Cómo se usa
- Define la Longitud con el control deslizante o con el campo numérico. 16 caracteres o más es un buen valor predeterminado para las contraseñas que guardas en un gestor de contraseñas.
- Elige los tipos de caracteres: Mayúsculas, Minúsculas, Dígitos y Símbolos. La opción Incluir todos los tipos seleccionados está activada de forma predeterminada y pone al menos un carácter de cada tipo en cada contraseña.
- Si hace falta, activa Excluir caracteres similares (como l, 1 y O) o Excluir símbolos ambiguos, o escribe en Excluir caracteres los caracteres concretos que rechace un sitio.
- Haz clic en Generar, revisa la Seguridad y la entropía y copia una sola contraseña o todas con Copiar todo.
Qué hace que una contraseña sea segura
En una contraseña generada aleatoriamente, la seguridad se mide como entropía: length × log2(pool size) bits, donde length es la longitud y pool size, el número de caracteres posibles entre los que se elige. Cada bit adicional duplica el número de intentos necesarios para adivinarla. La longitud multiplica la entropía, mientras que un conjunto mayor de caracteres posibles solo añade un poco por carácter, así que gana la longitud: una contraseña de 16 letras minúsculas tiene unos 11 millones de veces más combinaciones posibles que una de 8 caracteres que mezcla los cuatro tipos.
| Longitud | Caracteres | Conjunto | Entropía |
|---|---|---|---|
| 4 | Dígitos (un PIN) | 10 | 13,3 bits |
| 8 | Minúsculas | 26 | 37,6 bits |
| 8 | Los cuatro tipos | 89 | 51,8 bits |
| 12 | Letras y dígitos | 62 | 71,5 bits |
| 16 | Minúsculas | 26 | 75,2 bits |
| 16 | Los cuatro tipos | 89 | 103,6 bits |
| 20 | Los cuatro tipos | 89 | 129,5 bits |
Aquí, los cuatro tipos juntos dan un conjunto de 89 caracteres: 26 + 26 + 10 + 27 símbolos. La herramienta muestra la entropía redondeada a la baja en bits enteros. Estas cifras solo valen para contraseñas aleatorias; una contraseña inventada por una persona tiene mucha menos entropía de lo que sugiere su longitud.
Qué recomienda NIST SP 800-63B
NIST SP 800-63B, la directriz federal de Estados Unidos sobre autenticación digital, se dirige a los servicios que verifican contraseñas. Su revisión actual, SP 800-63B-4, establece que estos servicios:
- deben exigir al menos 15 caracteres cuando la contraseña es el único factor, u 8 cuando se combina con otro factor, y deberían permitir al menos 64 caracteres;
- no deben imponer reglas de composición como "una mayúscula, un dígito y un símbolo" ni cambios periódicos, pero sí deben obligar a cambiar la contraseña cuando haya indicios de que se ha visto comprometida;
- deben comparar las contraseñas nuevas con una lista de bloqueo de contraseñas de uso común, previsibles o comprometidas;
- deberían aceptar todos los caracteres ASCII imprimibles y el espacio, y permitir pegar para que funcionen los gestores de contraseñas.
Para los usuarios, la lección es la misma: lo que importa es la longitud y la aleatoriedad, no las sustituciones previsibles como P@ssw0rd1.
Gestores de contraseñas y frases de contraseña
Una contraseña reutilizada suele ser un riesgo mayor que una contraseña corta: tras una filtración, los atacantes prueban en otros sitios los pares de correo electrónico y contraseña filtrados (lo que se conoce como credential stuffing). Usa una contraseña aleatoria distinta para cada cuenta y deja que un gestor de contraseñas las recuerde; así, una contraseña de 20 caracteres no te cuesta más esfuerzo que una de 8.
Para las pocas contraseñas que escribes de memoria, como la contraseña maestra del gestor, es más cómoda una frase de contraseña: palabras elegidas aleatoriamente, por ejemplo con dados y la lista larga de palabras de la EFF. Cada palabra de sus 7776 entradas aporta unos 12,9 bits, así que seis palabras dan unos 77,5 bits. Esta herramienta crea contraseñas de caracteres, no frases de contraseña; para claves de API y otros secretos que usan las máquinas, utiliza el generador de Base64 aleatorio.
Cómo funciona este generador
Las contraseñas se crean en tu dispositivo con crypto.getRandomValues(), el generador de números aleatorios criptográficamente seguro del navegador, y nunca se envían ni se almacenan. Un simple módulo haría que algunos caracteres fueran ligeramente más probables, así que la herramienta usa muestreo por rechazo: los valores aleatorios de 32 bits iguales o superiores al mayor múltiplo del tamaño del conjunto se descartan y se vuelven a generar, de modo que todos los caracteres tienen exactamente la misma probabilidad.
Excluir caracteres similares elimina i l 1 L o 0 O, algo útil cuando una contraseña se lee en voz alta o se teclea desde un papel, como ocurre con las claves wifi. Excluir símbolos ambiguos elimina los paréntesis, corchetes, llaves y corchetes angulares, la barra, la virgulilla (~) y , ; : ., que algunos formularios, shells y archivos de configuración manejan mal, y deja ! @ # $ % ^ & * - _ = + ?. Ambas opciones reducen el conjunto de caracteres posibles, así que añade uno o dos caracteres de longitud para compensar.
Preguntas frecuentes
¿Qué longitud debe tener una contraseña?
Al menos 15 caracteres para una cuenta protegida solo por contraseña, que es el mínimo que fija NIST SP 800-63B-4 para las contraseñas de un solo factor. Con un gestor de contraseñas, usar de 16 a 24 caracteres aleatorios no te cuesta nada. Para las contraseñas que escribes a menudo, plantéate una frase de contraseña de cinco o seis palabras aleatorias.
¿Es seguro usar una contraseña generada en un sitio web?
crypto.getRandomValues(), y las contraseñas no se transmiten, no se registran ni se guardan. Copia la que necesites directamente en tu gestor de contraseñas.¿Qué significa la entropía en bits?
Es el logaritmo en base 2 del número de contraseñas que puede generar tu configuración. 80 bits significan 2 elevado a 80 contraseñas posibles, y cada bit adicional duplica el trabajo necesario para adivinarla. Describe cómo se generó la contraseña, así que solo es aplicable a contraseñas aleatorias.
¿Debo cambiar mis contraseñas con regularidad?
No según un calendario fijo. NIST SP 800-63B-4 indica a los servicios que no obliguen a hacer cambios periódicos, porque la gente responde con variaciones previsibles. Cambia una contraseña cuando un servicio informe de una filtración, cuando aparezca en una fuga de datos o cuando sospeches que otra persona la conoce.
¿Exigir todos los tipos de caracteres hace más segura una contraseña?
No. La opción Incluir todos los tipos seleccionados, activada de forma predeterminada, solo garantiza que la contraseña la acepten los sitios con reglas de composición. La herramienta descarta y vuelve a generar las contraseñas a las que les falta algún tipo seleccionado, lo que excluye algunas combinaciones y reduce ligeramente la entropía real, sobre todo en contraseñas cortas, de modo que la cifra mostrada es un límite superior. Aumentar la longitud es la mejor forma de ganar seguridad.