Generador de contraseñas

Una contraseña segura es aquella que un atacante no puede adivinar antes de que tú la cambies, y la única forma fiable de conseguirla es dejar que una fuente aleatoria elija cada carácter. Este generador lo hace con el generador de números aleatorios criptográfico del navegador y te muestra por qué importan los ajustes que eliges.

Cómo funciona

Elige una longitud de 8 a 64 y marca las clases de caracteres que quieres usar: 26 letras mayúsculas, 26 minúsculas, 10 dígitos y 18 símbolos (!@#$%^&*()-_=+[]{}). Las clases seleccionadas se combinan en un único conjunto. Para cada posición, la herramienta pide un valor aleatorio de 32 bits a crypto.getRandomValues, la fuente criptográficamente segura de la API Web Crypto, y lo proyecta sobre ese conjunto. Reducir un valor de 32 bits a un conjunto de como máximo 80 caracteres introduce un sesgo del orden de una parte entre cincuenta millones, despreciable para este fin.

La contraseña se genera en cuanto se carga la página y de nuevo cada vez que mueves el control deslizante, activas o desactivas una clase o pulsas Generar otra. Se muestra y se copia en local: no se transmite ni se registra nada. Genera tantas como quieras; no tiene coste y no queda historial.

El indicador de robustez es una heurística aproximada basada en la longitud y en cuántas clases aparecen realmente en la cadena generada. Como cada carácter se elige de forma independiente, una contraseña corta puede salir de vez en cuando sin ningún dígito o símbolo aunque esas clases estuvieran marcadas; el indicador refleja lo que se ha generado, así que vuelve a generarla si marca un nivel más bajo de lo esperado.

La aritmética de adivinar

La robustez se mide en bits de entropía: el log₂ del número de contraseñas igualmente probables. Para una longitud n extraída de un conjunto de p caracteres, eso es n × log₂(p).

Cada carácter adicional suma el mismo número de bits, mientras que añadir una clase solo aumenta ligeramente lo que aporta cada carácter: pasar de 62 a 80 símbolos añade 0,37 bits por carácter. La longitud gana a la complejidad. Dieciséis caracteres de cualquier combinación son mucho más robustos que ocho que cumplan todas las reglas.

En torno a 80 bits, una contraseña almacenada con una función de hash lenta queda fuera del alcance de un ataque de fuerza bruta offline con el hardware actual; a partir de 100 bits el margen es holgado. Si un sitio limita la longitud, usa todos los caracteres que permita.

Cómo usar el resultado

Las contraseñas generadas solo son prácticas con un gestor de contraseñas, que además resuelve la única debilidad que la aleatoriedad no puede corregir: la reutilización. Con una contraseña aleatoria distinta para cada sitio, una brecha en un servicio no expone nada más. Activa la autenticación multifactor donde esté disponible; te protege cuando una contraseña se filtra sin que tú tengas la culpa.

Si necesitas memorizar una contraseña, una frase de contraseña de cinco o seis palabras del diccionario elegidas al azar tiene una entropía comparable a la de una cadena aleatoria de 12 caracteres y es mucho más fácil de recordar. Esta herramienta no genera frases de contraseña, pero el principio es el mismo: las palabras deben salir al azar, no de tu elección.

Algunos sitios rechazan determinados símbolos. Desmarca la clase de símbolos o vuelve a generar hasta que el resultado sea aceptado, en lugar de editar caracteres a mano, lo que reintroduce patrones humanos.

Equivalente en la línea de comandos

openssl puede producir bytes aleatorios y codificarlos como texto; la salida usa el alfabeto Base64 en lugar de un conjunto personalizado:

openssl rand -base64 18    # 24 characters, 144 bits

Para saber más

Las contraseñas son solo uno de los factores de un sistema de autenticación; la guía de gestión de identidades y accesos explica cómo encajan las credenciales, la MFA, el inicio de sesión único y el ciclo de vida de las cuentas en una organización. En el lado del servidor, cómo deben almacenarse las contraseñas con hash y qué se considera un diseño de autenticación deficiente se trata en el OWASP Top 10. Para identificadores aleatorios que no son secretos, usa el generador de UUID.