Generador de contraseñas

Una contraseña es buena por una sola razón: porque fue elegida al azar entre muchísimas posibilidades. Ni por llevar símbolos, ni por parecer complicada, ni por tener una eñe. Todo lo demás que se cuenta sobre contraseñas se deriva de esa idea o la contradice.

Por qué «P4$w0rd!» es una contraseña mala

Porque no la elegiste al azar: aplicaste reglas que aplica todo el mundo. Cambiar la a por una arroba, la o por un cero, la e por un tres y poner una exclamación al final son precisamente las primeras transformaciones que prueban los programas de descifrado. Parte de una palabra del diccionario, y las cuatro sustituciones apenas multiplican el trabajo.

El mismo problema tienen los nombres con año detrás, las matrículas, las fechas de nacimiento y los equipos de fútbol. No es que sean cortas: es que un atacante no prueba «todas las combinaciones», prueba primero las que hace la gente.

La longitud pesa más que la complejidad

Cada carácter que añades multiplica el número de combinaciones por el tamaño del alfabeto. Añadir símbolos, en cambio, solo agranda ese alfabeto una vez. Por eso, entre una contraseña de 12 caracteres con todo tipo de símbolos y una de 18 con solo letras y números, gana la segunda con holgura.

La consecuencia práctica: si un formulario te limita a 12 caracteres, usa los cuatro tipos. Si te deja poner 30, no te compliques con símbolos raros que luego no sabrás teclear en el móvil.

Frases de palabras: fuertes y recordables

La segunda pestaña sortea palabras de una lista de 1.133 términos españoles cortos y sin tildes. Cada palabra aporta poco más de 10 bits, así que seis rondan los 61 y siete superan los 70. Es exactamente el mismo principio del cómic que popularizó la idea: correcto caballo batería grapa. Con la diferencia de que cuatro palabras, en 2026 y contra hardware dedicado, ya se quedan cortas: por eso el generador viene con seis.

La clave está en el sorteo. Una frase que se te ocurre a ti no vale: eliges palabras relacionadas, en el orden en que se te ocurren, y eso es previsible. Una frase sorteada por un generador criptográfico no lo es, y además se puede memorizar, dictar por teléfono y teclear en la tele del salón sin volverse loco.

Por eso las frases son la elección correcta para las dos o tres contraseñas que sí tienes que recordar: la del gestor de contraseñas, la del portátil y la del correo. Para el resto, usa caracteres al azar y que las guarde el gestor.

Qué significan los bits

La entropía mide cuántas combinaciones había en el sorteo, en potencias de dos. 50 bits son algo más de mil billones de posibilidades. La referencia que usamos para el tiempo estimado es dura a propósito: un ataque sin conexión contra una base de datos robada, con hardware dedicado, del orden de cien mil millones de intentos por segundo.

Ese es el escenario que importa, porque contra un formulario web el límite no lo pone tu contraseña sino el servidor, que bloquea tras unos pocos intentos. Cuando una contraseña cae, casi siempre es porque el sitio filtró su base de datos y alguien la ha estado descifrando con calma en su casa.

Un detalle importante sobre el cálculo: aquí la entropía se toma del sorteo, no analizando el texto resultante. Otros medidores miran los caracteres y castigan las frases de palabras por no llevar símbolos. Se equivocan: lo que hace fuerte a Nube-Ancla-Torre-Miel-Vasono es su aspecto, es que salió de un sorteo entre muchísimas frases posibles.

Los caracteres que se confunden

La ele minúscula, la i mayúscula, el uno; la o mayúscula y el cero. En pantalla, según la tipografía, son indistinguibles. Si la contraseña va a viajar en un papel, por teléfono o copiada a mano, deja marcada la casilla que los evita: pierdes una pizca de entropía y te ahorras el «no me entra» de dentro de un mes.

Si la contraseña va directa de aquí a un gestor mediante copiar y pegar, esa casilla no hace falta y puedes desmarcarla.

Una por sitio, guardadas en un gestor

La contraseña más fuerte del mundo no sirve de nada si la usas en veinte sitios y uno de ellos la filtra. Esa es la razón real por la que se recomienda usar una distinta en cada servicio, y es incompatible con recordarlas: nadie memoriza cuarenta contraseñas fuertes.

La solución práctica es un gestor de contraseñas —Bitwarden, KeePass, 1Password o el del propio navegador—, protegido por una frase larga que sí memorizas, y con verificación en dos pasos activada donde se pueda. Ese es todo el sistema: una cosa que recuerdas, y un programa que recuerda el resto.

Cambiarlas cada tres meses ya no se recomienda

Durante años fue norma en muchas empresas y hoy se considera contraproducente: el NIST estadounidense retiró esa recomendación precisamente porque obligaba a la gente a inventar variaciones previsibles, del tipo Verano2024! seguido de Otono2024!.

Lo correcto es cambiar una contraseña cuando hay un motivo: una filtración conocida, un ordenador comprometido, o alguien que la ha visto. El resto del tiempo, una contraseña larga y única sigue siendo tan buena como el primer día.

Nada de esto sale de tu navegador

La contraseña se genera con crypto.getRandomValues, el generador criptográfico del propio sistema, y vive únicamente en la memoria de esta pestaña. No hay petición al servidor, no hay registro y no hay copia. Si cierras la página sin copiarla, se pierde.