Generador de contraseñas

Este generador de contraseñas construye una cadena al azar en tu navegador. La longitud va de 8 a 64 caracteres y, por defecto, son 16. Puedes incluir mayúsculas, minúsculas, números y un juego fijo de símbolos. La cadena no se envía a ningún servidor de Malunea: el sorteo usa la función criptográfica del propio navegador y el resultado se queda en la página hasta que generas otra o cierras la pestaña. Copiarla al portapapeles es un gesto tuyo. Un gestor de contraseñas es mejor sitio para guardarla que un mensaje o una nota suelta.

Al lado del resultado, cuando ya hay una contraseña, la página muestra una estimación de entropía en bits. Es una cuenta de esta herramienta, no un sello de INCIBE ni del NIST. Mide el tamaño del conjunto que has marcado y la longitud, suponiendo que cada carácter sale con la misma probabilidad, que es lo que el sorteo intenta conseguir.

Cómo sale cada carácter

El generador junta el alfabeto que has marcado.

• Mayúsculas: las 26 letras de la A a la Z.
• Minúsculas: las 26 letras de la a a la z.
• Números: los 10 dígitos del 0 al 9.
• Símbolos: los 26 signos `!@#$%^&*()_+-=[]{}|;:,.<>?`.

Con las cuatro casillas activas, el conjunto tiene 26 + 26 + 10 + 26 = 88 símbolos. Si quitas una casilla, el conjunto mengua y la estimación de bits baja. Si no dejas ninguna, la página pide que marques al menos una y no genera nada.

Para cada posición pide al navegador un entero de 32 bits con `crypto.getRandomValues`. El entero va de 0 a 2³² − 1. Hay 4.294.967.296 valores posibles. Repartirlos con un resto (el entero módulo 88) dejaría unos símbolos un poco más frecuentes que otros, porque 4.294.967.296 no es múltiplo de 88. El cociente es 48.806.446,5454…. La parte entera, 48.806.446, multiplicada por 88 da 4.294.967.248. Ese es el límite que usa el código. Si el entero sale igual o mayor que 4.294.967.248, se descarta y se pide otro. Solo entonces se toma el resto de dividir entre 88, o entre el tamaño del conjunto que tengas marcado. Con 88 símbolos se tiran 48 valores de cada 4.294.967.296, los que habrían hecho más probable a una parte del alfabeto. Cada uno de los 88 signos queda con 48.806.446 huecos posibles. El mismo rechazo se aplica si el conjunto es más pequeño: el límite es siempre el múltiplo del tamaño del alfabeto que no se pasa de 2³².

Eso es lo que hay. No hay una lista de contraseñas «bonitas», ni una semilla escrita en el código, ni una llamada de red en el momento de pulsar el botón.

Ejemplo: 16 caracteres y las cuatro casillas

Longitud 16 y alfabeto de 88. La entropía de una cadena en la que cada carácter es independiente y uniforme es longitud × log₂(tamaño del alfabeto).

log₂(88) vale unos 6,46. Por 16 posiciones: unos 103,35 bits. La página redondea esa cuenta a un decimal, en formato español. 103 bits no son una puntuación escolar. Son el tamaño del espacio: 88¹⁶ cadenas distintas, todas igual de posibles si el sorteo se ha hecho así. Quien atacara la contraseña a ciegas, sin otro fallo del servicio, recorrería ese espacio.

Otras combinaciones de la misma calculadora, para comparar la cuenta y no para coleccionar contraseñas:

• 8 caracteres y los 88 símbolos: 8 × log₂(88) ≈ 51,68 bits. Cabe en el mínimo del deslizador y es una cadena corta.
• 16 caracteres y solo minúsculas (26 letras): 16 × log₂(26) ≈ 75,21 bits. Más larga en apariencia humana que muchas claves con símbolos, y aun así por debajo de los 103 bits del alfabeto completo a la misma longitud.
• 64 caracteres y los 88 símbolos: 64 × log₂(88) ≈ 413,40 bits. Es el tope del deslizador. Sirve para una clave que va a guardar un gestor, no para memorizar.

La longitud pesa más que adornar una clave corta con un símbolo. Por eso el valor inicial es 16 y el tope es 64. Las casillas de tipos existen porque muchos formularios siguen exigiendo mayúscula, número y signo. El generador te deja cumplir esa norma del sitio web. No significa que un signo extra convierta una cadena de 8 caracteres en una clave larga.

Dos guías que no dicen lo mismo, y cómo se usan aquí

INCIBE, en la guía de ciudadanía sobre contraseñas, recomienda longitud (al menos 8 o 10 caracteres, y cuanto más larga mejor), mezcla de tipos, evitar datos personales y palabras de diccionario, no reutilizar claves y usar un gestor. En esa misma página recomienda cambiarlas de forma periódica, al menos cada seis meses. Su hoja de política de 2024 sube el listón de longitud: al menos doce caracteres y, como recomendación, catorce, con mezcla de tipos, sin reutilizar entre el trabajo y casa, y con cambio periódico según lo crítica que sea la cuenta.

El NIST, en la SP 800-63B (la revisión publicada dentro de la SP 800-63-4), escribe otra cosa para quien verifica contraseñas en un sistema. Si la contraseña es el único factor, el mínimo que exige es 15 caracteres. Si forma parte de una autenticación de varios factores, el mínimo es 8. Pide que no se impongan más reglas de composición, del estilo «al menos un número y un símbolo». Y pide que no se obligue a cambiar la contraseña por calendario: el cambio se fuerza cuando hay indicios de que el autenticador se ha comprometido. También pide comparar la clave nueva con una lista de contraseñas frecuentes, filtradas o previsibles.

Esta página no es un verificador de un servicio público estadounidense ni una política interna de INCIBE. Genera una cadena aleatoria. El criterio que sigue el deslizador está más cerca de la longitud que de la composición: 16 caracteres por defecto, por encima de los 15 del NIST para un único factor y de los 14 que INCIBE recomienda en la hoja de 2024. Las casillas de símbolos se pueden quitar si el sitio de destino las rechaza o si prefieres una frase larga. Lo que no hace el generador es avisar de que una contraseña que tú escribas está en una filtración: aquí no se escribe una contraseña a mano, se sortea una nueva.

Sobre el calendario de cambios, las dos fuentes discrepan. INCIBE habla de rotar. El NIST dice que un verificador no debe exigir el cambio periódico. Para una clave aleatoria guardada en un gestor, el motivo claro para sustituirla es que el servicio haya podido exponerla, que la hayas tecleado en un sitio que no era, o que alguien más la haya visto. Cambiarla cada seis meses «por si acaso», sin un incidente, es el consejo de INCIBE y no es lo que exige el NIST. Esta guía te deja las dos citas y no convierte ninguna en un temporizador.

Dónde guardarla y qué no repetir

Una contraseña distinta para cada cuenta evita que una filtración abra el correo, el banco y la tienda a la vez. El generador sirve para eso: cada pulsación es una cadena nueva, independiente de la anterior. El sitio donde recordarlas, si son de este estilo, es un gestor que cifre el almacén. INCIBE lo recomienda tanto en la guía de ciudadanía como en la de empresas: una clave maestra que sí puedas recordar, y el resto aleatorio. La clave maestra no la fabriques con este deslizador si no vas a poder guardarla fuera de tu memoria. Una frase larga, que no sea un refrán ni el nombre del equipo de fútbol, encaja mejor con lo que una persona puede retener. El NIST insiste en la longitud precisamente porque la gente, obligada a cumplir reglas de símbolos, acaba en variantes previsibles de la palabra «password».

El indicador en bits asume que el atacante no sabe nada salvo el tamaño del alfabeto y la longitud. Si la cadena se reutiliza, si se apunta en un correo o si el servicio la guarda mal, los bits no describen el riesgo real. Tampoco describen el doble factor. Una clave larga más un segundo factor es otra situación, y el propio NIST baja el mínimo de longitud a 8 cuando la contraseña es solo una parte de ese doble factor. Ocho caracteres siguen siendo el suelo del deslizador, no el ejemplo que esta página pone por delante.

Qué no sale de aquí

No hay cuenta de usuario, no hay historial de contraseñas en un servidor de Malunea y no hay «fortaleza» certificada. La cifra de bits es la fórmula longitud × log₂(tamaño) con los alfabetos de arriba. Si un formulario rechaza alguno de los 26 símbolos, desmarca esa casilla o genera otra: el sorteo no sabe qué signos admite el sitio de destino. Y si el sitio limita la longitud a menos de 15, la limitación es suya. Puedes generar la más larga que te deje y tratar ese tope como una debilidad del formulario, no como una virtud de la clave.