Guía de uso
Este generador de contraseñas crea claves aleatorias que en la práctica nadie puede adivinar. Puedes elegir cualquier longitud entre 8 y 128 caracteres (16 por defecto) y cada resultado incluye mayúsculas, minúsculas, números y símbolos. El azar procede del generador criptográfico de tu navegador, crypto.getRandomValues, y la contraseña se crea en tu dispositivo, así que nunca se envía a nuestro servidor.
Cómo usar el generador de contraseñas
- Indica la longitud, entre 8 y 128; para la mayoría de las cuentas, de 16 a 20 es una buena elección.
- Genera la clave con el botón de ejecutar o con el atajo Ctrl + Enter.
- Si una web rechaza el resultado, vuelve a ejecutarla para obtener otra contraseña.
- Copia el resultado y pégalo directamente en tu gestor de contraseñas o en el formulario de registro.
Cuánto resiste una contraseña: la entropía sin fórmulas
La fortaleza de una contraseña depende de cuántas combinaciones tendría que probar un atacante, y se suele expresar en bits de entropía: cada bit adicional duplica el trabajo. Esta herramienta elige entre 65 caracteres (24 mayúsculas, 25 minúsculas, 8 dígitos y 8 símbolos), así que cada carácter aleatorio aporta unos 6 bits. Una contraseña de 16 caracteres se mueve, por tanto, en un espacio de unos 96 bits.
La tabla supone un escenario desfavorable: una base de datos filtrada con las contraseñas guardadas mediante un hash rápido y un ataque sin conexión a un billón de intentos por segundo. Los servicios bien gestionados usan funciones de hash lentas a propósito, de modo que un ataque real avanzaría mucho más despacio.
| Longitud | Entropía aproximada | Tiempo para probar todas las combinaciones |
|---|---|---|
| 8 caracteres | ~47 bits | Unos 2 minutos |
| 12 caracteres | ~72 bits | Unos 110 años |
| 16 caracteres | ~96 bits | Unos 2500 millones de años |
| 20 caracteres | ~120 bits | Millones de veces la edad del universo |
| 32 caracteres | ~193 bits | Fuera de cualquier escala con sentido |
La obligación de incluir los cuatro grupos reduce un poco las combinaciones posibles en las contraseñas cortas, y las cifras ya lo tienen en cuenta. De media, un atacante daría con la contraseña tras recorrer la mitad del espacio.
Por qué la longitud pesa más que la complejidad
Ampliar el conjunto de caracteres multiplica las posibilidades; alargar la contraseña las eleva a una potencia mayor. Una contraseña aleatoria de 16 caracteres solo con minúsculas (unos 75 bits) es más fuerte que una aleatoria de 10 caracteres con los cuatro grupos (unos 60 bits). Si la web lo permite, añadir caracteres rinde mucho más que añadir símbolos.
Ojo: todo esto vale solo para contraseñas generadas al azar. Las que eligen las personas, como Verano2024!, cumplen todas las reglas de complejidad y aun así figuran entre las primeras que prueban los atacantes, porque empezar con mayúscula y terminar con números y un signo es justo lo que hace casi todo el mundo cuando le imponen normas.
Lo que recomiendan las guías actuales del NIST
El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) publica la guía de identidad digital SP 800-63B, en la que se basan hoy muchas políticas de contraseñas. Sus ideas principales son estas:
- Primero la longitud: la revisión vigente exige al menos 15 caracteres cuando la contraseña es el único factor de autenticación y pide que los sistemas acepten contraseñas de 64 caracteres como mínimo.
- Sin reglas de composición obligatorias: no deben imponerse requisitos como «una mayúscula y un símbolo».
- Sin cambios periódicos forzados: la contraseña se cambia cuando hay indicios de que se ha comprometido, no por calendario.
- Comprobación contra filtraciones: las contraseñas nuevas deben contrastarse con listas de claves filtradas y muy comunes.
- Permitir pegar y usar gestores: bloquear el pegado solo empuja a usar contraseñas cortas y fáciles de teclear.
Aun así, esta herramienta incluye los cuatro grupos en cada contraseña. No lo hace por seguridad, sino por compatibilidad: así el resultado lo aceptan a la primera las webs que todavía imponen reglas de composición. Lo que de verdad protege es la longitud unida al azar.
Sin caracteres que se confunden
Las contraseñas generadas nunca contienen 0 (cero), O, 1 (uno), l minúscula ni I mayúscula. En muchas tipografías son casi idénticos y provocan errores cuando tienes que leer una clave en una pantalla o en un papel y teclearla en otro dispositivo, como un televisor o una videoconsola. Los símbolos se limitan a !@#$%^&*, un conjunto que aceptan la mayoría de las webs y que se encuentra fácilmente en el teclado del teléfono. Quitar esos caracteres resta muy poca entropía por carácter, algo que un solo carácter más compensa de sobra.
Dónde guardar las contraseñas que generas
Nadie tiene que memorizar 20 caracteres al azar. Un gestor de contraseñas hace viable usar una clave distinta en cada cuenta: las guarda en una bóveda cifrada, reconoce cada web, rellena la contraseña correcta y solo te pide recordar una contraseña maestra. Para esa contraseña maestra funciona muy bien una frase larga de cinco o seis palabras sin relación entre sí, robusta y fácil de recordar. Activa también la verificación en dos pasos en el gestor y en tu correo, que es la llave para restablecer casi todo lo demás.
Reutilizar contraseñas echa todo esto a perder: cuando una web sufre una filtración, los atacantes prueban la misma pareja de correo y contraseña en otros servicios. La guía sobre contraseñas seguras e identificadores profundiza en la longitud, el azar y los hábitos de almacenamiento.
Qué longitud elegir
| Uso | Longitud recomendada | Observaciones |
|---|---|---|
| Cuentas web habituales | 16–20 | Guárdalas en un gestor |
| Correo y banca | 20–24 | Con verificación en dos pasos |
| Red Wi-Fi (WPA2/WPA3 personal) | 16–20 | El estándar admite de 8 a 63 caracteres; piensa en quien tenga que teclearla |
| Claves de API, bases de datos y cuentas de servicio | 32–64 | Nadie las escribe a mano, así que alargarlas no cuesta nada |
| Sistemas antiguos limitados a 8 | 8 | Solo si no hay otra opción; añade protección extra si puedes |
Privacidad y cómo se genera el azar
Las contraseñas se generan íntegramente en tu navegador y nunca se envían a nuestro servidor; la página solo suma una unidad a un contador anónimo de uso. Cada carácter se elige mediante muestreo por rechazo para evitar el sesgo del módulo: se descartan los números aleatorios que favorecerían a unos caracteres sobre otros, de modo que todos tienen exactamente la misma probabilidad. Esa es la diferencia clave con los generadores sencillos basados en funciones no criptográficas como Math.random. Si lo que necesitas son identificadores únicos y no secretos, prueba el generador de UUID; para comprobar si una clave cabe en el límite de una web, usa el contador de caracteres.