Generador de contraseñas
Generador de contraseñas en línea gratuito que utiliza CSPRNG de Web Crypto para contraseñas aleatorias fuertes, frases de contraseña y PIN. Detección de fortaleza, exclusión de caracteres ambiguos, exportación por lotes. Generado localmente en el navegador.
Relacionado
¿Qué es un generador de contraseñas seguro?
Un generador de contraseñas crea contraseñas aleatorias e impredecibles. A diferencia de las contraseñas elegidas por humanos, un verdadero generador utiliza un Generador de Números Pseudoaleatorios Criptográficamente Seguros (CSPRNG) para seleccionar caracteres aleatoriamente de un conjunto especificado, evitando patrones humanos predecibles (nombre+cumpleaños, secuencias de teclado como qwerty, empresa+año), reduciendo drásticamente el riesgo de ataques de diccionario y relleno de credenciales.
**¿Por qué no Math.random()?** Los PRNG generales tienen un estado interno que puede ser ingenierizado inversamente a partir de salidas pequeñas, permitiendo a los atacantes predecir futuros números «aleatorios». Esta herramienta utiliza la API Web Crypto del navegador — respaldada por CSPRNG a nivel de SO (getrandom de Linux, SecRandomCopyBytes de macOS, BCryptGenRandom de Windows) que pasan pruebas de aleatoriedad criptográfica.
**La entropía es el núcleo de la fortaleza de la contraseña**: Entropía = log₂(N^L) bits, donde N = tamaño del conjunto de caracteres y L = longitud. Una contraseña de 16 caracteres de 94 caracteres ASCII imprimibles tiene ~104 bits — promediando 2¹⁰³ intentos para craquear, o unos 200 mil millones de años a 1 billón de intentos/seg.
**Las frases de contraseña** hechas de múltiples palabras elegidas aleatoriamente (como Brave-Cloud-Star42) parecen «más simples» pero alcanzan más de 60 bits cuando las palabras son verdaderamente aleatorias — suficiente para la mayoría de escenarios, y mucho más fáciles de recordar que contraseñas de caracteres aleatorios. Este es el enfoque Diceware / XKCD #936.
Todas las contraseñas se generan localmente en tu navegador sin subida. La herramienta también proporciona detección de fortaleza: cálculo de entropía, estimación de tiempo de fuerza bruta y detección de patrones débiles (caracteres repetidos, dígitos/letras secuenciales, coincidencia de contraseñas comunes).
Casos de uso
- Genera contraseñas aleatorias fuertes para cuentas nuevas, verifica entropía y tiempo de craqueo
- Genera credenciales temporales por lotes para equipos o entornos de prueba
- Genera frases de contraseña memorables para Wi-Fi o contraseñas de dispositivos
- Configura PIN de dispositivos, inicializa cuentas de administrador o restablece contraseñas
- Reemplaza contraseñas débiles creadas por humanos por contraseñas aleatorias fuertes
Cómo Usar
- Selecciona el modo: Aleatorio, Frase de contraseña o PIN
- Configura longitud y opciones de caracteres (16+ recomendado), opcionalmente excluye caracteres ambiguos
- Revisa la fortaleza: entropía, estimación de tiempo de craqueo, detección de contraseñas débiles
- Copia o exporta por lotes a TXT para registro/restablecimiento/distribución
Características
- Generación CSPRNG: utiliza Web Crypto del navegador (crypto.getRandomValues) para aleatoriedad criptográficamente segura
- Tres modos: Contraseña aleatoria, Frase de contraseña memorable (combinación de palabras), PIN numérico
- Medidor de fortaleza completo: tamaño del conjunto de caracteres, entropía, detección de contraseñas débiles, riesgo de caracteres secuenciales/ repetidos, estimación de tiempo de fuerza bruta
- Excluir ambiguos: opcionalmente omitir 0/O/1/l/I para escenarios de entrada manual
- Generación por lotes: genera 5/10/20 contraseñas a la vez con descarga TXT
- Solo local: toda la generación y análisis ocurre en el navegador, sin datos subidos
Contraseña aleatoria vs Frase de contraseña memorable vs PIN numérico: ¿cuál elegir?
Cada uno de los tres modos de contraseña tiene ventajas y desventajas. Elegir el incorrecto significa que no puedes recordarlo, que se roba fácilmente o que simplemente no encaja con el escenario. Decide según (quién lo recuerda, quién lo escribe, quién lo almacena) para evitar errores comunes.
| Modo | Pregunta típica para elegirlo | Fuerza de seguridad | Facilidad de uso | Usuario típico |
|---|---|---|---|---|
| Contraseña aleatoria | (Nunca la escribo manualmente, mi gestor de contraseñas la rellena) | Alta (16 caracteres alcanzan ~104 bits) | Pobre (no se puede memorizar, requiere gestor) | Correo principal, banca, cuentas sociales, claves API |
| Frase de contraseña memorable | (Quiero poder dictarla, escribirla y aun así estar seguro) | Media-Alta (5-6 palabras Diceware ~64-77 bits) | Buena (legible, pronunciable) | Contraseña maestra, Wi-Fi, contraseñas entre dispositivos |
| PIN numérico | (Solo 0-9 permitido, restringido por el dispositivo) | Baja (6 dígitos solo ~20 bits, 10 dígitos ~33 bits) | Buena (teclado numérico sirve) | Pantalla de bloqueo, PIN de tarjeta bancaria, códigos de un solo uso |
Best Practices
Guarda las contraseñas generadas en un gestor inmediatamente, no las dejes en pantalla mucho tiempo
Una contraseña fuerte recién generada está en estado de texto plano; permanecer en el portapapeles, en pantalla o en el historial del navegador son puntos de riesgo. Genera, pega inmediatamente en el sitio de destino, limpia el portapapeles. No insertes ningún otro trabajo entre esos tres pasos. **Nunca** hagas una captura de pantalla de una contraseña generada en tu álbum de fotos, y nunca la escribas en papel y envíes una foto a otros. Esta herramienta mantiene las contraseñas solo en la página actual; se pierden al recargar o cerrar, así que prepara la ubicación de almacenamiento antes de hacer clic en generar.
¿Las contraseñas generadas se suben a un servidor?Usa una **frase de contraseña memorable larga** para la contraseña maestra, contraseñas aleatorias de 16-20 caracteres para el resto
Estrategia por capas: la contraseña maestra (para desbloquear el gestor de contraseñas) debe ser memorizable para un humano y suficientemente fuerte - elige una frase Diceware de 5-6 palabras. Para el otro 99% de los sitios/servicios, usa contraseñas aleatorias de 16-20 caracteres con el autocompletado del gestor. **Nunca** uses una frase de contraseña memorable para cada sitio (no se puede recordar, se debilita fácilmente) y **nunca** uses una contraseña aleatoria para la contraseña maestra (la escribirás, la seguridad cae a cero). Este es el pensamiento central de capas en la gestión de contraseñas.
¿Qué longitud debe tener una contraseña para ser segura?¿Contraseña aleatoria o frase de contraseña memorable?Excluye caracteres ambiguos solo cuando se requiere entrada manual
Excluir 0/O/1/l/I y otros caracteres ambiguos reduce significativamente el tamaño del conjunto de caracteres (5-10 bits de pérdida de entropía a la misma longitud). **Activar solo cuando** se necesite entrada manual, dictado por teléfono o distribución impresa. Si la contraseña solo se usa dentro de un gestor de contraseñas, mantener todos los caracteres imprimibles aporta mayor entropía. Una prueba simple: (¿Tendré alguna vez que escribir esta contraseña con los dedos?) Si sí, exclúyelos; si no, no los excluyas.
¿Por qué excluir caracteres ambiguos (0/O/1/l/I)?La generación por lotes es solo para escenarios de prueba/distribución, no las reuses para cuentas de producción
El flujo de generación por lotes de 5/10/20 contraseñas aplica principalmente a: inicialización de entornos de prueba, distribución de cuentas temporales, generación de códigos de invitación, salida única de claves API. **No** tomes una del resultado por lote y la reuses para tu propia cuenta de producción - las contraseñas generadas por lote suelen seguir las mismas reglas de generación con firmas evidentes (conjunto de caracteres, longitud, tipo de generador); una vez que una cuenta se filtra, los atacantes pueden adivinar las diferencias estructurales de las otras contraseñas del lote. Genera y almacena las contraseñas de cuentas de producción individualmente.
Solo generación localLas contraseñas nuevas deben ir acompañadas de 2FA para ser realmente seguras
Incluso la contraseña más fuerte cae ante phishing, keyloggers, filtraciones de bases de datos de contraseñas o amenazas internas de operadores. **Toda cuenta importante (correo, banca, redes sociales, nube) debe activar 2FA**. Orden recomendado: TOTP (Google Authenticator / Authy) > clave de hardware (YubiKey) > SMS. **Evita 2FA por SMS** (los ataques de SIM swap pueden saltarlo). Contraseña fuerte + 2FA + gestor de contraseñas son todos necesarios - 2FA es la última línea de defensa tras una filtración de contraseña.
NIST SP 800-63B - Directrices de identidad digitalConsulta HIBP primero antes de decidir si restableces una contraseña filtrada
Cuando sospeches que una contraseña se filtró (ver noticias de que un sitio fue vulnerado, recibir correos de phishing, etc.), no la cambies de inmediato. Primero, usa la API Pwned Passwords de Have I Been Pwned (HIBP) para comprobar si esa contraseña aparece realmente en algún corpus de filtración conocido. HIBP ofrece una API de k-anonimato, que esta herramienta podría integrar en el futuro; por ahora, puedes ir manualmente a haveibeenpwned.com/Passwords y buscar con los primeros 5 caracteres del hash SHA-1. Solo restablece con urgencia si se confirma en el corpus; las contraseñas que no están en el corpus de filtración no necesitan cambio forzado por (consuelo psicológico) (NIST explícitamente no recomienda restablecimientos periódicos).
Have I Been Pwned - Verificación de filtración de contraseñasPreguntas Frecuentes
¿Por qué usar Web Crypto API en lugar de Math.random()?
Math.random() es un PRNG general no diseñado para escenarios de seguridad; su estado interno puede ser potencialmente ingenierizado inversamente. crypto.getRandomValues() utiliza el CSPRNG a nivel del sistema operativo, produciendo aleatoriedad impredecible adecuada para contraseñas y claves.
¿Las contraseñas generadas se suben a un servidor?
No. Todas las contraseñas se generan localmente en tu navegador. El análisis de fortaleza, el cálculo de entropía y la estimación de tiempo de craqueo se ejecutan del lado del cliente. La pestaña Red de DevTools confirma cero solicitudes externas.
¿Qué longitud debe tener una contraseña para ser segura?
Al menos 12 caracteres con mayúsculas, minúsculas, dígitos y símbolos. Una contraseña aleatoria de 16 caracteres tardaría miles de millones de años en craquearse por fuerza bruta a velocidades modernas. Consulta la tabla de tiempos de craqueo arriba.
¿Contraseña aleatoria o frase de contraseña memorable?
Por carácter, las contraseñas aleatorias tienen mayor entropía. Pero las frases de contraseña (4-6 palabras verdaderamente aleatorias) alcanzan más de 60 bits de entropía y son mucho más fáciles de recordar. La clave es la selección de palabras verdaderamente aleatoria, no frases inventadas por uno mismo.
¿Por qué excluir caracteres ambiguos (0/O/1/l/I)?
Estos se parecen en muchas fuentes y causan errores de entrada. Si las contraseñas se escriben manualmente, se dictan por teléfono o se imprimen, exclúyelos. Si se usan solo a través de un gestor de contraseñas, mantén todos los caracteres para mayor entropía.
¿Es más seguro rotar contraseñas periódicamente?
Según NIST SP 800-63B, la rotación regular de contraseñas YA NO se recomienda a menos que se confirme un compromiso. La rotación forzada lleva a los usuarios a elegir contraseñas débiles o anotarlas. Mejor: contraseñas aleatorias largas + gestor de contraseñas + 2FA.
¿Qué es la entropía de contraseña?
La entropía mide la imprevisibilidad en bits. Entropía = log₂(tamaño_del_conjunto ^ longitud). Una contraseña de 16 caracteres de 94 caracteres ASCII imprimibles tiene ~104 bits, lo que significa que un atacante promedia 2¹⁰³ intentos — unos 200 mil millones de años a 1 billón de intentos/seg.
Glosario
- CSPRNG
- Generador de Números Pseudoaleatorios Criptográficamente Seguros. Produce salidas impredecibles que pasan rigurosas pruebas de aleatoriedad; incluso conociendo muchas salidas pasadas no revela las futuras.
- Entropía de contraseña
- Mide la imprevisibilidad en bits. Fórmula: log₂(N^L). Más de 60 bits = seguro; más de 100 bits = extremadamente fuerte.
- Ataque de fuerza bruta
- Probar todas las combinaciones posibles de caracteres. Se defiende usando contraseñas aleatorias largas que hacen que las combinaciones sean físicamente incontables.
- Ataque de diccionario
- Usar listas de contraseñas comunes (123456, password, qwerty) para adivinar credenciales. Mucho más rápido que la fuerza bruta; las contraseñas aleatorias son inmunes.
- Relleno de credenciales
- Usar pares de usuario/contraseña filtrados de un sitio para intentar iniciar sesión en otros. Se defiende con contraseñas únicas por sitio y verificando en Have I Been Pwned.
- Frase de contraseña
- Una contraseña hecha de múltiples palabras aleatorias. Más fácil de recordar con alta entropía cuando las palabras son verdaderamente aleatorias (método Diceware).
- Diceware
- Método de Arnold Reinhold de 1995 que usa 5 tiradas de dados para elegir palabras de una lista de 7776 palabras. 6 palabras Diceware ≈77 bits de entropía.
- NIST SP 800-63B
- Directrices de identidad digital del NIST — la referencia autoritativa para seguridad de contraseñas. Desde 2017, ya no recomienda rotación regular ni caracteres especiales obligatorios, enfatizando longitud, detección de contraseñas filtradas y MFA.
- 2FA/MFA
- Autenticación de Dos Factores / Múltiples Factores requiere un segundo factor además de la contraseña (TOTP, llave de hardware). NIST recomienda 2FA en todas las cuentas importantes.
- Lista negra de contraseñas filtradas
- Listas de contraseñas comprometidas/comunes públicamente conocidas (123456, password, admin, qwerty). NIST recomienda verificar contra dichas listas al registrar/cambiar contraseña.
Longitud de contraseña vs tiempo de craqueo (mayús+minús+dígitos+símbolos)
| Longitud | Entropía(bit) | Combinaciones | Tiempo de craqueo (1 billón/seg) | Calificación |
|---|---|---|---|---|
6 caracteres | ~37 | ~139 mil millones | < 1 segundo | ❌ Muy débil |
8 caracteres | ~52 | ~2.2×10¹⁴ | ~2.5 días | ❌ Débil |
10 caracteres | ~65 | ~3.7×10¹⁸ | ~116 años | ⚠️ Regular |
12 caracteres | ~78 | ~6.1×10²² | ~1.9 millones de años | ✅ Fuerte |
16 caracteres | ~104 | ~6.3×10³⁰ | ~200 mil millones de años | ✅✅ Muy fuerte |
20 caracteres | ~131 | ~6.7×10³⁸ | Billones de veces la edad del universo | ✅✅✅ Inquebrantable |
Comparación de tres modos de contraseña
| Modo | Ejemplo | Entropía típica | Facilidad de memorización | Ideal para |
|---|---|---|---|---|
| Contraseña aleatoria | xK9#mP2$vL8@nQ4! | ~6.5bit/carácter | Pobre | Contraseñas maestras para gestores, contraseñas de BD, claves API |
| Frase de contraseña memorable | Brave-Cloud-Star42 | ~10bit/palabra | Buena | Contraseñas Wi-Fi, contraseñas de inicio de sesión que requieren entrada manual |
| PIN numérico | 482917 | 3.3bit/dígito | Buena | Pantalla de bloqueo, PIN de tarjeta bancaria, códigos de un solo uso |
Authoritative References
- Simulador de Daltonismo
- Convertidor de colores
- Convertidor de .htaccess a Nginx
- Conversor de SQL
- Analizador de Cookies
- Generador de Expresiones Cron
- Validador de Expresiones Cron
- Formateador de CSS
- Minificar CSS
- CSV a Excel
- Conversor de Monedas
- Comparador de Diferencias
- Generador de Favicon
- Formateador de XML
- Convertidor Hexadecimal
- Formateador de HTML
- Minificador de HTML
- HTML a Markdown
- Markdown a HTML
- Formatear JavaScript
- Minificador de JS
- Formateador de JSX
- Minificador de JSX
- Agrupación de palabras clave
- Generador Lorem Ipsum
- Generador de Tablas Markdown
- Generador de Meta Tags
- Generador de contraseñas
- Verificador de fortaleza de contraseña
- Generador de Códigos QR/Códigos de Barras
- Probador de Expresiones Regulares
- Generador de Slugs
- Constructor de SQL
- Formateador de SQL
- Contador de Palabras
- Herramienta de Tiempo
- Formateador de TS
- Minificador de TS
- Formateador de TSX
- Minificador de TSX
- Conversor Unix Timestamp
- Generador UUID
- Formateador de YAML
- Convertidor de casos