Generador de contraseñas

1. 01Elige la longitudEs el factor que más pesa, por encima de cualquier otro. Dieciséis caracteres es un mínimo razonable para algo que te importe.
2. 02Marca los tipos de carácterMinúsculas, mayúsculas, números y símbolos. Cuantos más tipos incluyas, más grande es el conjunto del que sale cada carácter.
3. 03Descarta los caracteres que se confunden si hace faltaÚtil cuando la contraseña se va a leer en voz alta, escribir a mano o teclear desde otra pantalla. Reduce un poco el conjunto, así que compénsalo con algo más de longitud.
4. 04Copia la contraseña y guárdalaPégala directamente en tu gestor de contraseñas. Si sales de la página sin copiarla, se pierde: no hay forma de recuperarla.

• Una cuenta nuevaGenera una contraseña distinta para cada servicio y guárdala en el gestor. Reutilizar una contraseña es lo que convierte la filtración de un sitio en un problema en todos los demás.
• Una clave de Wi-Fi para visitasCon la opción de caracteres que se confunden desactivada, porque alguien la va a teclear mirando un papel pegado en la nevera.
• Cambiar una contraseña filtradaSi un servicio avisa de una filtración, genera una nueva y cámbiala también en cualquier otro sitio donde hubieras usado la misma.

• 16 caracteres con los cuatro tiposUn conjunto de 80 caracteres aproximadamente y 16 posiciones dan alrededor de 101 bits de entropía. Es más de lo que hace falta para una cuenta normal y sigue siendo cómodo de pegar.
• 20 caracteres sin símbolosPara formularios que rechazan símbolos. Perder los símbolos se compensa de sobra con cuatro caracteres más: la longitud rinde más que la variedad.
• 24 caracteres sin caracteres confusosPara una clave que alguien va a dictar o a teclear a mano. Se quita lo que se presta a error y se recupera seguridad alargándola.

• La longitud gana a la complejidadAñadir un carácter aumenta la dificultad más que añadir un tipo de carácter. Si tienes que elegir entre 12 caracteres con símbolos y 20 sin ellos, quédate con los 20.
• Una contraseña distinta para cada sitioUna contraseña muy fuerte usada en cinco servicios es tan débil como el peor de los cinco. Un gestor de contraseñas resuelve esto sin que tengas que recordar nada.
• No la guardes en un chat ni en un correoNi en una nota sin cifrar. Si tienes que compartirla, cámbiala después de que la otra persona la haya guardado.

Cada carácter se elige con crypto.getRandomValues, la fuente de aleatoriedad criptográfica del navegador, que se alimenta del generador del sistema operativo. No es Math.random: esa función está pensada para animaciones y simulaciones, es predecible a partir de suficientes valores y no debe usarse nunca para nada relacionado con seguridad. La diferencia no se nota mirando el resultado, y ese es justamente el motivo por el que conviene decir de cuál de las dos se trata.

La estimación se calcula como longitud × log2(tamaño del conjunto), que es la entropía en bits: cuántas combinaciones tendría que probar alguien que conociera exactamente tus ajustes pero no la contraseña. Por debajo de 45 bits aparece como aceptable, entre 45 y 75 como fuerte, y por encima como muy fuerte. Es una medida de la contraseña en sí misma, no de la cuenta: una contraseña de 100 bits no protege nada si el servicio la almacena mal o si alguien te la saca con un correo de phishing.

La contraseña se genera en tu dispositivo y nunca sale de él: no se envía a ningún servidor, no se registra en ningún sitio y no se guarda en el navegador. Esta página tampoco tiene forma de recuperar una contraseña que ya se mostró, así que cópiala antes de cerrarla o de generar otra. Esa es la garantía y también la limitación: no hay historial porque no hay nada guardado.

¿Es segura esta contraseña?

Se genera con el generador criptográfico del navegador y nunca sale de tu dispositivo. Con 16 caracteres y los cuatro tipos activados supera con holgura lo que necesita una cuenta normal.

¿Qué longitud debería usar?

Dieciséis caracteres es un buen mínimo general. Para correo, banca o el acceso a un gestor de contraseñas, sube a veinte o más.

¿Se guarda o se envía a algún servidor?

No. Se crea en tu navegador, no se transmite y no se almacena. Si recargas la página, desaparece y no hay manera de recuperarla.

¿Para qué sirve quitar los caracteres que se confunden?

Para contraseñas que alguien va a leer en voz alta, copiar de un papel o teclear mirando otra pantalla. Quita 0, O, o, 1, l e I, que son los que se confunden. El conjunto se reduce un poco, así que conviene alargar la contraseña.

¿Puedo usar la misma contraseña en varios sitios?

Es mejor no hacerlo. Si uno de esos servicios sufre una filtración, esa contraseña deja de servir en todos los demás. Genera una distinta para cada uno y guárdalas en un gestor de contraseñas.

¿Es gratis?

Sí, totalmente gratis, sin registro y sin límite de uso.