Analyze password entropy, crack time, and check against known data breaches. Your password never leaves the browser.
All password analysis is performed locally in your browser. The breach check uses k-anonymity: only the first 5 characters of your password's SHA-1 hash are sent to Have I Been Pwned. The full hash never leaves your device.
Password strength is measured in entropy bits — the average number of guesses an attacker must try before hitting the password. This tool derives the charset size N from the character classes present (26 lowercase, 26 uppercase, 10 digits, 33 specials), then computes E = length × log₂(N). Each extra bit doubles the search space. The crack-time estimate divides 2^E by 10 billion guesses per second — an offline GPU brute-force rate — and formats the result as seconds, hours, years, or centuries. It also runs eight policy checks (length, case, digits, repeats, sequences, common-password lists) and a k-anonymity breach lookup against Have I Been Pwned.
Every character class widens the search space; entropy grows linearly with length and logarithmically with charset size.
Maya is rolling out a password manager for her team of ten and uses this tester to pick a safe master password. Every number below is what the tool actually computes.
To test password strength: type a candidate — the checker estimates entropy, offline crack time against GPU rigs, and flags patterns, dictionary words, and reuse risks without ever sending the password anywhere.
FreeToolHub Password Strength Checker is a free browser-based tool that scores password entropy and estimates crack time locally, no signup, no transmission.
Analiza la fuerza de tu contraseña con cálculo de entropía, tiempo estimado de craqueo, 9 comprobaciones de calidad y sugerencias accionables. 100% en el cliente.
Este comprobador analiza la fuerza de una contraseña con matemáticas reales en lugar de barras de color: calcula la entropía en bits a partir del espacio de caracteres y la longitud, estima el tiempo de descifrado offline frente a las tasas de ataque de las GPU modernas, y ejecuta nueve comprobaciones de calidad que cubren longitud, variedad de caracteres, secuencias repetidas, patrones de teclado, palabras de diccionario y listas de contraseñas comunes. Cada hallazgo viene con una sugerencia accionable: no solo «débil», sino «débil porque contiene una palabra de diccionario y ganaría 26 bits añadiendo cuatro caracteres aleatorios». El análisis es íntegramente del lado del cliente: la contraseña nunca se transmite, se registra ni se almacena, que es el único diseño aceptable para una herramienta de este tipo.
Usuarios que auditan contraseñas antes de adoptarlas para cuentas importantes —banca, correo, la contraseña maestra del propio gestor de contraseñas—. Equipos que enseñan higiene de seguridad muestran de forma concreta por qué P@ssw0rd!1 falla nueve comprobaciones pese a parecer conforme. Desarrolladores que calibran las reglas de política de contraseñas contra la realidad de la entropía, en lugar de reglas de complejidad ingenuas que empujan a los usuarios hacia patrones predecibles. Y cualquiera que elija una contraseña maestra para archivos cifrados o monederos criptográficos obtiene la cifra de tiempo de descifrado que le dice con qué margen real cuenta.
(1) Escribe una contraseña candidata: el análisis se ejecuta en vivo con cada pulsación. (2) La entropía se calcula como longitud por el log2 del espacio de caracteres realmente usado: una contraseña de 12 caracteres de las cuatro clases lleva unos 78 bits. (3) La estimación de tiempo de descifrado aplica un rendimiento de ataque realista —cientos de miles de millones de intentos por segundo para hashes rápidos— y convierte los bits en duraciones a escala humana. (4) Las nueve comprobaciones se informan por separado con correcciones concretas; la nota global pondera el factor más débil, porque los atacantes también atacan el factor más débil.
Las reglas de complejidad que todo el mundo memorizó —ocho caracteres, mayúscula, minúscula, número, símbolo— vinieron de una guía de 2003 que su propio autor lamentó más tarde, porque optimizan para la predecibilidad humana: P@ssw0rd1 cumple todas las reglas y cae al instante. El cambio respaldado por investigación, formalizado en NIST SP 800-63B, prioriza la longitud sobre la composición, prohíbe el uso forzado de rotación periódica (que hace que la gente pase de Password1 a Password2) y contrasta las contraseñas nuevas contra listas de filtraciones conocidas en lugar de adivinar patrones. La práctica actual: longitud de 16 o una passphrase de 4 a 6 palabras aleatorias, unicidad por sitio garantizada por un gestor de contraseñas, comprobación de filtraciones en el momento de crearla, y autenticación multifactor cargando con el peso de seguridad real de las cuentas importantes. Las matemáticas lo explican: cada carácter aleatorio adicional multiplica el espacio de búsqueda entre 70 y 90 veces, mientras que los símbolos obligatorios solo añaden un pequeño factor constante, y sobre todo empujan a todo el mundo hacia las mismas sustituciones leetspeak que los crackers tienen guionizadas desde hace años. Las comprobaciones de esta herramienta codifican ese conjunto de reglas moderno, así que una contraseña fuerte aquí significa fuerte frente a cómo funcionan los ataques de verdad.
La longitud vence a la complejidad: 16 o más caracteres aleatorios de clases mezcladas. Una contraseña aleatoria de 12 caracteres resiste el descifrado offline mucho más que una de 8 caracteres con símbolos y sustituciones como P@ssw0rd, que los diccionarios ya contienen.
Una contraseña aleatoria de 12 caracteres de clases mezcladas tarda siglos frente a máquinas GPU típicas; 8 caracteres cae en horas. Este comprobador estima el tiempo de descifrado a partir del espacio de caracteres y la longitud sin almacenar nada.
Sí, cuando se forman con 4 a 6 palabras aleatorias: más de 25 caracteres con una estructura memorable. Evita frases inspiradas en citas populares o en letras de canciones, porque aparecen en las listas de palabras de descifrado.
El credential stuffing reutiliza filtraciones contra otros sitios. Un gestor de contraseñas más contraseñas únicas limita el radio de explosión de cualquier filtración concreta a esa única cuenta.
It calculates entropy (bits of randomness) based on character set size and length, then estimates crack time against offline attacks: 100 billion guesses/second (GPU cluster with hashcat) versus 10,000 guesses/second (online throttled login). A 12-character mixed-case password with symbols has ~71 bits of entropy—roughly 34,000 years at 100B guesses/second.
It flags dictionary words, keyboard patterns (qwerty, 1qaz2wsx), repeated characters, sequential numbers, and common substitutions (@ for a, 0 for o). It also checks against the top 100,000 breached passwords from HaveIBeenPwned datasets. "P@ssw0rd123" scores as weak despite meeting typical complexity rules.
What do you call a really smart cookie?
No signups, no data sold. Every tool is free to use — the free tier allows 5 downloads or saves per day, and the optional Pro plan ($7/mo, $59/yr) adds unlimited downloads, batch processing, white-label exports and an ad-free experience.
☕Support me on Ko-fi— support the free tier100% of proceeds go towards hosting & building more free tools.