Generador de contraseñas seguras

Por qué una contraseña aleatoria de verdad importa

La mayoría de las contraseñas que las personas inventan siguen patrones: una palabra del diccionario, una fecha de nacimiento, una secuencia de teclado. Los programas que prueban contraseñas robadas conocen esos patrones y los prueban primero — por eso una contraseña "creativa" muchas veces no es tan segura como parece.

Este generador usa el generador aleatorio criptográfico del propio navegador (el mismo que usan los bancos y los sistemas operativos), no una función aleatoria común. Cada carácter o palabra se elige con la misma probabilidad, sin sesgos humanos.

El modo frase existe porque una contraseña de caracteres muy larga es difícil de escribir a mano (por ejemplo, en un router o una smart TV). Varias palabras al azar separadas por guiones son igual de fuertes y mucho más cómodas de tipear.

Un consejo final: no reutilices la misma contraseña en varios sitios. Si uno de ellos sufre una filtración, las demás cuentas quedan expuestas. Un gestor de contraseñas guarda una distinta para cada sitio sin que tengas que recordarlas todas.

Caracteres o frase: cuál te conviene

Las dos opciones del generador resuelven problemas distintos, y elegir bien depende de una sola pregunta: ¿vas a tener que recordar esta contraseña, o la va a guardar un gestor?

Si la guarda un gestor de contraseñas —que es lo ideal para la mayoría de tus cuentas— usá el modo por caracteres y ponelo largo, 20 o más. Nunca la vas a leer ni escribir, así que su fealdad no tiene ningún costo y su fortaleza es máxima.

Si la vas a memorizar —la clave maestra del gestor, la de tu computadora, la de tu correo, el WiFi de casa— usá el modo frase. Cuatro o cinco palabras al azar son tan fuertes como una cadena de símbolos equivalente, con la diferencia de que las vas a recordar, las vas a poder escribir sin errores en el teclado de un celular o en el control de un televisor, y las vas a poder dictar por teléfono sin deletrear cada signo.

Un detalle contraintuitivo pero central: la frase tiene que ser generada al azar, no inventada por vos. Una frase que se te ocurre a vos usa palabras relacionadas entre sí, de tu vocabulario y tus intereses, y eso reduce drásticamente su fortaleza real. mi-perro-se-llama-toby es larga y no sirve; cuatro palabras sin relación entre sí, sí.

Qué mide el indicador de fortaleza

El medidor no evalúa si la contraseña "parece" complicada: calcula entropía, que es la cantidad de combinaciones que alguien tendría que probar para dar con ella. Se expresa en bits, y cada bit adicional duplica el trabajo del atacante.

Como referencia práctica: por debajo de 50 bits es débil para cualquier cosa que importe, entre 60 y 70 está bien para cuentas comunes, y por encima de 80 es sólido para lo importante — correo, banco, clave maestra del gestor.

Lo que se ve enseguida al mover los controles es la lección central de todo el asunto: la longitud sube la entropía mucho más rápido que la variedad de caracteres. Agregar una palabra a una frase, o cuatro caracteres a una contraseña, hace más por la seguridad que cualquier símbolo raro. La entropía crece de forma lineal con el tamaño del alfabeto y exponencial con la longitud. Está desarrollado en la guía sobre frases de contraseña frente a contraseñas complejas.

De dónde sale el azar

Una contraseña generada aleatoriamente vale exactamente lo que valga su fuente de azar, y no todas las fuentes son iguales. Este generador usa crypto.getRandomValues, la interfaz de aleatoriedad criptográfica del navegador, alimentada por el generador de entropía del sistema operativo.

La alternativa habitual, Math.random, es un generador pseudoaleatorio pensado para juegos y animaciones: produce una secuencia determinista a partir de un estado interno, y quien conozca ese estado puede predecir los valores siguientes. Para barajar cartas está perfecto; para generar una contraseña, no.

Y como todo el proceso ocurre en tu equipo, la contraseña no viaja por internet ni se guarda en ningún lado. En un generador que trabaje en un servidor, tu contraseña nueva existe —aunque sea un instante— en una máquina que no controlás, y viaja por la red para llegarte. Acá se genera y se queda en tu navegador; cerrás la pestaña y no queda rastro.

Lo que importa más que la contraseña en sí

Dos costumbres pesan más que cualquier decisión sobre símbolos o palabras:

No repitas contraseñas entre sitios. Es lo más importante de todo. Cuando un servicio cualquiera sufre una filtración —y ocurre constantemente— los atacantes prueban automáticamente esa combinación de correo y contraseña en decenas de servicios populares. Una contraseña única por sitio convierte una filtración ajena en un problema aislado en lugar de un derrumbe en cadena.

Activá la verificación en dos pasos, sobre todo en tu correo. El correo es la llave maestra de todo lo demás: quien lo controla puede restablecer la contraseña de cualquier otra cuenta tuya.

Para poder cumplir lo primero hace falta un gestor de contraseñas. Es la única forma realista de sostener cincuenta contraseñas distintas y fuertes. Con un gestor, casi todas pueden ser cadenas largas y aleatorias que nunca vas a leer; las frases quedan para las tres o cuatro que sí tenés que saber de memoria.

Un apunte sobre cambiarlas seguido

La costumbre de obligar a cambiar la contraseña cada 90 días quedó desaconsejada, incluso por el NIST, que fija buena parte de los estándares que después adopta todo el mundo. El motivo es práctico: cuando se obliga a cambiar por calendario, la gente produce variaciones triviales —Verano2025, Verano2026— que son más débiles y más predecibles que la contraseña original.

El criterio actual es cambiarla cuando hay un motivo: una filtración conocida, la sospecha de que alguien la vio, o el haberla reutilizado en otro sitio. Una contraseña fuerte y única no necesita rotar por rutina.