Generador de contraseñas seguras

Qué hace segura a una contraseña

No es la complejidad aparente, es la entropía: la cantidad de combinaciones posibles que tendría que probar alguien para acertar. Se mide en bits, y cada bit adicional dobla el trabajo del atacante.

La longitud pesa mucho más que los símbolos raros. Una contraseña de 20 caracteres solo con minúsculas es más difícil de romper que una de 8 llena de signos. Por eso la recomendación actual es sencilla: 20 caracteres o más, y distinta en cada servicio.

El clásico P@ssw0rd! parece complicado y en realidad es de los primeros patrones que prueba cualquier programa de descifrado: sustituir letras por símbolos parecidos es una técnica tan conocida que los diccionarios de ataque ya la incorporan.

Los tres modos, y cuándo usar cada uno

Contraseña aleatoria

Máxima entropía por carácter. Es la mejor opción cuando vas a guardarla en un gestor y nunca tendrás que teclearla de memoria. Con 20 caracteres y los cuatro juegos activados superas los 120 bits, muy por encima de lo que hoy es atacable por fuerza bruta.

Frase de paso

Varias palabras al azar unidas por guiones. La idea viene del método diceware: se sacrifica algo de densidad a cambio de que sea posible recordarla y teclearla sin errores. Nuestra lista tiene 843 palabras en español sin tildes, así que cada palabra aporta 9,7 bits: ocho palabras rondan los 78 bits, más que suficiente para una clave maestra que sí tengas que memorizar.

PIN

Solo dígitos. Es intrínsecamente débil —cada dígito aporta 3,3 bits— y solo tiene sentido donde el sistema limita los intentos, como el móvil o la tarjeta. No lo uses para nada que esté expuesto en internet.

Por qué no debes reutilizar contraseñas

Cada año se filtran bases de datos de servicios grandes. Cuando ocurre, los atacantes prueban automáticamente esas mismas combinaciones de correo y contraseña en decenas de servicios más. Es lo que se llama credential stuffing, y funciona precisamente porque casi todo el mundo repite contraseña.

Una contraseña distinta por servicio convierte una filtración en un problema aislado en lugar de en la pérdida de todas tus cuentas a la vez.

Dónde guardarlas

Nadie memoriza cuarenta contraseñas de veinte caracteres, y no hace falta. Un gestor las guarda cifradas y las rellena por ti; solo tienes que recordar una clave maestra —y para esa, la frase de paso de aquí arriba es justo lo que necesitas. Los navegadores modernos incluyen un gestor gratuito y decente, y varios de los antivirus que hemos analizado incorporan el suyo en los planes superiores.

Y por encima de todo: activa la verificación en dos pasos donde puedas. Aunque alguien consiga tu contraseña, sin el segundo factor no entra.

Cómo se genera aquí

Usamos crypto.getRandomValues, el generador de números aleatorios criptográficos del propio navegador, no el Math.random habitual, que es predecible. Se descarta el sesgo del módulo, se garantiza al menos un carácter de cada tipo activado y después se baraja el resultado con un Fisher-Yates, para que la posición de cada tipo tampoco sea previsible.

El tiempo de descifrado que ves está calculado suponiendo un atacante capaz de probar cien mil millones de combinaciones por segundo, que es el orden de magnitud de una granja de GPU actual contra un hash rápido. Contra un hash lento y bien configurado el tiempo real sería muchísimo mayor.