Medir la fuerza de una contraseña

Por qué las reglas de longitud y símbolos siguen fallando

Las reglas de composición que exigen un dígito, un símbolo y una mayúscula parecían razonables hace décadas, pero los atacantes se adaptaron más rápido que las reglas: los diccionarios de cracking de contraseñas hoy incluyen cada sustitución predecible que esas reglas fomentan, de 'a' a '@' y de 'o' a '0'. Una política construida alrededor de clases de caracteres mide el cumplimiento de una lista, no la resistencia real ante un intento de cracking, y muchas veces empuja a los usuarios hacia patrones memorables pero débiles en vez de contraseñas genuinamente fuertes.

Qué mide este endpoint en su lugar

Llama a POST /verify/password con una contraseña candidata y la tarea calcula su entropía según el conjunto de caracteres y la longitud, la compara contra listas de contraseñas comunes y previamente filtradas en brechas, y estima el tiempo hasta romperla bajo supuestos de ataque realistas en lugar de un límite teórico de peor caso. La respuesta ofrece una evaluación de fortaleza basada en cómo un atacante real abordaría la contraseña, no un puntaje arbitrario que depende de si incluye un signo de exclamación.

Una nota breve sobre por qué importan tanto las listas comunes

A lo largo de los años se han filtrado miles de millones de contraseñas en brechas de seguridad, y los atacantes ya no adivinan a ciegas; primero prueban las candidatas contra esas listas conocidas, porque una parte sorprendente de la población reutiliza un conjunto reducido de contraseñas predecibles y sus variaciones. Una contraseña puede tener una entropía teórica decente y aun así estar entre las primeras cien mil que un atacante prueba, y por eso la entropía sola es una medida incompleta y revisar listas comunes no es opcional.

Dónde encaja en un flujo de registro

La mayoría de las integraciones llaman a esto en el momento en que el usuario escribe una contraseña candidata, mostrando retroalimentación en tiempo real en lugar de un rechazo después de enviar el formulario; como la tarea es asíncrona, recibe un task_id de inmediato y el resultado por webhook firmado, o mediante un enlace firmado válido por 24 horas si su flujo prefiere consultarlo. A $0.002 por solicitud, con comprobaciones fallidas nunca cobradas, es lo bastante económico como para invocarlo en cada pausa de escritura sin tener que reservarlo solo para el envío final.

Lo que no le va a decir

Este endpoint puntúa la contraseña en sí misma; no dice nada sobre cómo su sistema la almacena, y una contraseña fuerte guardada con un algoritmo débil y rápido sigue siendo un sistema débil. La evaluación de fortaleza y el almacenamiento seguro son problemas distintos que ambos necesitan resolverse, y este endpoint resuelve exactamente el primero, de forma deliberada y bien hecha.