Generador de contraseñas
Contraseñas y frases de contraseña aleatorias y seguras.
Acerca de esta herramienta
Genera contraseñas aleatorias con los caracteres que elijas, o frases de contraseña basadas en palabras, más fáciles de escribir. Todo usa el generador aleatorio criptográficamente seguro del navegador, y la fortaleza estimada se muestra en bits.
Cómo se usa
- Elige Caracteres aleatorios o Frase de contraseña.
- Indica la longitud o el número de palabras, y qué caracteres incluir.
- Observa cómo se actualiza la estimación de fortaleza en bits.
- Copia una contraseña o haz clic en Generar nuevas para obtener otra tanda.
Preguntas
- ¿Qué longitud debe tener una contraseña?
- Apunta a al menos 16 caracteres aleatorios, unos 100 bits, o a una frase de contraseña de 10 o más palabras de esta herramienta. Todo lo que pase de unos 80 bits está muy por encima de lo que se puede adivinar. Un gestor de contraseñas puede recordarla por ti.
- ¿Qué significan los bits de fortaleza?
- Mide cuántos intentos necesitaría un atacante: cada bit adicional duplica el trabajo. Supone que la contraseña se generó de forma aleatoria, como ocurre aquí.
- ¿Se guardan o se envían las contraseñas a algún sitio?
- No. Se generan en tu navegador con crypto.getRandomValues y desaparecen al cerrar la página.
- ¿Frase de contraseña o caracteres aleatorios?
- Las frases de contraseña son más fáciles de escribir y recordar, por ejemplo en un móvil o una tele. Los caracteres aleatorios concentran más fortaleza en menos caracteres. El medidor de fortaleza muestra exactamente cuántos bits te da cada ajuste.
- ¿Por qué se evitan los caracteres parecidos?
- Caracteres como l, 1, I, O, 0 y o se confunden fácilmente cuando una contraseña se lee en voz alta, se copia de un papel o se teclea desde otra pantalla. Evitarlos reduce ligeramente el conjunto de caracteres y cuesta unos 0,1 bits por carácter. Desactívalo si la contraseña solo se va a pegar.
- ¿Cómo genero una clave de API o un token secreto aleatorio?
- Elige Caracteres aleatorios solo con letras y dígitos, para que la clave sea segura en cabeceras, URL y archivos de configuración, y fija la longitud en 32 o más. Eso da bastante más de 180 bits. En la línea de comandos, openssl rand -hex 32 hace lo mismo. Guarda estas claves como hash si tu servidor solo necesita comprobarlas.
- ¿Las mayúsculas y un número hacen más segura una frase de contraseña?
- Poner en mayúscula cada palabra no añade nada, porque siempre se hace de la misma manera. El número aleatorio añade unos 9 bits en una frase de seis palabras: hasta 100 valores en cualquiera de siete posiciones. Una palabra más añade unos 8,7 bits, así que ambas cosas ayudan más o menos igual, y una palabra extra suele ser más fácil de escribir.
¿Cómo se calcula la fortaleza de una contraseña en bits?
Para una contraseña generada al azar, la fortaleza es la longitud multiplicada por el log2 del número de caracteres posibles. Las minúsculas, las mayúsculas, los dígitos y los 27 símbolos de aquí suman 89 caracteres, unos 6,5 bits cada uno, así que 20 caracteres dan unos 130 bits. Evitar los caracteres parecidos quita seis caracteres y cuesta unos 0,1 bits por carácter. La fórmula solo vale para contraseñas aleatorias, nunca para las que se inventa una persona.
Las frases de contraseña funcionan igual, pero con palabras. La lista de palabras de aquí tiene 422 palabras cortas, así que cada palabra añade unos 8,7 bits y seis palabras dan unos 52. Es menos por palabra que la clásica lista Diceware de 7776 palabras, que da 12,9 bits por palabra, así que usa más palabras para alcanzar la misma fortaleza. El medidor hace estas cuentas por ti a medida que cambias la configuración.
¿Por qué rechazan mi contraseña generada o por qué da problemas?
Algunos sitios limitan la longitud a 16 o 20 caracteres, o rechazan ciertos símbolos como comillas, espacios o corchetes angulares. Baja la longitud al límite del sitio, o desactiva Símbolos y alarga la contraseña unos caracteres para compensar. Cada letra o dígito adicional añade casi 6 bits, así que 22 caracteres alfanuméricos superan a 20 con símbolos.
Los símbolos también dan problemas fuera de los sitios web. En una shell, $ y ! dentro de comillas dobles se expanden, así que pon esas contraseñas entre comillas simples. En un archivo .env, # puede iniciar un comentario y $ puede provocar la expansión de variables. En una URL de conexión a una base de datos, @, : y / rompen el análisis salvo que los codifiques con porcentajes con la herramienta Codificar URL. Si usas solo letras y dígitos, evitas todo esto.
Directrices de contraseñas del NIST: lo que importa de verdad
NIST SP 800-63B, la directriz del gobierno de EE. UU. que siguen muchas empresas, antepone la longitud a la complejidad. Su revisión de 2025 exige al menos 15 caracteres cuando la contraseña es el único factor, 8 con inicio de sesión multifactor, y que se admitan al menos 64. También pide eliminar reglas como “un símbolo y un dígito”, dejar de obligar a cambiar la contraseña periódicamente y bloquear las contraseñas que aparecen en listas de filtraciones.
En la práctica: una contraseña aleatoria única para cada cuenta, guardada en un gestor de contraseñas, y un segundo factor siempre que se ofrezca. Usa una frase de contraseña larga para los pocos secretos que tengas que escribir, como la contraseña maestra del gestor. Si programas tú el inicio de sesión, guarda las contraseñas con Argon2id o bcrypt. Los hashes rápidos como SHA-256 del Generador de hashes están bien para checksums, no para contraseñas almacenadas.
¿Algo no funciona o un resultado parece incorrecto? Informar de un problema con esta herramienta