Generador de contraseñas seguras
Se generan en tu navegador con el generador criptográfico del sistema. No viajan por la red ni se guardan.
—
La fuerza se mide en bits de entropía, que es el número de intentos que necesitaría alguien para adivinarla probando todas las combinaciones. Cada bit adicional dobla ese esfuerzo. Una contraseña larga con pocos tipos de carácter suele ser más segura que una corta con muchos.
Casi todos los consejos sobre contraseñas que circulan están anticuados. Cambiarlas cada mes o meterles un símbolo raro sirve de poco. Lo que de verdad decide si una contraseña aguanta es cuánta incertidumbre contiene, y eso se puede medir.
Qué son los bits de entropía
La entropía mide cuántas combinaciones tendría que probar alguien para dar con tu contraseña por fuerza bruta. Se expresa en bits y tiene una propiedad muy útil: cada bit adicional dobla el esfuerzo. Una contraseña de 60 bits no es «un poco mejor» que una de 50: es unas mil veces más costosa de romper.
Depende de dos cosas: el tamaño del alfabeto que usas y la longitud. Como referencia orientativa, por debajo de 40 bits una contraseña es débil frente a un ataque con hardware moderno; a partir de 80 bits, romperla por fuerza bruta deja de ser realista con la tecnología actual.
La longitud gana a la complejidad
Esto sorprende a mucha gente. Compara dos contraseñas:
Xk9!2z— seis caracteres de un alfabeto grande. Difícil de recordar y, aun así, corta.caballo-mesa-verde-rio— cuatro palabras y guiones. Muchísimo más larga y bastante más difícil de romper por fuerza bruta.
Añadir un carácter a una contraseña multiplica las combinaciones por el tamaño del alfabeto. Añadir un tipo de carácter solo agranda ese alfabeto un poco. Por eso, si tienes que elegir entre hacerla más larga o más rebuscada, hazla más larga.
Salvedad importante: esto vale para contraseñas generadas al azar. Una frase sacada de una canción es larga y aun así débil, porque un atacante no prueba letra por letra sino listas de frases conocidas.
Por qué importa de dónde sale el azar
Este generador usa crypto.getRandomValues, la fuente de aleatoriedad criptográfica del navegador, y no Math.random, que es predecible y no está pensada para seguridad.
Además evita un fallo sutil y muy común: coger un número al azar y aplicarle un resto para encajarlo en el alfabeto introduce un sesgo que hace algunos caracteres más probables que otros. Aquí se descartan los valores que caerían en esa zona sesgada, de modo que todos los caracteres tienen exactamente la misma probabilidad. El resultado es que los bits de entropía que ves son reales, no una estimación optimista.
El error que anula todo lo demás
Puedes generar la contraseña más fuerte del mundo y quedarte igual de expuesto si la reutilizas. Las filtraciones masivas de contraseñas son constantes, y lo primero que hace un atacante con un correo y una contraseña filtrados es probarlos en decenas de servicios más.
Una contraseña distinta por servicio es más eficaz que cualquier truco de complejidad. Y como nadie recuerda cuarenta contraseñas aleatorias, la pieza que falta es un gestor de contraseñas: recuerdas una sola, larga y buena, y él guarda el resto.
Recomendaciones prácticas
- Genera y pega directamente en tu gestor. No la escribas en un papel ni en una nota del móvil.
- Activa la verificación en dos pasos donde puedas. Protege incluso si la contraseña se filtra.
- No la cambies por rutina. Cámbiala si sospechas que se ha filtrado. Los cambios periódicos obligatorios llevan a la gente a poner variantes previsibles.
- Usa la opción de excluir ambiguos solo si vas a teclear la contraseña a mano; reduce ligeramente la entropía a cambio de no confundir la l con el 1.
- No la envíes por correo o chat. Si tienes que compartirla, hazlo por un canal distinto del que usas para el nombre de usuario.
Preguntas frecuentes
¿Se envía la contraseña generada a algún servidor?
No. Se genera en tu propio navegador con el generador criptográfico del sistema y no sale de tu dispositivo: no se transmite, no se guarda y no queda registro de ella en ninguna parte. Al recargar la página desaparece. Por eso conviene pegarla en tu gestor antes de cerrar la pestaña.
¿Cuántos caracteres debe tener una contraseña segura?
Mejor piensa en bits de entropía que en caracteres, porque el número depende del alfabeto. Con los cuatro tipos de carácter activados, 16 caracteres ya dan un margen amplio. Si solo usas letras minúsculas necesitarás bastantes más para alcanzar la misma seguridad. El indicador de la herramienta te dice en cada momento en qué punto estás.
¿Es mejor una contraseña corta y rara o una larga y sencilla?
Larga, siempre que sea aleatoria. Cada carácter que añades multiplica las combinaciones posibles, mientras que añadir un tipo de carácter solo agranda un poco el alfabeto. Ojo: esto vale para cadenas generadas al azar. Una frase conocida es larga y aun así débil, porque se ataca con listas de frases, no carácter a carácter.
¿Hace falta cambiar las contraseñas cada cierto tiempo?
La práctica de cambiarlas por calendario está desaconsejada hoy: empuja a la gente a hacer variaciones previsibles del tipo Marzo2026, Abril2026. Lo eficaz es usar una contraseña larga y distinta en cada servicio, y cambiarla cuando haya indicios de que ese servicio ha sufrido una filtración.
¿Por qué usar este generador y no inventármela yo?
Porque las personas somos malas fuentes de azar. Tendemos a sustituir letras por números parecidos, a usar fechas y a repetir patrones de teclado, y los programas que rompen contraseñas conocen todos esos hábitos y los prueban primero. Un generador criptográfico no tiene preferencias: todas las combinaciones son igual de probables.