Generador de contraseñas
Contraseñas aleatorias de verdad, generadas en tu navegador con el generador criptográfico del sistema.
Calculando…
Doce es el mínimo razonable. Para el correo principal o el banco, sube a veinte o más.
La contraseña se genera en tu navegador y no se envía a ningún servidor. Desconecta internet después de cargar esta página: seguirá funcionando.
Cómo funciona
Cada carácter se sortea con crypto.getRandomValues(), el generador aleatorio criptográfico que trae el navegador. No es lo mismo que Math.random(): ese último es predecible si alguien observa suficientes resultados, y para una contraseña eso lo descalifica. La diferencia no se nota al mirarlas, y ese es exactamente el problema.
Hay un segundo detalle que casi ningún generador cuida. Al convertir un número aleatorio en una letra, lo intuitivo es usar el resto de la división entre el tamaño del alfabeto. Eso reparte mal: si el alfabeto no divide exactamente el rango, los primeros caracteres salen un poco más a menudo que los últimos. Se llama sesgo de módulo, y aquí se evita descartando los valores que caen en el sobrante y volviendo a sortear.
Qué significa la fortaleza
La cifra en bits es la entropía: cuánta incertidumbre tiene la contraseña frente a alguien que sepa exactamente cómo se generó. Se calcula como la longitud multiplicada por el logaritmo en base 2 del tamaño del alfabeto.
| Entropía | Qué significa |
|---|---|
| Menos de 60 bits | Débil para una cuenta que importe. Alárgala. |
| 60 a 90 bits | Aceptable para la mayoría de los servicios. |
| Más de 90 bits | Sobrada. Subir de aquí no cambia nada en la práctica. |
Suponer que el atacante conoce el método es lo correcto: la seguridad nunca debe depender de que el procedimiento sea secreto, solo de que el resultado sea impredecible.
Tres cosas que sí cambian algo
- Una contraseña distinta en cada sitio. Es lo que más te protege. Cuando filtran la base de datos de un servicio —y pasa todos los meses—, lo primero que prueban es ese mismo correo y esa misma contraseña en el banco.
- Un gestor de contraseñas. Es la única forma realista de cumplir lo anterior. Solo tienes que recordar una, y esa sí conviene que sea larga.
- Verificación en dos pasos. Aunque adivinen la contraseña, les falta el segundo factor. Vale más que cualquier símbolo raro.
Lo que no sirve
Sustituir letras por símbolos parecidos —la a por una arroba, la e por un tres— no aporta nada: los programas que prueban contraseñas conocen todas esas sustituciones desde hace décadas. Tampoco sirve añadir un 1 o un ! al final de una palabra del diccionario.
Y cambiar la contraseña cada tres meses, esa costumbre de tantas empresas, hoy se desaconseja expresamente: obliga a inventar variaciones fáciles de adivinar —Marzo2026, Abril2026— y no protege de nada. Se cambia cuando hay indicio de que se filtró, no por calendario.