Calculadora de seguridad OTP.
Configure un esquema de contraseña de un solo uso (longitud, conjunto de caracteres, fecha de caducidad y límite de intentos) y vea el espacio de combinaciones exacto, la entropía en bits, la probabilidad de éxito, la resistencia a ataques de fuerza bruta y una calificación de seguridad con consejos concretos para mejorarla. Los cálculos son exactos y se ejecutan completamente en su navegador.
Número de dígitos o caracteres del código (4–12).
Tamaño del alfabeto: 10
Cuánto tiempo permanece válido el código antes de que rote o caduque.
Se permiten intentos de verificación antes de que el código sea bloqueado o invalidado.
Tasa de adivinación automatizada estimada. Se utiliza únicamente para calcular el tiempo de ataque por fuerza bruta; déjelo en blanco si se desconoce.
El límite de intentos restringe a un atacante real a 5; el bloqueo, no la tasa, es la restricción vinculante.
- Muy fuerte: 1 entre 1.000.000 o mejor (cumple con el objetivo de referencia del NIST).
- Fuerte: mejor que 1 entre 100.000
- Regular: mejor que 1 entre 10.000
- Débil: peor que 1 de cada 10.000
Esta clasificación (débil/regular/fuerte/muy fuerte) es una heurística propia de la herramienta; no se trata de un estándar externo. Evalúa la probabilidad de acertar dentro del límite de intentos, comparándola con los umbrales que se indican a continuación. El espacio de combinaciones, la entropía y las probabilidades se calculan mediante matemáticas exactas.
- Las contraseñas de un solo uso (OTP) numéricas son el estándar para SMS y resultan fáciles de usar, pero su reducido tamaño implica que la seguridad depende de la limitación de la frecuencia de envío y de una caducidad corta, no del código en sí. Es fundamental mantener ambas medidas de seguridad estrictas.
- Implementa un bloqueo total del servidor tras varios intentos fallidos. Sin él, la "probabilidad dentro del límite de intentos" mencionada anteriormente carece de sentido y todo el espacio se vuelve vulnerable a ataques de fuerza bruta.
- Reduzca el período de validez. Un código válido durante varios minutos le da al atacante mucho más tiempo para adivinar que uno válido durante 30-60 segundos.
- Para acciones de alto valor, como pagos o recuperación de cuentas, agregue la vinculación del dispositivo, la autenticación reforzada o un segundo factor. Una contraseña de un solo uso (OTP) por sí sola es un secreto compartido único a través de un solo canal.
La respuesta breve
¿Qué tan fuerte es realmente una pareja ideal?
La fuerza bruta de una OTP reside simplemente en su espacio de combinaciones: el tamaño del alfabeto elevado a la longitud del código. Un código numérico de 6 dígitos tiene un millón de combinaciones y aproximadamente 19,9 bits de entropía, una cantidad insignificante para los estándares criptográficos. Lo que realmente garantiza su seguridad no es el código en sí, sino los controles que lo rodean: un límite estricto de intentos antes del bloqueo y un breve período de caducidad. Con un bloqueo de 5 intentos, la probabilidad de adivinar un código de 6 dígitos es de 5 entre 1.000.000, aproximadamente 1 entre 200.000. Si se elimina el bloqueo, el mismo código se adivina en segundos. Esta herramienta calcula tanto las probabilidades matemáticas como las probabilidades prácticas, limitadas por el bloqueo, para que pueda ver exactamente de dónde proviene la seguridad de su esquema.
Las matemáticas detrás de la fuerza de OTP
Combinaciones totales = alfabeto ^ longitud, calculado exactamente con aritmética de enteros grandes para que incluso los espacios grandes se muestren al dígito. Entropía en bits = longitud × log₂(alfabeto); cada carácter adicional agrega log₂(alfabeto) bits. La probabilidad de un solo intento aleatorio es 1 ÷ combinaciones. En un límite de intentos de N, la probabilidad de al menos un acierto es aproximadamente N ÷ combinaciones, que expresamos como un claro '1 en X' y un porcentaje. Si proporciona una tasa de atacante supuesta, el tiempo para probar cada código es combinaciones ÷ tasa, y el tiempo promedio para un acierto es la mitad de eso, pero un atacante real es detenido primero por lo que ocurra primero: el bloqueo de intentos o la expiración del código.
Lo que dice la norma NIST 800-63B
La publicación especial 800-63B del NIST trata una contraseña de un solo uso (OTP) corta como un secreto de baja entropía cuya seguridad depende de la limitación de intentos, no de su longitud. Indica a los verificadores que limiten la tasa de intentos de autenticación fallidos y hace referencia a mantener la probabilidad de una adivinación exitosa en línea durante la vida útil del autenticador por debajo de aproximadamente 1 entre 1.000.000. En otras palabras, un código de 6 dígitos es aceptable solo porque el verificador limita los intentos y caduca rápidamente; la longitud por sí sola no es lo que lo hace seguro. El nivel "muy fuerte" de esta herramienta se alinea con ese objetivo de 1 entre 1.000.000; las etiquetas de los niveles son nuestra propia heurística, no una clasificación del NIST.
Comparación de esquemas OTP comunes
Cifras exactas para configuraciones típicas, suponiendo un bloqueo de 5 intentos. Los códigos más largos o con más letras proporcionan margen de seguridad, pero el límite de intentos es el que determina la mayor parte del tiempo.
| Esquema | Combinaciones | Entropía | Probabilidad en 5 intentos |
|---|---|---|---|
| Numérico de 4 dígitos | 10,000 | 13.3 bits | 1 en 2,000 |
| Numérico de 6 dígitos | 1,000,000 | 19.9 bits | 1 en 200,000 |
| Numérico de 8 dígitos | 100,000,000 | 26.6 bits | 1 en 20,000,000 |
| Alfanumérico de 6 caracteres | 2,176,782,336 | 31.0 bits | 1 en 435,356,467 |
| Sensible a mayúsculas (8 caracteres) | 218,340,105,584,896 | 47.6 bits | 1 en 43,668,021,116,979 |
Preguntas frecuentes
¿Es segura una contraseña de un solo uso (OTP) de 6 dígitos?
Por sí solo, no: un código numérico de 6 dígitos solo tiene un millón de combinaciones y aproximadamente 19,9 bits de entropía. En la práctica, se vuelve seguro mediante un límite estricto de intentos y una caducidad corta: con un bloqueo de 5 intentos, la probabilidad de adivinarlo es de aproximadamente 1 entre 200 000. Si se elimina el bloqueo, se puede descifrar por fuerza bruta en segundos. La seguridad reside en los controles, no en los dígitos.
¿Cómo se calcula la entropía de OTP?
La entropía en bits es igual a la longitud del código multiplicada por el logaritmo en base 2 del tamaño del alfabeto. Un código numérico de 6 dígitos tiene 6 × log₂(10) ≈ 19,9 bits; un código alfanumérico de 8 caracteres que distingue entre mayúsculas y minúsculas tiene 8 × log₂(62) ≈ 47,6 bits. Cada carácter añadido aporta log₂(alfabeto) bits más.
¿Por qué el límite de intentos importa más que la duración?
Dado que las contraseñas de un solo uso (OTP) en línea se adivinan solicitud por solicitud, no se calculan sin conexión, si el verificador bloquea la cuenta tras cinco intentos fallidos, un atacante tendrá como máximo cinco oportunidades contra todo el espacio, independientemente de la velocidad con la que envíe solicitudes. Este control convierte un código con un millón de combinaciones posibles en una probabilidad aproximada de 1 entre 200 000. Sin él, el mismo código prácticamente no ofrece protección.
¿Un código más largo o alfanumérico sería útil?
Esto aumenta la entropía y reduce las probabilidades de acierto, lo cual resulta útil para flujos de alto valor o cuando la limitación de velocidad es débil. Sin embargo, también perjudica la usabilidad: los códigos más largos y con mayúsculas y minúsculas son más difíciles de escribir y más propensos a errores por SMS o voz. Para la mayoría de los flujos, un código numérico de 6 dígitos con un bloqueo estricto y una caducidad corta representa el equilibrio práctico; los códigos más largos deben reservarse para acciones de alto riesgo.
¿Qué significa la clasificación de resistencia?
Se trata de una heurística propia de esta herramienta, no de un estándar externo. Evalúa la probabilidad de acertar dentro del límite de intentos configurado: 1 entre 1.000.000 o mejor se considera "muy buena" (en consonancia con el objetivo de referencia del NIST), mejor que 1 entre 100.000 se considera "buena", mejor que 1 entre 10.000 se considera "aceptable" y cualquier valor inferior se considera "baja". El espacio de combinaciones subyacente, la entropía y las probabilidades se basan en cálculos matemáticos exactos.
¿Esta herramienta envía mi configuración a algún sitio?
No. Todos los cálculos se ejecutan en tu navegador utilizando aritmética de números enteros grandes para el espacio de combinaciones. No se transmite, registra ni almacena nada. Puedes desconectarte de la red y seguirá funcionando.
Códigos de un solo uso vía SMS y voz, con limitación de velocidad y expiración integradas.
Verificación llave en mano con gestión de entrega, reintentos y limitación de tasa incluida.
Respuestas directas sobre OTP, 2FA y seguridad de mensajería.
Guía rápida, TypeScript SDK, referencias y herramientas.
¿Integrar la política de un solo uso (OTP) en tu producto?
BroadNet envía códigos de acceso de un solo uso por SMS y voz, con controles de limitación de velocidad, caducidad y entrega que garantizan la seguridad de los códigos cortos. Hable con nuestro equipo sobre su proceso de verificación.