Generador de contraseñas y frases de contraseña

Un generador de contraseñas que funciona en un servidor tiene un problema evidente: el servidor conoce la contraseña que te acaba de dar. Este usa crypto.getRandomValues, la fuente aleatoria criptográficamente segura del navegador, enteramente dentro de la página. No se transmite nada, no se registra nada y no queda nada guardado cuando cierras la pestaña.

Dos modos, porque la respuesta correcta depende del trabajo. Para las cien cuentas que gestiona tu gestor de contraseñas, usa caracteres aleatorios y largos: no vas a escribirlos nunca. Para las tres o cuatro que tienes que escribir de memoria (la contraseña maestra del propio gestor, el inicio de sesión del portátil, la copia de seguridad del móvil), usa una frase de contraseña: varias palabras aleatorias son mucho más fáciles de recordar y, con cinco o seis, más fuertes que la mayoría de contraseñas de caracteres que la gente elige en la práctica.

Cómo usar esta herramienta

1. Elige caracteres aleatorios o frase de contraseña, según si vas a escribirla a mano.
2. Para caracteres aleatorios, ajusta la longitud (veinte es un valor sensato) y elige qué conjuntos de caracteres incluir.
3. Deja excluidos los caracteres ambiguos si alguna vez vas a leer la contraseña en voz alta o copiarla de una pantalla; quita los pares confundibles como 0/O y 1/l/I.
4. Para una frase de contraseña, elige cuántas palabras. Cinco palabras es el mínimo sensato para algo importante.
5. Mira la cifra de entropía debajo del resultado. Cuenta cuántos bits aleatorios hay, que es una medida mucho mejor que una barra de color.
6. Cópiala directamente a tu gestor de contraseñas, o genera un lote si estás dando de alta muchas cuentas de golpe.

Ejemplo práctico

Usos habituales

• Cuentas nuevas guardadas en un gestor de contraseñas
• Una contraseña maestra o de acceso al dispositivo que tienes que escribir de memoria
• Claves de wifi que la gente va a leer de una tarjeta
• Credenciales de bases de datos y servicios durante la instalación
• Contraseñas temporales que le das a otra persona
• Frases de recuperación y códigos de respaldo que hay que apuntar en papel

Errores frecuentes

• Sustituir letras dentro de una palabra — C0ntr@señ4! no es fuerte. Las herramientas de descifrado aplican todas las sustituciones habituales automáticamente; el patrón es tan predecible como la palabra.
• Elegir tú las palabras — Una frase de contraseña solo funciona si las palabras son aleatorias. Las palabras que eliges tú siguen los patrones de tu propio vocabulario y son muchísimo más débiles.
• Añadir complejidad en vez de longitud — Un carácter más aporta mucha más fuerza que espolvorear símbolos. La longitud es la variable que más importa.
• Reutilizar una contraseña fuerte — La fuerza no sobrevive a la reutilización. Una filtración en cualquier sitio expone todas las cuentas que la comparten, y ese es el argumento entero a favor de un gestor de contraseñas.

Preguntas frecuentes

¿Se envía la contraseña a algún sitio?

No. Se genera en tu navegador con crypto.getRandomValues y se muestra en la página. No hay ninguna petición, ningún registro y ningún almacenamiento. Cierra la pestaña y desaparece.

¿Cómo de aleatoria es en realidad?

crypto.getRandomValues es el generador de números aleatorios criptográficamente seguro del navegador, alimentado por el sistema operativo. Es la misma fuente que se usa para material criptográfico de verdad, y no tiene nada que ver con Math.random, que no sirve para secretos.

¿Qué significa la cifra de entropía?

Es el número de bits aleatorios: cada bit adicional duplica el número de contraseñas posibles. Por debajo de unos 40 bits es débil, 60 es razonable para cuentas de poco valor y 80 o más es lo adecuado para cualquier cosa que importe. Se calcula a partir de los ajustes del generador, así que refleja aleatoriedad real y no una suposición sobre patrones.

¿Las frases de contraseña son de verdad tan fuertes como las aleatorias?

Pueden serlo, si las palabras son aleatorias y hay suficientes. Cinco palabras de esta lista son unos 64 bits y seis son unos 77. La ventaja es que la gente usa de verdad una frase fuerte en vez de acortarla.

¿Debería incluir símbolos?

Ayudan un poco, y algunos sistemas los exigen. Pero pasar de 16 a 20 caracteres aporta más fuerza que añadir símbolos a una contraseña de 16. Si una web rechaza los símbolos, hazla simplemente más larga.

¿Puedo generar muchas de una vez?

Sí: indica una cantidad y usa el botón de lote. Se generan con los mismos ajustes y la misma fuente aleatoria.

Última actualización 2026-09-15