Estimamos cuántos intentos necesitaría un atacante que prueba primero lo más probable: contraseñas comunes, palabras del diccionario (también con sustituciones como @ por a), secuencias como abcd o 1234, filas del teclado como qwerty, caracteres repetidos, años y fechas. Cada patrón cuenta muy poco; solo los caracteres realmente impredecibles suman entropía completa.

Los tiempos son orientativos. «En línea» supone un servicio que limita los intentos; «sin conexión» supone que se ha filtrado la base de datos de contraseñas cifradas, con un algoritmo lento (bcrypt, Argon2) o uno rápido (MD5, SHA-1).

Esta herramienta no consulta bases de datos de contraseñas filtradas para no enviar nada fuera de tu equipo.