Reglas de contraseñas con lookaheads en regex (y cuándo no usarlos)

“Al menos 8 caracteres, con una mayúscula, una minúscula y un dígito.” Es una de las cosas que más se le piden a una regex, y es una buena forma de aprender los lookaheads, porque las reglas no dicen dónde va cada carácter.

Este artículo construye el patrón regla a regla, repasa las trampas y termina defendiendo no usar una única regex gigante. Todos los ejemplos son interactivos, así que edita los patrones y mira cómo cambian las líneas.

01Por qué un patrón normal no puede hacerlo

Un patrón se lee de izquierda a derecha. Para decir “contiene un dígito” escribirías algo como .*\d.*, y eso por sí solo está bien. Pero “contiene un dígito y contiene una mayúscula”, en cualquier orden, obliga a enumerar todos los órdenes:

Eso no escala. Necesitas una forma de comprobar una regla sin avanzar por el texto.

02Los lookaheads comprueban sin avanzar

Un lookahead (aserción de anticipación) (?=…) comprueba que algo coincide desde la posición actual y luego vuelve a donde empezó. Así, varios lookaheads al principio pueden recorrer cada uno la contraseña entera, una regla cada uno.

Una regla: “más adelante hay un dígito en algún sitio”:

El .* delante de \d es lo que hace funcionar el “en algún sitio”. Sin él, (?=\d) significaría “el carácter siguiente es un dígito”.

03Apilar las reglas

Cada regla tiene su propio lookahead, todos anclados al principio, y después la comprobación de longitud consume el texto:

Léelo como una lista de condiciones. Añadir una regla es añadir un lookahead, en cualquier orden:

Un lookahead que prohíbe algo se escribe (?!…). “Ningún espacio en ningún sitio”:

04Trampas de los patrones habituales

Olvidar las anclas. Sin ^ y $, .{8,} solo necesita ocho caracteres en algún sitio, y cada lookahead se ejecuta desde donde resulte que empieza la coincidencia. Mantén ^ delante para que todos los lookaheads empiecen en la posición 0, y $ al final para que la comprobación de longitud cubra toda la cadena.

Una longitud máxima que no funciona. .{8,64} sin $ coincide tan tranquilo con los primeros 64 caracteres de una contraseña de 500. Con $ la rechaza, que es lo que querías.

Un “símbolo” demasiado estrecho. Una clase como [!@#$%^&*] rechaza ?, ~, -, los espacios y cualquier carácter ajeno al alfabeto inglés. [^A-Za-z0-9] (“ni letra ni dígito”) es lo que la gente suele querer decir.

Letras fuera de la A a la Z. [A-Z] no cuenta É como mayúscula. Con el modificador u, \p{Lu} y \p{Ll} son cualquier letra mayúscula y minúscula.

05Cuándo no usarlos

Una regex da una sola respuesta: pasa o no pasa. Tu formulario de registro necesita decirle a la persona qué regla no ha cumplido:

const rules = [
  { test: (p) => p.length >= 12, message: "Use at least 12 characters" },
  { test: (p) => /\d/.test(p),   message: "Add a number" },
  { test: (p) => /[A-Z]/.test(p), message: "Add a capital letter" },
];

const problems = rules.filter((r) => !r.test(password)).map((r) => r.message);

Cada comprobación es diminuta, legible y fácil de cambiar, y los mensajes de error salen gratis.

También vale la pena preguntarse si quieres reglas de composición. Las directrices del NIST para contraseñas (SP 800-63B) desaconsejan expresamente reglas como “una mayúscula, un dígito, un símbolo”. Empujan a la gente hacia Password1!. Las directrices priorizan la longitud, permitir frases de contraseña largas (de al menos 64 caracteres, con espacios incluidos) y comprobar las contraseñas nuevas contra listas de contraseñas filtradas conocidas.

Así que el patrón con lookaheads merece la pena conocerlo, tanto para contraseñas como para cualquier comprobación del tipo “debe contener todo esto, en cualquier orden”. Para un formulario de registro real, una longitud mínima más una comprobación de contraseñas filtradas suele ser mejor opción.

06Pruébalo

Atrapa las cadenas que contienen a la vez un dígito y una letra, en cualquier orden:

07Lista de comprobación

• (?=.*X) significa “X aparece en algún punto más adelante”. Apila uno por regla.
• (?!.*X) significa “X no aparece en ningún punto más adelante”.
• Ancla con ^ para que cada lookahead empiece en la posición 0, y con $ para que un límite de longitud lo cubra todo.
• [^A-Za-z0-9] es un “símbolo” mejor que una lista escogida a mano.
• En los formularios, comprobaciones separadas dan mensajes de error separados.
• La longitud y una comprobación de contraseñas filtradas son mejores que las reglas de composición.

08Sigue practicando

• El artículo completo sobre lookahead y lookbehind profundiza más, con tableros interactivos.
• Hechicería regex es un pack de práctica con cazas de lookarounds más difíciles.