Cómo usar el generador de contraseñas
- Elige una longitud con el control deslizante. 16 caracteres es un mínimo razonable para las cuentas importantes; 20 o más es mejor.
- Elige los tipos de caracteres que quieres incluir. Deja los cuatro activados salvo que un sitio web limite los caracteres que puedes usar.
- Marca Excluir caracteres parecidos si vas a tener que leer o escribir la contraseña a mano.
- Haz clic en Copiar y pega la contraseña directamente en tu gestor de contraseñas o en el formulario de registro. Haz clic en el botón de actualizar para obtener otra, o genera una lista entera de una vez.
Cada contraseña se crea en tu dispositivo con el generador de números aleatorios criptográficamente seguro del navegador (crypto.getRandomValues), con una selección sin sesgo y al menos un carácter de cada tipo que elijas. No se envía nada a nuestro servidor, ni se registra ni se guarda.
¿Qué hace que una contraseña sea segura?
La seguridad depende de lo impredecible que sea, y se mide en bits de entropía: longitud × log₂(número de caracteres posibles). Cada bit adicional duplica el número de intentos que necesita un atacante. Una contraseña aleatoria de 20 caracteres elegidos entre unos 90 tiene aproximadamente 130 bits de entropía, muy por encima de lo que cualquier atacante puede descifrar por fuerza bruta. Una contraseña elegida por una persona, como Verano2025!, tiene mucha menos entropía real de lo que sugiere su longitud, porque los atacantes prueban primero palabras de diccionario, nombres, fechas y sustituciones habituales.
| Entropía | Valoración | Uso típico |
|---|---|---|
| Menos de 36 bits | Débil | PIN cortos; fáciles de adivinar sin conexión |
| 36–60 bits | Aceptable | Solo donde los intentos de inicio de sesión están limitados |
| 60–80 bits | Fuerte | Cuentas online del día a día |
| 80+ bits | Muy fuerte | Correo electrónico, banca, contraseñas maestras de gestores de contraseñas, claves de cifrado |
La estimación del tiempo de descifrado supone un ataque sin conexión que prueba 100 mil millones de combinaciones por segundo contra un hash rápido. Los tiempos reales varían según el algoritmo de hash que use el sitio web.
Buenas prácticas con las contraseñas
- Usa una contraseña única para cada cuenta. Reutilizar contraseñas es lo que convierte una filtración de datos en muchas cuentas hackeadas (el llamado «credential stuffing»).
- Usa un gestor de contraseñas para generarlas y recordarlas; así solo necesitas una contraseña maestra segura.
- Activa la verificación en dos pasos (una app de autenticación o una llave de acceso) siempre que puedas. Te protege aunque se filtre una contraseña.
- Da prioridad a las llaves de acceso (passkeys) cuando los sitios las ofrezcan: resisten el phishing y sustituyen por completo a las contraseñas.
- Nunca envíes contraseñas por correo electrónico ni por chat, y desconfía de los correos que te piden «confirmar» una contraseña. Revisa los mensajes sospechosos con nuestro analizador de correos de phishing.
Los desarrolladores que almacenan contraseñas nunca deberían usar un simple hash rápido; descubre por qué en la guía de nuestro generador de hash. ¿Necesitas identificadores aleatorios en lugar de secretos? Usa el generador de UUID.
Preguntas frecuentes
¿Es seguro generar una contraseña en un sitio web?
Aquí, sí: la contraseña la genera JavaScript en tu navegador y nunca se transmite. Incluso puedes desconectarte de internet después de que cargue la página y seguirá funcionando.
¿Qué longitud debe tener mi contraseña?
Las recomendaciones actuales, como la NIST SP 800-63B, dan más importancia a la longitud que a las reglas de complejidad. Para contraseñas aleatorias, 16 caracteres o más es seguro para la mayoría de las cuentas; usa 20 o más para tu correo electrónico y tu gestor de contraseñas.
¿Por qué excluir los caracteres parecidos?
Caracteres como 0/O y 1/l/I se confunden fácilmente al leer una contraseña en voz alta o al copiarla de un papel. Excluirlos reduce un poco la entropía, así que añade uno o dos caracteres para compensarlo.
¿Debo cambiar mis contraseñas con regularidad?
No según un calendario fijo. Cambia una contraseña cuando haya indicios de que puede estar comprometida, por ejemplo después de un aviso de filtración.
Actualizado