🔐 Generador de Contraseñas

¿Qué tan fuerte es suficientemente fuerte? La fuerza de la contraseña se mide en bits de entropía: cada bit duplica el número de combinaciones posibles. La tabla siguiente relaciona longitudes comunes de contraseña y conjuntos de caracteres con su entropía y el tiempo estimado de descifrado en un clúster de GPU moderno (10 mil millones de conjeturas/segundo). El Instituto Nacional de Estándares y Tecnología (NIST SP 800-63B) recomienda un mínimo de 8 caracteres para contraseñas elegidas por el usuario, pero las contraseñas generadas por máquina de 16+ caracteres con conjuntos completos de símbolos son exponencialmente más difíciles de descifrar. Para más recursos de ciberseguridad, visite la guía CISA Secure Our World.

Cada carácter adicional de longitud añade aproximadamente 1,7 bits (minúsculas) a 6,6 bits (conjunto completo) de entropía. Una contraseña de 12 caracteres con los cuatro conjuntos de caracteres ya es más fuerte que una contraseña de solo 18 caracteres en minúsculas. Conclusión: longitud + variedad de caracteres = fuerza exponencial.

1. Establece la longitud de contraseña deseada usando el control deslizante o el campo de entrada; recomendamos al menos 16 caracteres para máxima seguridad.
2. Selecciona qué tipos de caracteres incluir: letras minúsculas, letras mayúsculas, números y símbolos. Incluye los cuatro para obtener las contraseñas más seguras.
3. Opcionalmente, excluye caracteres ambiguos (como l, 1, I, O, 0) si la legibilidad es importante.
4. Haz clic en el botón generar para crear una nueva contraseña aleatoria.
5. Copia la contraseña y pégala directamente en la configuración de tu cuenta o en el administrador de contraseñas. Genere una nueva contraseña para cada cuenta; nunca reutilice contraseñas en múltiples servicios, ya que una sola infracción los comprometería a todos.

¿Por qué las contraseñas aleatorias son mejores que las memorables?

Las contraseñas creadas por humanos siguen patrones predecibles: nombres, fechas, palabras del diccionario, recorridos del teclado (qwerty) y sustituciones comunes (a→@, e→3). Los piratas informáticos explotan estos patrones mediante ataques de diccionario y herramientas de descifrado basadas en reglas. Una contraseña verdaderamente aleatoria no tiene un patrón explotable, por lo que la única forma de descifrarla es la fuerza bruta: probar todas las combinaciones posibles, lo que se vuelve computacionalmente inviable a medida que aumenta su longitud. Una contraseña aleatoria de 16 caracteres con símbolos tardaría billones de años en descifrarse con el hardware actual.

¿Debería utilizar un administrador de contraseñas?

Sí, absolutamente. Los administradores de contraseñas como Bitwarden, 1Password, LastPass y Dashlane almacenan todas tus contraseñas en una bóveda cifrada protegida por una única contraseña maestra. Esto te permite utilizar una contraseña única generada aleatoriamente para cada cuenta sin memorizar ninguna de ellas. La mayoría de los administradores incluyen generadores de contraseñas integrados, formularios de inicio de sesión de autocompletar y le alertan sobre contraseñas reutilizadas o violadas. El pequeño inconveniente de configurar uno se ve superado con creces por el beneficio de seguridad.

¿Qué recomienda el NIST?

El Instituto Nacional de Estándares y Tecnología (NIST) de EE. UU. actualizó sus pautas de contraseñas en 2017 (Publicación especial 800-63B) con varios cambios clave: priorizar la longitud de la contraseña sobre la complejidad, eliminar los cambios periódicos obligatorios de contraseña (que conducen a contraseñas más débiles), permitir la funcionalidad de pegar para admitir administradores de contraseñas y comparar las nuevas contraseñas con listas de contraseñas comúnmente utilizadas o violadas. La longitud ahora se considera el factor más importante en la seguridad de la contraseña.

¿Cómo garantiza este generador la aleatoriedad?

Esta herramienta utiliza la API de criptografía de tu navegador (crypto.getRandomValues), que proporciona números aleatorios criptográficamente seguros provenientes del grupo de entropía del sistema operativo. Esto es fundamentalmente diferente de Math.random(), que utiliza un algoritmo pseudoaleatorio que es predecible e inadecuado por motivos de seguridad.

¿Qué es la entropía de contraseña?

La entropía mide la aleatoriedad de una contraseña en bits. Cada bit duplica el número de combinaciones posibles, por lo que una contraseña de 50 bits tiene 2 elevado a 50, aproximadamente 1 mil billones de posibilidades. Una contraseña de 12 caracteres que utiliza todos los tipos de caracteres tiene aproximadamente 71 bits de entropía, suficiente para resistir ataques de fuerza bruta durante siglos. La entropía aumenta con la longitud y la variedad de caracteres: añadir símbolos a una contraseña alfanumérica de 12 caracteres pasa de 71 a 79 bits, haciéndola aproximadamente 250 veces más difícil de descifrar.

¿Cuánto tiempo debería tener mi contraseña?

Para la mayoría de cuentas personales, NIST recomienda un mínimo de 8 caracteres, pero de 12 a 16 caracteres es el punto ideal para una seguridad fuerte. Con los cuatro conjuntos de caracteres habilitados (mayúsculas, minúsculas, números, símbolos), una contraseña de 16 caracteres tiene 95,3 bits de entropía, prácticamente irrompible por fuerza bruta. Para cuentas altamente sensibles (banca, correo electrónico), considera 20+ caracteres. Los administradores de contraseñas hacen que las contraseñas largas sean sencillas, ya que solo necesita recordar una contraseña maestra.

¿Son mejores las frases de contraseña que las contraseñas?

Las frases de contraseña —secuencias de 3 a 5 palabras aleatorias como «purple-elephant-cartoon-window»— pueden ser más seguras y más fáciles de recordar que las contraseñas cortas y complejas. Una frase de 4 palabras de una lista de 7.776 palabras tiene aproximadamente 51 bits de entropía, comparable a una contraseña mixta de 9 caracteres. Sin embargo, una contraseña generada aleatoriamente de 16 caracteres sigue teniendo mayor entropía (95+ bits). Usa frases de contraseña cuando necesite memorizar; usa contraseñas generadas para todo lo demás.

¿Es seguro generar contraseñas en línea?

Este generador de contraseñas se ejecuta completamente en tu navegador utilizando el generador de números aleatorios criptográficamente seguro (CSPRNG) de la API Web Crypto. Ninguna contraseña sale nunca de tu dispositivo: no hay procesamiento del lado del servidor, ni registro, ni transmisión por red. El código es abierto y auditable en las herramientas para desarrolladores de tu navegador. Para máxima seguridad, genere contraseñas sin conexión y guárdelas en un administrador de contraseñas de confianza como Bitwarden, 1Password o KeePassXC.

La longitud es el factor más importante en la seguridad de la contraseña: una contraseña de 16 caracteres con solo letras minúsculas (entropía ≈ 75 bits) es más segura que una contraseña de 8 caracteres con todos los tipos de símbolos (entropía ≈ 52 bits). Opta siempre por contraseñas más largas cuando sea posible. Utiliza un administrador de contraseñas para almacenar tus contraseñas generadas para que nunca necesite memorizar cadenas complejas. Habilite la autenticación de dos factores (2FA) en todas las cuentas que la admitan, ya que proporciona una segunda capa de protección crítica incluso si tu contraseña está comprometida. Nunca reutilice contraseñas entre cuentas: los ataques de relleno de credenciales aprovechan esto al probar contraseñas filtradas de un servicio en muchos otros. Evita por completo la información personal en las contraseñas: ni nombres, cumpleaños, nombres de mascotas ni equipos favoritos. Si debe crear una contraseña memorable, utiliza una frase de contraseña de cuatro o más palabras aleatorias (la clave correcta de la batería), que ofrece una alta entropía sin dejar de ser memorable. Audite periódicamente tus cuentas utilizando un servicio como Have I Been Pwned para comprobar si alguna de tus contraseñas ha aparecido en violaciones de datos conocidas.

Para conocer las mejores prácticas de seguridad de contraseñas, consulta laConsejos de ciberseguridad de CISA.