Generador de contraseñas seguras y aleatorias

Qué es un generador de contraseñas

Un generador de contraseñas es una herramienta que crea combinaciones de caracteres al azar para que no tengas que inventarte tú la contraseña —y sobre todo, para que no repitas la de siempre. Este funciona entero en tu navegador: eliges longitud y tipos de carácter, y en el momento aparece una contraseña aleatoria lista para copiar. No hay conexión con ningún servidor de por medio.

La aleatoriedad no sale de Math.random(), que no está pensado para esto, sino de crypto.getRandomValues, la fuente criptográfica del propio navegador. Cada carácter se ajusta al conjunto elegido descartando los valores que caerían sesgados (rejection sampling) en vez de recortarlos con un módulo, así que las 85 posibilidades —26 minúsculas, 26 mayúsculas, 10 dígitos y 23 símbolos— tienen exactamente la misma probabilidad de salir. Los símbolos son !@#$%^&*()-_=+[]{}:;,.? , un conjunto elegido a propósito para dejar fuera comillas, barra invertida, acento grave y espacio: son los caracteres que más veces rompen una consola, una exportación a CSV o un formulario de acceso mal hecho.

Cómo se usa

1. Ajusta la longitud. Mueve el deslizador o escribe un número entre 4 y 64; por defecto viene en 16, un buen punto de partida.
2. Elige qué tipos de carácter entran. Marca minúsculas, mayúsculas, números y símbolos según lo que acepte el formulario de destino, y activa la casilla de excluir caracteres que se confunden si vas a copiarla a mano. La contraseña se regenera sola en cuanto tocas algo.
3. Copia el resultado. Pulsa Copiar (confirma con «¡Copiado!») o dale a generar otra si prefieres una alternativa; guárdala en tu gestor de contraseñas antes de cerrar la pestaña.

¿Cuánta seguridad necesitas?

La fuerza real de una contraseña se mide en bits de entropía, no en si «parece» complicada. Aquí ese número no sale de la fórmula de manual —longitud por log2 del conjunto— sino de un cálculo exacto por inclusión-exclusión que tiene en cuenta que cada tipo marcado debe aparecer al menos una vez. Con los valores por defecto, 16 caracteres y los cuatro tipos activados, la cifra honesta es 102,32 bits, frente a los 102,55 que imprimiría la fórmula habitual. La diferencia es pequeña con 16 caracteres y crece cuanto más corta es la contraseña respecto a los tipos que exiges. Si además marcas excluir los caracteres que se confunden, el conjunto baja de 85 a 79 símbolos y pierdes 1,77 bits con 16 caracteres, más o menos un cuarto de carácter: un precio bajo si vas a teclear la contraseña a mano leyéndola de una pantalla.

Esa entropía se traduce en tiempo frente a un ataque sin conexión: alguien con sus propias GPUs probando contra una base de datos filtrada y mal cifrada, a un ritmo de un billón de intentos por segundo. Con los cuatro tipos activados, 8 caracteres dan 50,2 bits y caen en minutos; 12 caracteres dan 76,5 bits y aguantan siglos; 16 caracteres dan 102,3 bits y quedan fuera de cualquier plazo que merezca la pena nombrar. Cada carácter extra no suma de forma lineal, multiplica el espacio de búsqueda, así que subir de 12 a 16 vale mucho más de lo que parece a simple vista.

Lo que esta herramienta no hace

La mayoría de los generadores de contraseñas que hay en internet son la puerta de entrada de un embudo de venta de un gestor de contraseñas, y eso desvía la atención de lo importante: generar una contraseña fuerte es la parte fácil, dónde la guardas es la difícil. Una contraseña de 102 bits vale lo mismo que una de cuatro dígitos si acaba apuntada en una nota del móvil o repetida en cinco sitios distintos. La respuesta real es un gestor de contraseñas —cualquiera que uses de forma constante—; esta página no vende ni recomienda ninguno, así que no vas a encontrar aquí ningún enlace.

Esta herramienta tampoco comprueba si una contraseña ha aparecido en una filtración: no hace ninguna petición de red, así que no tiene forma de saberlo. Las cinco bandas de seguridad que ves debajo del resultado son un criterio propio, no un estándar publicado, y la estimación de tiempo asume ese ataque sin conexión a un billón de intentos por segundo: frente a un formulario que bloquea tras varios intentos fallidos, o a un sitio que cifra bien con bcrypt o argon2, la misma contraseña aguanta muchísimo más. Y ningún medidor, este incluido, puede saber si has reutilizado la contraseña en otra cuenta, que es como se cae la mayoría de ellas en la práctica.

Por qué es gratis

Esta herramienta funciona entera en tu navegador: no hay cuenta que crear, ni marca de agua en el resultado, ni una versión de pago esperando detrás de un límite diario. Genera lo que necesites, cópialo y cierra la pestaña; no queda ningún registro porque no hay ningún servidor guardando nada.