Generador de Contraseñas Seguras
Contraseña aleatoria, frase en español, PIN o pronunciable. Todo se genera en tu navegador con criptografía real, y la fuerza se mide en bits, no con una barrita de colores.
Lista de 2.048 palabras en español sin tildes ni eñes (estándar BIP-39): 11 bits por palabra.
Un PIN protege poco por sí mismo (19.9 bits con 6 dígitos): sirve donde el sistema bloquea tras pocos intentos.
Sílabas consonante-vocal fáciles de leer y dictar. Menos entropía por letra: el medidor lo refleja con honestidad.
Tiempo medio de descifrado
- En línea, con límite 100 intentos/s
- —
- Sin conexión, hash lento 10⁴ intentos/s (bcrypt)
- —
- Sin conexión, hash rápido 10¹⁰ intentos/s (una GPU)
- —
- Clúster de GPU 10¹⁴ intentos/s
- —
Cuatro escenarios porque «cuánto se tarda» depende del atacante: entre el primero y el último hay 12 órdenes de magnitud. Nadie puede darte una sola cifra honesta.
Nada sale de tu navegador. La generación usa crypto.getRandomValues en tu dispositivo. Sin cuentas, sin cookies de la herramienta, sin peticiones: puedes verificarlo en la pestaña Red de las herramientas de desarrollo.
Qué hace fuerte a una contraseña (y qué no)
Una contraseña es fuerte si el número de combinaciones posibles es enorme y todas son igual de probables. Eso es todo. No la hace fuerte «tener un símbolo», ni cambiar la a por la @, ni la creatividad: la hace fuerte la aleatoriedad, y la aleatoriedad se mide en bits de entropía.
La cuenta es corta: con un alfabeto de 76 caracteres (minúsculas, mayúsculas, números y símbolos), cada posición aporta log₂(76) ≈ 6,25 bits. Ocho letras minúsculas dan 37.6 bits; doce caracteres del alfabeto completo, 75; dieciséis, 100. Cada bit duplica el trabajo del atacante: entre 37.6 y 100 bits no hay «el doble de seguro», hay 2⁶² veces más trabajo.
La guía técnica de referencia, la NIST SP 800-63B, es explícita en algo que la mayoría de formularios sigue ignorando: la longitud importa más que las reglas de composición, y exigir «al menos un símbolo y una mayúscula» produce patrones predecibles (mayúscula al principio, «1!» al final) que los programas de ataque prueban primero.
Cuánto se tarda en romperla: la tabla honesta
Habrás visto tablas de «su contraseña se rompe en 5 minutos». Casi ninguna dice a qué velocidad supone que prueba el atacante, y ese dato lo cambia todo: entre adivinar contra un formulario web que bloquea tras unos intentos y un clúster de GPU trabajando sobre una base de datos robada hay doce órdenes de magnitud.
| Contraseña | En línea 10² int./s | Hash lento 10⁴ int./s | Una GPU 10¹⁰ int./s | Clúster 10¹⁴ int./s |
|---|---|---|---|---|
| 8 minúsculas · 37.6 bits | 33 años | 121 días | 10 segundos | menos de 1 segundo |
| 5 palabras · 55 bits | 10⁶ años | 57.084 años | 21 días | 3 minutos |
| 7 palabras · 77 bits | 10¹³ años | 10¹¹ años | 239.428 años | 24 años |
| 16 completos · 100 bits | 10²⁰ años | 10¹⁸ años | 10¹² años | 10⁸ años |
Dos lecturas prácticas. Primera: la frase de cinco palabras que aguanta milenios contra un ataque en línea cae en 3 minutos ante un clúster con hash rápido — por eso para la contraseña maestra de un gestor conviene subir a seis o siete palabras. Segunda: dónde se almacena importa tanto como la contraseña; el mismo secreto protegido con bcrypt resiste un millón de veces más que con un hash rápido, y eso no lo eliges tú sino el servicio. Tu única defensa ante esa incógnita es la entropía.
La fórmula de cada celda es 2^(bits−1) ÷ velocidad: tiempo medio, porque de media el atacante encuentra la clave a mitad del recorrido. Puedes rehacer cualquier celda con una calculadora — esa es la diferencia entre una cifra y una barrita de colores.
Frase de contraseña en español, con matemáticas a la vista
Una frase de contraseña (passphrase) cambia caracteres aleatorios por palabras aleatorias: «bola-peor-aprender-truco-lince» es más fácil de memorizar y de teclear que «fT9#kQ2v», y su fuerza se calcula igual de limpio: la lista tiene 2.048 palabras, así que cada palabra aporta exactamente 11 bits (2¹¹ = 2.048). Cinco palabras, 55 bits; siete, 77.
Aquí está el detalle que casi ningún generador de contraseñas cuenta: los generadores «memorables» de los gestores de contraseñas famosos usan listas en inglés incluso en sus páginas en español. Una frase que no está en tu idioma pierde justo lo que la hacía útil: poderse recordar. Esta herramienta usa la lista española del estándar BIP-39 —2.048 palabras de 3 a 8 letras, sin tildes ni eñes para que se tecleen igual en cualquier teclado— y la de portugués e inglés en sus respectivas versiones de la página.
El origen del método es el Diceware de Arnold Reinhold (1995): elegir palabras tirando dados físicos. La versión digital sustituye los dados por el generador criptográfico del navegador, y la regla de oro se mantiene: las palabras las elige el azar, nunca tú. Una frase «inventada que parece aleatoria» («miPerroFirulais2024») no tiene 44 bits: tiene los poquísimos de las frases que un humano inventaría, y los diccionarios de ataque están llenos de ellas.
La generación ocurre en tu navegador, y puedes comprobarlo
Generar contraseñas en una web ajena exige un acto de fe… salvo que puedas auditarlo. Aquí la comprobación está al alcance de cualquiera: abre las herramientas de desarrollo (F12), ve a la pestaña Red, y genera contraseñas: no aparece ninguna petición. O más drástico: carga la página, desconecta internet y sigue generando. Esta web es un sitio estático sin servidor de aplicación: no hay ningún sitio al que enviar tu contraseña ni base de datos donde guardarla.
La segunda mitad de la honestidad técnica es de dónde sale el azar. Este generador usa crypto.getRandomValues, el generador criptográfico del navegador, alimentado por la entropía del sistema operativo. Nunca Math.random, que está diseñado para ser rápido, no impredecible: su estado interno puede reconstruirse observando unas pocas salidas.
Y un matiz más fino que delata a los generadores de contraseñas descuidados: convertir un número aleatorio de 32 bits en «una letra de un alfabeto de 76» con el resto de la división (valor % 76) introduce un sesgo de módulo: como 2³² no es divisible entre 76, los primeros caracteres del alfabeto salen un poco más a menudo. Es un sesgo pequeño, pero innecesario: este motor usa muestreo por rechazo —descartar la franja final no divisible y volver a sortear—, que elimina el sesgo por completo. Nuestros tests verifican esa propiedad en cada build.
Cuatro mitos que siguen circulando
«Con 12 caracteres es segura»
Doce caracteres ¿de qué alfabeto? Doce minúsculas son 56 bits (una GPU las peina en horas); doce del alfabeto completo son 75 bits (siglos incluso contra hash rápido). La longitud sola no dice nada: la unidad que compara peras con peras son los bits, y por eso el medidor de esta página muestra bits y no una cuenta de caracteres.
«Hay que cambiarla cada tres meses»
Práctica retirada. NIST la desaconseja desde 2017: el cambio forzoso produce «Invierno2025» → «Primavera2026», variantes que un atacante prueba en primer lugar. Se cambia cuando hay indicios de filtración, no por calendario.
«Sustituir letras por símbolos la refuerza»
«c0ntr@señ4» figura en todos los diccionarios de ataque con sus sustituciones incluidas: las herramientas aplican esas mutaciones automáticamente. La fuerza viene del azar, no del disfraz.
«La barrita dice “fuerte”, así que es fuerte»
Los medidores de tres colores esconden sus supuestos: casi ninguno declara la velocidad de ataque con la que calcula, y algunos muy conocidos usan velocidades de hash rápido sin decirlo, con lo que el mismo password sale «se rompe en minutos» en una web y «miles de años» en otra. Cuando veas un tiempo de descifrado sin su velocidad de ataque al lado, desconfía de la cifra entera.
Qué hacer con la contraseña una vez generada
Un buen generador de contraseñas resuelve la mitad del problema; la otra mitad es una contraseña distinta por servicio, y eso, con decenas de cuentas, solo lo sostiene un gestor de contraseñas. Cualquiera de los conocidos sirve —esta página no vende ninguno, así que el consejo no lleva comisión—: la combinación robusta es frase de contraseña memorizada como llave maestra + contraseñas aleatorias de 16 caracteres guardadas en el gestor para todo lo demás.
Dos costumbres complementarias: activa el segundo factor donde exista (convierte una contraseña filtrada en un problema a medias) y, si al pegar una contraseña en un formulario falla «sin motivo», comprueba que no arrastre un carácter invisible — nuestro detector de caracteres invisibles lo localiza al instante. Y si un sistema antiguo rechaza la ñ o las tildes de una frase, el modo de esta página ya genera palabras sin ellas; para otros textos está quitar acentos.
Preguntas frecuentes
¿Es seguro generar una contraseña en una página web?
¿Cuántos caracteres debe tener una contraseña segura?
¿Qué es mejor: una contraseña aleatoria o una frase?
¿Por qué la fuerza se mide en bits y no con «débil/fuerte»?
¿Cada cuánto hay que cambiar la contraseña?
¿Dónde guardo las contraseñas que genere?
Herramientas relacionadas
Carácter Invisible
Genera y detecta caracteres Unicode invisibles.
Generador de Nicks
Nombres decorados con símbolos para juegos y redes.
Contador de Caracteres
Cuenta caracteres con y sin espacios.
Codificador Base64
Codifica y decodifica Base64 con UTF-8 correcto.
Quitar Acentos
Normaliza tildes cuando un sistema no las admite.
Limpiar Texto
Elimina caracteres invisibles y formato sobrante.