Generador de contraseñas

Este generador crea una contraseña extrayendo cada carácter de forma independiente del alfabeto que selecciones, usando la Web Crypto API del navegador para la aleatoriedad. Es la misma fuente criptográficamente segura que los navegadores usan para generar claves de sesión TLS — no es el Math.random() sesgado que emplean la mayoría de los generadores improvisados. Un bucle de muestreo por rechazo asegura que cada símbolo del alfabeto tenga la misma probabilidad, de modo que las estimaciones de entropía se cumplen.

Ejemplo

Longitud 20, las cuatro clases, con parecidos permitidos:

G7#vQ2xP!mK9nR4sT&bL

Longitud 24, solo letras y dígitos (para sitios que rechazan símbolos):

k3Hq8RmZ5nPv2WyTb6JsXfLd

Trampas habituales al usar una contraseña generada

• El sitio rechaza ciertos símbolos. Algunos sitios eliminan en silencio o rechazan <, >, comillas o espacios. Si la contraseña no se acepta, desactiva la clase Símbolos y aumenta la longitud a 24 o más para compensar.
• Al copiar-pegar se añade un espacio al final. En algunos sistemas, la selección por doble clic añade un espacio extra. Si el inicio de sesión falla, pega primero en un campo de texto plano y verifica que coincida la longitud.
• Demasiado corta "por comodidad". Una contraseña de 8 caracteres tiene aproximadamente 50 bits de entropía — crackable offline en horas con una GPU moderna. Usa 16+ para cuentas rutinarias y 20+ para cualquier cosa que cifre datos en reposo.
• Usar una misma contraseña para varias cuentas. Una contraseña fuerte reutilizada en un sitio filtrado queda igualmente comprometida. Genera una única por cuenta y guárdalas en un gestor de contraseñas.
• Olvidar las políticas de rotación. Algunos sistemas corporativos exigen cambio cada 90 días. Guarda la contraseña generada en tu gestor para confirmarla exactamente si el sitio te la vuelve a pedir.
• Capturas de pantalla o historial del portapapeles. macOS, Windows y varios gestores de portapapeles conservan historial. Limpia el portapapeles o copia otra cosa después de guardar la contraseña.

¿Es este generador criptográficamente seguro?

Sí. La aleatoriedad proviene de crypto.getRandomValues(), la Web Crypto API del navegador que respalda las claves de sesión TLS. No es Math.random(), que es un generador pseudoaleatorio predecible e inadecuado para secretos. Cada carácter se extrae con muestreo por rechazo para que cada símbolo del alfabeto tenga igual probabilidad.

¿Qué longitud debe tener mi contraseña?

Para cuentas en línea con limitación de intentos, 16 caracteres de clases mixtas son suficientes. Para cualquier cosa que proteja datos cifrados offline (gestores de contraseñas, cifrado de disco, copias de seguridad) usa 20 o más. Una contraseña de 20 caracteres con las cuatro clases tiene unos 130 bits de entropía, fuera del alcance de la fuerza bruta.

¿Guardáis las contraseñas que genera esta herramienta?

No. No guardamos las contraseñas que generas aquí. Cada contraseña se muestra una sola vez, permanece únicamente en el campo de entrada que ves, y desaparece al actualizar o cerrar la pestaña. Nada se escribe en almacenamiento ni se registra de nuestro lado. Si quieres tranquilidad extra, puedes comprobarlo con las herramientas de desarrollo del navegador.

¿Qué es la entropía y cuántos bits necesito?

La entropía mide la impredecibilidad en bits. Cada bit duplica el número de intentos que un atacante debe probar. 60 bits resisten ataques offline casuales, 80 resisten los decididos, y 128 es el estándar moderno para claves fuertes. Una contraseña de 20 caracteres sobre un alfabeto de 90 símbolos ronda los 130 bits.

¿Debería usar una frase de contraseña en vez de una contraseña aleatoria?

Una frase de contraseña con 5 o 6 palabras aleatorias del diccionario es más fácil de escribir y memorizar, y puede alcanzar una entropía similar (unos 65 a 80 bits). Pero para contraseñas que almacenas en un gestor y nunca tecleas, una contraseña de caracteres aleatorios es más corta para la misma fuerza. Esta herramienta genera esta última.

¿Por qué un sitio rechaza los símbolos de mi contraseña generada?

Algunos sitios rechazan símbolos como <, >, comillas o espacios debido a un mal manejo de la entrada por su parte. Si rechazan la contraseña, desactiva Símbolos y genera una más larga solo con letras y dígitos. La longitud compensa el alfabeto más pequeño en términos de entropía.