable para las que tienes que teclear de memoria y PIN para el móvil o la tarjeta. Se generan en tu navegador y no salen de él.
…
El tiempo es lo que tardaría en adivinarla alguien que robe el resumen criptográfico de la clave, a mil millones de pruebas por segundo. Por internet, con bloqueo por intentos, el margen es muchísimo mayor.
Aleatoria para todo lo que guarda el gestor de contraseñas: nunca la vas a teclear, así que puede ser larga e imposible de recordar.
Memorizable para las que tecleas tú: la del ordenador, la del correo o la maestra del gestor. Para el día a día, 4 palabras y 2 cifras; para lo importante, 6 palabras.
PIN para el móvil, la tarjeta o la alarma: solo protege donde se bloquea tras unos pocos intentos fallidos.
Solo lo que se sortea: las palabras, las cifras del núcleo y el separador al azar. Cada palabra más multiplica por más de mil el trabajo del atacante.
Los adornos con regla fija apenas suman: la mayúscula inicial, el símbolo al final o cambiar letras por cifras (C3rcano). Los programas de descifrado los prueban de serie, y la clave cuesta más de recordar.
Los bits de entropía, suponiendo que el atacante conoce el método y el diccionario. Cada bit dobla su trabajo. Por debajo de 40 es floja si roban el resumen de la clave; a partir de 60, sobrada.
Repetirla: una clave usada en dos sitios vale lo que el más débil de los dos. Tampoco protege si la escribes en una página falsa. Lo que de verdad cambia el resultado es la verificación en dos pasos, una clave distinta por servicio y un gestor de contraseñas.
Las contraseñas no se envían ni se guardan en ningún sitio; al recargar la página desaparecen. Solo se recuerdan los ajustes del formulario, en este navegador.