Generador de contraseñas aleatorias

Funciones

• Cuatro preajustes en un clic: contraseña general / PIN (solo dígitos) / letras y dígitos / fácil de copiar a mano; o marca tú los conjuntos
• Longitud de 4 a 128, con minúsculas, mayúsculas, dígitos y símbolos opcionales cada uno
• Entropía en bits en vivo, recalculada al cambiar cualquier opción
• Se garantiza que cada clase de carácter marcada aparece al menos una vez, y luego se mezcla: ninguna posición se queda fija en una clase
• Puedes excluir los caracteres confundibles 0 O 1 l I, útil cuando la contraseña hay que copiarla a mano o dictarla por teléfono (la entropía se calcula con el juego ya reducido, así que no se infla)
• Modo opcional sin repetición, en el que cada carácter aparece como mucho una vez; entonces la longitud se limita al tamaño del juego y la entropía se recalcula sin reemplazo, así que nunca se exagera
• Hasta 100 contraseñas a la vez, garantizadas distintas, copiables una a una o todas juntas
• Lo que coincide con la lista de contraseñas débiles habituales se marca fila por fila en vez de dejarlo pasar

Cómo se usa

1. Elige un preajuste (para un PIN solo con dígitos, elige «PIN / solo dígitos») o marca tú los conjuntos de caracteres
2. Ajusta la longitud; 16 o más es un buen valor
3. Marca la exclusión de caracteres confundibles si hay que teclearla a mano, o sin repetición si cada carácter debe ser distinto
4. Pulsa Volver a generar para otro lote y Copiar en la fila que quieras

Preguntas frecuentes

¿Qué es la entropía y cuánta hace falta?

La entropía mide cuántos intentos necesita un atacante de media, en bits: n bits son unos 2^(n-1) intentos. Como regla práctica, por debajo de 40 bits cae con una tarjeta gráfica corriente en horas; a partir de 60 bits resiste el ataque en línea; y por encima de 80 bits queda fuera del alcance del hardware actual. Los cuatro juegos de caracteres con longitud 16 dan unos 105 bits, que es el número que muestra la página. A diferencia de la palabra «fuerte», se puede comparar.

¿Se guardan o se suben las contraseñas generadas?

No. La aleatoriedad proviene de crypto.getRandomValues, una fuente criptográficamente segura, y tanto la generación como la visualización ocurren en la memoria de tu equipo. La página no hace ninguna petición de red y al recargar se borra la lista, así que nada acaba en un registro de servidor.

¿Por qué no se puede usar Math.random para contraseñas?

Porque no es una fuente criptográficamente segura: su estado interno se puede recuperar a partir de unos cientos de salidas, y a partir de ahí cada contraseña «aleatoria» se vuelve predecible. Lo peor es que el error no da ningún aviso: el generador parece perfectamente sano. Esta herramienta, como todas las del sitio que necesitan aleatoriedad, usa solo crypto.getRandomValues.

¿Un lote de 100 tendrá duplicados?

No. Cualquier contraseña repetida dentro de un lote se descarta y se genera de nuevo. Con los rangos actuales, longitud mínima de 4 y juego de al menos 8 caracteres, obtener 100 valores distintos no supone ningún problema.

¿Cómo genero un PIN solo con dígitos?

Elige el preajuste «PIN / solo dígitos» y el juego se reduce a 0–9. Ten en cuenta que una secuencia numérica corta tiene poca entropía: seis dígitos son 20 bits y ocho son 26,6, ambos dentro del rango que cubren unas horas de prueba. Un PIN solo es apropiado donde el número de intentos está limitado — el bloqueo de un teléfono, una tarjeta bancaria —, porque ahí tres intentos fallidos lo cortan y el coste no es de cálculo. Donde una cadena numérica se pueda probar sin límite, como el acceso a un sitio web, seis dígitos no bastan ni de lejos.

¿Qué significa «sin repetición» y por qué se acorta la longitud?

Significa que ningún carácter aparece más de una vez en toda la contraseña, así que `aab7` no puede darse. Eso limita la longitud al tamaño del juego de caracteres — diez dígitos son como mucho diez posiciones — y la página estrecha el campo de longitud en consecuencia y te dice el nuevo límite. La entropía mostrada también se reduce: el muestreo pasa a ser sin reemplazo, así que el espacio de claves es `size × (size−1) × …` en lugar de `size^longitud`. Diez dígitos distintos aportan 10! ≈ 21,8 bits, no los 33,2 que da la fórmula ingenua, y esos 11 bits que faltan son reales, así que se muestra la cifra menor.

¿Qué hago luego con la contraseña?

Una por cuenta, sin reutilizarlas, y guárdalas en un gestor de contraseñas en vez de en un chat. Si un sitio rechaza los símbolos, quita los símbolos y añade longitud, porque la longitud compra más entropía que los símbolos. Cuando un sitio imponga una longitud máxima, genera en ese máximo y mantén amplios los juegos de caracteres.