Generar una contraseña segura

En 2026, las recomendaciones habituales (ANSSI, NIST, OWASP) giran en torno a 12 caracteres mínimo para una cuenta estándar, y 16 caracteres o más para una cuenta sensible (administrador, gestor de contraseñas, mensajería principal). Con un alfabeto completo de 94 caracteres imprimibles, una contraseña de 12 caracteres alcanza ya alrededor de 78 bits de entropía, lo que resiste al ataque por fuerza bruta offline en hardware doméstico.

La longitud se impone con creces. Doblar la longitud de una contraseña multiplica su espacio de búsqueda por un factor enorme, mientras que añadir una clase de caracteres solo amplía el alfabeto. Una frase contraseña de 20 caracteres en minúsculas es más sólida que una palabra de 8 caracteres con mayúsculas, cifras y símbolos. Opte, por tanto, por contraseñas largas antes de intentar hacerlas exóticas.

La entropía mide la imprevisibilidad de la contraseña, expresada en bits. Para una contraseña verdaderamente aleatoria de longitud L extraída de un alfabeto de N caracteres, la entropía vale L × log2(N). Una contraseña de 12 caracteres tomados al azar entre 94 símbolos ofrece unos 78 bits. Por debajo de 60 bits, la contraseña se considera atacable offline. Por encima de 80 bits, queda fuera del alcance práctico.

No. La generación se realiza en su navegador con ayuda de crypto.getRandomValues(), la API criptográficamente segura expuesta por los navegadores modernos. Ninguna contraseña se envía al servidor, ni se registra, ni se almacena en caché. Puede utilizar la herramienta sin conexión tras la carga inicial de la página, lo que la convierte en una herramienta segura para generar secretos sensibles.

Las recomendaciones han evolucionado. El NIST y la ANSSI ya desaconsejan la rotación automática regular sin motivo: empuja a los usuarios a elegir variantes débiles. Cambie una contraseña solo si sospecha un compromiso, si aparece en una filtración (compruebe en Have I Been Pwned), o si se comparte con alguien que ya no debe tener acceso. Utilice más bien contraseñas largas, únicas por sitio, almacenadas en un gestor.

Los ataques modernos no prueban las combinaciones una a una, parten de diccionarios enormes (palabras, nombres, fechas, patrones de sustitución como @ por a) y, después, aplican reglas de mutación. Motdepasse123! cae en pocos segundos. Prefiera una contraseña verdaderamente aleatoria generada por una herramienta como esta, o una frase contraseña formada por varias palabras independientes tomadas al azar (método diceware).