Generador de contraseñas

Cómo usar el generador de contraseñas

1. Ajusta la Longitud, entre 4 y 128 caracteres. Para la mayoría de las cuentas, 16 o más es una buena elección.
2. Selecciona los tipos de caracteres que quieres incluir: Letras mayúsculas (A–Z), Letras minúsculas (a–z), Números (0–9) y Símbolos (!#$%…).
3. Si alguna vez vas a tener que leer o teclear la contraseña a mano, activa Excluir caracteres ambiguos para dejar fuera los que se parecen entre sí, como 0 O o 1 l I |.
4. Deja activada la opción Incluir al menos un carácter de cada tipo si el sitio web impone reglas de composición.
5. Elige la Cantidad de contraseñas que quieres generar (hasta 50), revisa la Entropía estimada y la etiqueta de fortaleza, y copia la que prefieras en tu gestor de contraseñas.

Cómo genera las contraseñas esta herramienta

Cada carácter se elige con el generador de números aleatorios criptográficamente seguro del navegador, crypto.getRandomValues, que forma parte de la Web Crypto API. A diferencia de Math.random(), está diseñado para que su salida no se pueda predecir, ni siquiera conociendo los valores anteriores.

Elegir caracteres de forma equitativa es más difícil de lo que parece. El método ingenuo, que toma un número aleatorio y calcula el resto de dividirlo por el tamaño del conjunto de caracteres, introduce un sesgo del módulo: algunos caracteres salen un poco más a menudo que otros. Esta herramienta evita por completo ese sesgo, de modo que todos los caracteres permitidos tienen exactamente la misma probabilidad.

Todo ocurre en tu dispositivo. Las contraseñas nunca se envían por la red, no se guardan ni se registran. En cuanto cierras o recargas la página, desaparecen.

Cómo interpretar la entropía estimada

La entropía, medida en bits, expresa cuántos intentos necesitaría un atacante en el peor de los casos. Para una contraseña generada al azar se calcula multiplicando la longitud por el log₂ del número de caracteres posibles. Cada bit adicional duplica el trabajo del atacante.

• Una contraseña de 12 caracteres solo con minúsculas (26 caracteres) tiene unos 56 bits.
• Una contraseña de 16 caracteres con los cuatro tipos (unos 90 caracteres o más) tiene unos 104 bits.
• Una contraseña de 20 caracteres con los mismos tipos supera los 130 bits.

Como referencia, menos de 50 bits es débil para una cuenta en línea, de 60 a 80 bits es aceptable y 100 bits o más es muy fuerte, incluso frente al descifrado sin conexión de una base de datos de contraseñas filtrada. Excluir los caracteres ambiguos reduce un poco el conjunto de caracteres y, por tanto, la estimación; añade uno o dos caracteres para compensarlo. La estimación se aplica a las contraseñas creadas aquí al azar; no dice nada de las que inventes tú, que suelen ser mucho más débiles de lo que su longitud sugiere.

Consejos que de verdad ayudan

• La longitud gana a la complejidad. Añadir caracteres aumenta la entropía más deprisa que añadir tipos de símbolos. Las recomendaciones actuales, como la NIST SP 800-63B, priorizan la longitud y desaconsejan las reglas de composición arbitrarias y los cambios periódicos obligatorios.
• Usa un gestor de contraseñas. Puede guardar una contraseña larga, aleatoria y distinta para cada sitio, y así solo tienes que recordar una frase maestra robusta.
• No reutilices nunca las contraseñas. Cuando un sitio sufre una filtración, los atacantes prueban el mismo correo y la misma contraseña en todas partes. Las contraseñas únicas frenan en seco ese relleno de credenciales.
• Activa la autenticación multifactor siempre que puedas, preferiblemente con una app de autenticación, una llave de seguridad o una clave de acceso (passkey) en lugar de SMS.
• Cambia una contraseña cuando haya un motivo, por ejemplo tras una filtración, no según un calendario arbitrario.