Generador de contraseñas

Cómo funciona

El azar viene de la fuente criptográfica del navegador, que existe precisamente para valores que deben ser imposibles de adivinar. La función aleatoria normal de JavaScript no sirve: es predecible para quien haya visto suficientes resultados suyos.

Cada carácter se elige de forma uniforme dentro del conjunto elegido. Un simple resto favorecería los valores más bajos cuando el conjunto no divide de forma exacta, así que los valores más altos se descartan y se vuelven a sortear.

La entropía mide cuántos intentos hacen falta, expresada como potencia de dos. Se aplica a contraseñas generadas de esta manera. Una contraseña que te has inventado casi siempre tiene menos entropía de la que sugiere su longitud, porque el idioma y el teclado condicionan las elecciones más de lo que se cree.

La longitud importa más que el conjunto de caracteres. Pasar de doce a dieciséis caracteres aporta más que añadir símbolos, y es más fácil de escribir.

La opción de evitar caracteres parecidos quita el cero, la O mayúscula y la o minúscula, el uno, la I mayúscula, la l minúscula y la barra vertical. Cuesta un poco de entropía, pero merece la pena cuando la contraseña hay que leerla en voz alta o teclearla a mano en otro dispositivo, como una televisión o una consola de videojuegos.

Nada de lo que se crea aquí sale de tu navegador, y la página no guarda nada. Cierra la pestaña y las contraseñas desaparecen.

Cómo funciona la herramienta

El conjunto de caracteres se arma con los grupos que eliges: 26 minúsculas, 26 mayúsculas, 10 cifras y 25 símbolos, 87 en total. Evitar caracteres parecidos quita siete y deja 80. Cada carácter se sortea por separado con crypto.getRandomValues. Un número aleatorio de 32 bits tiene 4 294 967 296 valores posibles, y los 16 más altos se descartan y se vuelven a sortear, para que el resto se divida exactamente entre 87 y todos los caracteres tengan la misma probabilidad.

La entropía es la longitud por el logaritmo en base 2 del tamaño del conjunto. Veinte caracteres de 87 dan 20 × 6.443 = 128.86 bits, que la herramienta muestra como 129. Sin caracteres parecidos son 20 × 6.322 = 126.4 bits. La escala debajo del resultado llama débil a todo lo que está por debajo de 50 bits, aceptable por debajo de 75, fuerte por debajo de 110 y muy fuerte al resto.

Longitud o símbolos

Con las cifras de la propia herramienta: 12 caracteres de los 87 dan 77 bits; 16 caracteres sin símbolos, es decir, de 62, dan 95 bits, y 16 caracteres con símbolos, 103 bits. Los cuatro caracteres de más aportan 26 bits; los símbolos, 8.

Lo que recomienda el NIST

La guía SP 800-63B del NIST de Estados Unidos, en su revisión 4 de julio de 2025, dice que los servicios deben exigir al menos 15 caracteres cuando la contraseña es el único factor y al menos 8 cuando va junto con otro factor, que deberían permitir al menos 64, que deben permitir los administradores de contraseñas y que no deben exigir mezclar tipos de caracteres ni cambios periódicos. Las longitudes de la herramienta van de 6 a 64.

Casos límite

La herramienta no garantiza que cada grupo elegido aparezca en la contraseña. Con los cuatro grupos, más o menos una de cada once contraseñas de 20 caracteres no tiene al menos uno de ellos, y con 8 caracteres le pasa al 51 %. Un servicio que exige, por ejemplo, una cifra puede rechazar entonces la contraseña. En ese caso, crea una nueva en lugar de cambiar un carácter a mano. Descartar las contraseñas a las que les falta un grupo cuesta solo 0.14 bits con 20 caracteres, pero un carácter que eliges tú no es aleatorio en absoluto.

Fuentes

• NIST SP 800-63B-4 – Digital Identity Guidelines: Authentication and Authenticator Management

Cómo se verifican las herramientas