¿Qué es la entropía y por qué importa?

La entropía mide la imprevisibilidad en bits. Cada bit adicional duplica el número de intentos que un atacante debe hacer. Una contraseña con 40 bits de entropía es débil; 80 bits es fuerte para la mayoría de propósitos; 100+ bits está fuera del alcance de cualquier atacante práctico. La herramienta calcula la entropía como longitud × log2(tamañoDelPool) — el máximo teórico para una contraseña generada aleatoriamente de ese pool.

¿Qué precisión tienen las estimaciones de tiempo de descifrado?

Las estimaciones asumen un ataque de fuerza bruta que prueba cada contraseña posible en el pool. Son útiles para comparar la fuerza de las contraseñas pero optimistas en la práctica — los atacantes reales usan ataques de diccionario, análisis de patrones y bases de datos de contraseñas filtradas. Como estas contraseñas se generan aleatoriamente sin patrones, la estimación de fuerza bruta es precisa. Para contraseñas elegidas por humanos, los tiempos reales de descifrado suelen ser mucho más cortos.

¿Debería excluir caracteres ambiguos?

Actívalo si vas a escribir la contraseña manualmente, leerla en voz alta o apuntarla. Elimina caracteres como 0/O, 1/l/I, 5/S, 2/Z, 8/B que se confunden fácilmente. Reduce ligeramente el tamaño del pool (y por tanto la entropía), pero la ganancia de usabilidad práctica normalmente supera la pequeña pérdida de entropía. Para contraseñas guardadas solo en un gestor, déjalo desactivado.

¿Qué longitud de contraseña debería usar?

Para cuentas online (email, redes sociales): 16 caracteres mínimo. Para cuentas de alto valor (banca, email principal, carteras cripto): 20+ caracteres. Para contraseñas maestras que protegen otras contraseñas: 24+ caracteres. La orientación moderna enfatiza la longitud sobre la complejidad — una contraseña de 24 caracteres solo con minúsculas es más fuerte que una de 8 caracteres con todos los símbolos.

¿La herramienta guarda o transmite mi contraseña?

No. La contraseña se genera enteramente en tu navegador usando crypto.getRandomValues(). Nunca se envía a un servidor, nunca se registra y nunca se persiste en ningún sitio. Cuando cierras o refrescas la página, la contraseña desaparece a menos que la hayas guardado tú mismo.

¿Son las contraseñas seguras para usar en cuentas reales?

Sí. crypto.getRandomValues() es un CSPRNG certificado (generador de números pseudoaleatorios criptográficamente seguro) adecuado para la generación de claves criptográficas. Las contraseñas que produce esta herramienta son indistinguibles de cadenas verdaderamente aleatorias. Como siempre, guárdalas en un gestor de contraseñas de confianza y nunca las reutilices entre cuentas.

¿Por qué no puedo desactivar todos los conjuntos de caracteres?

Al menos un conjunto debe estar activo para producir una contraseña. Si pudieras desactivarlos todos, el generador no tendría caracteres de los que tirar. La interfaz lo impide automáticamente — hacer clic en el último toggle activo no tiene efecto.

¿Por qué son importantes los símbolos?

Añadir símbolos aumenta el tamaño del pool de 62 (letras + números) a 94 caracteres — un aumento del 52%. En términos de entropía, cada carácter contribuye log2(94) ≈ 6.55 bits versus log2(62) ≈ 5.95 bits. Sobre 20 caracteres, eso es una diferencia de 12 bits — un aumento de 4,000× en el espacio de búsqueda. Los símbolos vale la pena activarlos a menos que un sitio específico los prohíba.

Ad Slot — Header Banner

CSPRNG · Análisis de Entropía · 100% Privado

Generador de Contraseñas Seguras y Analizador de Entropía

Genera contraseñas verdaderamente aleatorias usando la Web Crypto API — las mismas primitivas criptográficas que tu navegador usa para HTTPS. Ajusta la longitud y los conjuntos de caracteres, opcionalmente excluye caracteres ambiguos, y ve el análisis de entropía en tiempo real con estimaciones de tiempo de descifrado. Nada se transmite.

#CSPRNG#Entropía#Grado AES#Sin Conexión#Privado#Gratis

Tu contraseña generada

Opciones

Longitud20

664128

Incluir

Excluir caracteres ambiguos

Elimina 0, O, 1, l, I, 5, S, 2, Z, 8, B

Entropía0 bits

Muy débilPool: caracteres únicos

Tiempo estimado de descifrado

Tiempos en el caso medio (la mitad del espacio de claves). Asume un ataque de fuerza bruta contra el pool exacto de caracteres.

Ataque online (limitado)

less than a second

Ataque offline (hash rápido)

less than a second

Ataque offline (hash lento)

less than a second

Clúster de estado-nación

less than a second

Ad Slot — Below the Fold

Cómo generar una contraseña segura en 3 pasos

Criptográficamente aleatoria, nunca transmitida.

Establece la longitud

Desliza entre 6 y 128 caracteres. Para cuentas online, se recomiendan 16+; para contraseñas maestras, 20+ con todos los conjuntos de caracteres. Más largo siempre es más fuerte — una contraseña de 20 caracteres es enormemente más segura que una de 8.

Elige los conjuntos de caracteres

Activa mayúsculas, minúsculas, números y símbolos. Al menos un conjunto debe permanecer activado. Activa 'Excluir ambiguos' si vas a escribir la contraseña a mano o leerla en voz alta — elimina caracteres fácilmente confundibles como 0 y O, 1 y l.

Copia y guarda de forma segura

Haz clic en Copiar para obtener la contraseña. Pégala en un gestor de contraseñas inmediatamente — este es el lugar más seguro. Refrescar regenera una nueva contraseña; tus opciones se mantienen. Nunca guardes contraseñas en archivos de texto plano.

Preguntas Frecuentes

Totalmente criptográficamente aleatorias. El generador usa crypto.getRandomValues() de la Web Crypto API, que es el CSPRNG del navegador (generador de números pseudoaleatorios criptográficamente seguro). Esta es la misma fuente de aleatoriedad usada para las claves de sesión HTTPS y se considera adecuada para aplicaciones criptográficas.

Acerca del Generador de Contraseñas Seguras

Everything you need to know

Por qué la generación de contraseñas en el navegador es más segura

Los generadores de contraseñas basados en servidor transmiten tus opciones elegidas y reciben la contraseña generada de vuelta por la red. Incluso con HTTPS, eso significa que la contraseña existe en la memoria del servidor al menos momentáneamente — un riesgo teórico de exposición. Esta herramienta genera contraseñas enteramente en tu navegador usando crypto.getRandomValues(), la misma primitiva criptográfica que protege la conexión HTTPS de tu banco. Nada se envía, nada se registra, nada se almacena.

Entendiendo la entropía de contraseñas

La entropía se mide en bits y representa el número de elecciones aleatorias que un atacante debe adivinar. Una contraseña extraída uniformemente de un pool de N caracteres a longitud L tiene entropía L × log2(N) bits. Por ejemplo, una contraseña de 12 caracteres de un pool de 62 caracteres (letras + números) tiene 12 × 5.95 ≈ 71 bits de entropía. Duplicar la longitud duplica la entropía; duplicar el tamaño del pool añade ~1 bit por carácter. Por eso la longitud importa más que la complejidad — pero ambas ayudan.

Cómo funcionan las estimaciones de tiempo de descifrado

Los ataques de fuerza bruta prueban cada contraseña posible en secuencia hasta encontrar la correcta. De media, tienen éxito tras buscar la mitad del espacio de claves. Dada la entropía E de una contraseña (en bits) y la tasa de intentos R de un atacante (en intentos por segundo), el tiempo medio de descifrado es 2^(E−1) / R segundos. La herramienta muestra cuatro modelos de atacante: un atacante online limitado (10^3 intentos/seg), un clúster de estado-nación (10^14 intentos/seg), y dos escenarios offline que abarcan desde hash lento (10^4) hasta hash rápido acelerado por GPU (10^11). La brecha entre atacantes online y offline a menudo es de 10+ órdenes de magnitud — por eso la seguridad de las cuentas online depende mucho más de la limitación de tasa que de la fuerza de la contraseña por sí sola.

Mejores prácticas para la gestión de contraseñas

Usa una contraseña única para cada cuenta — la reutilización es el mayor riesgo de contraseña. Guarda las contraseñas en un gestor de contraseñas reputado (Bitwarden, 1Password, KeePassXC, o el gestor integrado de tu navegador). Activa la autenticación de dos factores siempre que sea posible. Nunca compartas contraseñas por email, chat o SMS. Rota las contraseñas inmediatamente si un servicio que usas reporta una brecha. Para cuentas de alto valor (email principal, banca, cripto), usa contraseñas de 24+ caracteres — la longitud extra no te cuesta nada si usas un gestor, y aumenta drásticamente el espacio de búsqueda.