Generador de contraseñas

Se genera en tu navegador, no se envía ni se guarda

Este generador de contraseñas funciona por completo en tu dispositivo. La página llega sin ninguna contraseña adentro: la primera se crea solo cuando la herramienta arranca en tu navegador. Cada carácter se elige con crypto.getRandomValues, el generador de números aleatorios criptográfico del navegador, no con Math.random. Los resultados existen solo en la memoria de la página: no se suben, no se registran, no van al almacenamiento local ni a la barra de direcciones. Si recargas o cierras la pestaña, desaparecen.

Cómo se elige cada carácter

Convertir un número aleatorio en «uno de 90 caracteres» parece sencillo, pero el atajo habitual de usar el residuo de dividir entre 90 hace que algunos caracteres salgan un poco más seguido que otros. Esta herramienta usa muestreo por rechazo: los números que causarían ese sesgo se descartan y se vuelven a sortear, así que todos los caracteres tienen exactamente la misma probabilidad.

Con «Incluir al menos uno de cada tipo elegido» activado, primero se saca un carácter de cada tipo marcado (por ejemplo una mayúscula, un número y un símbolo), el resto de la contraseña se completa con todo el conjunto y luego se mezclan todas las posiciones con el algoritmo de Fisher–Yates. Así los caracteres obligatorios no quedan siempre al principio, un patrón que los atacantes prueban primero. Es justo lo que piden muchos bancos y apps: «al menos una mayúscula, un número y un carácter especial».

La entropía, en pocas palabras

La entropía mide cuántas posibilidades tendría que probar un atacante. Para una contraseña es longitud × log2(cantidad de caracteres posibles). Con los cuatro tipos marcados hay 90 caracteres, cada uno aporta unos 6.5 bits y la contraseña de 16 caracteres que viene por defecto tiene unos 104 bits. Para una frase es palabras × log2(tamaño de la lista): la lista tiene 976 palabras, cada una suma unos 9.9 bits y cinco palabras dan unos 50 bits. Agregar un número suma unos bits más.

La etiqueta de seguridad depende de los bits: menos de 40 es débil, de 40 a 59 aceptable, de 60 a 79 fuerte y 80 o más muy fuerte. El tiempo indicado es lo que tardaría un atacante en probar todas las combinaciones a 10 mil millones de intentos por segundo, un ataque rápido contra una base de datos robada; en promedio, se acierta en la mitad de ese tiempo. Estas cifras solo valen para contraseñas generadas al azar como estas. Una que inventes tú, como el nombre de tu perro más tu año de nacimiento, es mucho más débil de lo que su longitud sugiere.

Buenos hábitos que pesan más que cualquier generador

• Una contraseña distinta por sitio. La mayoría de los robos de cuentas usan claves filtradas de un sitio y probadas en otro. Una contraseña única y aleatoria corta eso de raíz.
• Usa un gestor de contraseñas. Nadie recuerda decenas de claves aleatorias. Un gestor las guarda cifradas y las completa por ti; solo debes recordar una frase maestra fuerte.
• Frases de contraseña para lo que escribes a mano. Para la clave maestra o el inicio de sesión de tu computadora, siete o más palabras al azar (unos 70 bits) se escriben más fácil que 16 caracteres aleatorios y siguen fuera del alcance de la fuerza bruta.
• Activa la verificación en dos pasos (2FA). Una app de autenticación o una llave de seguridad protege la cuenta aunque la contraseña se filtre.

¿Necesitas sortear nombres o números de forma justa? El sorteo online usa el mismo método sin sesgo. Y si quieres saber cuántos caracteres tiene un texto antes de pegarlo en un campo con límite, prueba el contador de palabras.