Generador de contraseñas seguras

Contraseñas seguras, generadas en tu dispositivo

El generador de contraseñas de Fileopia crea contraseñas aleatorias, frases de contraseña fáciles de recordar y PIN numéricos con un clic. Cada carácter lo elige el generador de números aleatorios criptográficamente seguro de tu navegador (crypto.getRandomValues de la Web Crypto API), con muestreo por rechazo para que todos los caracteres tengan exactamente la misma probabilidad. No se envía nada a ningún servidor: las contraseñas solo existen en tu pantalla y en tu portapapeles, y la página sigue funcionando con la conexión a internet desactivada.

Cada resultado muestra su entropía en bits, una valoración de seguridad en lenguaje sencillo y una estimación de cuánto tardaría un ataque de fuerza bruta. Puedes generar hasta 500 a la vez, copiarlas una a una o todas juntas, o descargarlas como archivo de texto. No hay cuenta, ni correo, ni intentos de venderte un gestor de contraseñas.

Qué puedes generar

• Contraseña aleatoria: de 4 a 128 caracteres entre minúsculas, mayúsculas, dígitos y símbolos. Cada conjunto activado aparece al menos una vez, lo que cumple las normas de contraseñas de la mayoría de webs.
• Frase de contraseña: de 3 a 12 palabras aleatorias de la lista larga de la EFF (7776 palabras en inglés), con separador a elegir (guion, espacio, punto, guion bajo, ninguno o un dígito aleatorio entre palabras), mayúsculas opcionales y un número opcional. Fácil de escribir en el móvil y fácil de recordar.
• PIN: dígitos aleatorios para desbloquear el móvil, tarjetas, códigos de puertas y códigos de respaldo de la verificación en dos pasos.
• Evitar caracteres parecidos: quita I, l, 1, O, 0, o y | para que las contraseñas que leas en voz alta o copies de un papel no se confundan.
• Excluir caracteres: quita los símbolos que rechace una web, como comillas, corchetes o espacios.
• Generación por lotes: hasta 500 contraseñas a la vez para dar de alta cuentas o crear datos de prueba, descargables en TXT.
• Comprobador de seguridad: escribe una contraseña existente para ver una estimación aproximada de su seguridad; detecta las contraseñas más comunes, palabras del diccionario, años y secuencias del teclado. Nunca sale de la página.

Cómo crear una contraseña segura

• Elige Contraseña aleatoria para las cuentas que guardes en un gestor de contraseñas, o Frase de contraseña para las pocas contraseñas que debes recordar (el inicio de sesión del ordenador, la contraseña maestra del gestor).
• Fija la longitud: 16 caracteres o 5–6 palabras es un buen valor por defecto.
• Deja activados todos los conjuntos de caracteres salvo que una web los restrinja; marca *Evitar caracteres parecidos* si la vas a escribir a mano.
• Haz clic en el botón Copiar de una contraseña y pégala en el formulario de registro; después guárdala en tu gestor de contraseñas o en el navegador.
• Haz clic en Regenerar para obtener una tanda nueva, o en Descargar lista para muchas a la vez.

¿Cuánta seguridad es suficiente?

La seguridad de una contraseña se mide en bits de entropía: el número de intentos que necesitaría un atacante, expresado como potencia de dos. Cada bit extra duplica el trabajo. La entropía de una contraseña aleatoria es su longitud × log₂(tamaño del conjunto de caracteres). Con los 94 caracteres imprimibles, cada carácter añade unos 6,55 bits; solo con dígitos, cada uno añade 3,32 bits. Cada palabra elegida al azar de la lista de la EFF de 7776 palabras añade 12,9 bits.

La tabla de abajo supone un atacante que ha robado una base de datos de hashes de contraseñas y puede probar 10 000 millones de intentos por segundo, algo realista con un hash rápido y sin sal en tarjetas gráficas modernas. Los hashes lentos como bcrypt o Argon2 reducen esa velocidad en un factor de miles o millones, y los ataques online contra una página de inicio de sesión son aún más lentos. Los tiempos son medias (la mitad del espacio de búsqueda).

Como regla general, 72 bits o más es seguro para casi cualquier cuenta, y 100 bits o más es muy seguro. Eso equivale a una contraseña de 12 caracteres con todos los conjuntos, una de 16 caracteres para más margen o una frase de contraseña de seis palabras.

Contraseñas frente a frases de contraseña

Una contraseña aleatoria de 16 caracteres como `Ut)9NwMw/zt?KMH2` es muy segura pero casi imposible de recordar, y no pasa nada, porque un gestor de contraseñas la recuerda por ti. Una frase de contraseña como `Quarry-Subsystem-Flashback-Atom-Patriot` tiene una seguridad parecida por pulsación en el teclado del móvil y se memoriza tras usarla unas cuantas veces. Las palabras debe elegirlas al azar el generador, no tú: la gente elige frases predecibles, letras de canciones y citas, que es lo primero que prueban los atacantes.

Por qué tus contraseñas deben ser únicas

El mayor peligro no es que un atacante adivine una contraseña segura, sino que una contraseña que reutilizaste se filtre en una web y luego se pruebe en todas las demás: una técnica llamada relleno de credenciales (credential stuffing). Circulan por internet miles de millones de pares de usuario y contraseña filtrados. Si la contraseña de tu tienda online es la misma que la de tu correo, una brecha en la tienda entrega tu correo y, con él, el restablecimiento de contraseña de todo lo demás. Genera una contraseña distinta para cada cuenta y deja que un gestor de contraseñas o tu navegador las guarden.

Patrones que hacen débil una contraseña

• Palabras del diccionario con pequeños cambios: Verano2024!, P@ssw0rd, Madrid123. Las herramientas de descifrado prueban primero cada palabra con las sustituciones, mayúsculas y años más comunes.
• Información personal: nombres, cumpleaños, nombres de mascotas, números de teléfono, matrículas y equipos de fútbol son fáciles de encontrar en las redes sociales.
• Patrones y secuencias del teclado: qwerty, 1q2w3e4r, asdfgh, 123456, abcd.
• Poca longitud: una contraseña de 8 caracteres, incluso con símbolos, puede descifrarse por fuerza bruta en horas por un atacante decidido con un hash robado.
• Reutilizar con un contador: Contraseña1, Contraseña2, Contraseña3 cuando te obligan a cambiarla.
• Cadenas «aleatorias» elegidas por personas: la gente favorece ciertas letras y posiciones; la aleatoriedad real viene de un generador.

Cómo funciona el generador

Cuando haces clic en *Regenerar*, la página pide a la Web Crypto API del navegador números aleatorios de 32 bits. Para elegir un carácter de un conjunto de, por ejemplo, 70 caracteres, descarta cualquier número del pequeño rango sobrante por encima del mayor múltiplo de 70 y vuelve a sacar otro. Este muestreo por rechazo elimina el «sesgo del módulo» que tienen los generadores simples, en los que algunos caracteres salen un poco más a menudo. Primero se coloca un carácter de cada conjunto activado, el resto se rellena con el conjunto combinado y toda la cadena se baraja con el algoritmo de Fisher–Yates usando la misma fuente aleatoria sin sesgo.

Las frases de contraseña eligen palabras del mismo modo de la lista larga de la EFF, diseñada por la Electronic Frontier Foundation para frases de contraseña con dados: 7776 palabras inglesas comunes, distintas y fáciles de deletrear, así que cada palabra aporta exactamente log₂(7776) ≈ 12,9 bits. La lista se carga desde este sitio solo cuando eliges el modo de frase de contraseña.

Puedes comprobarlo tú mismo: abre las herramientas para desarrolladores del navegador, mira la pestaña de red y genera contraseñas: no se hace ninguna petición. O desconéctate de internet y sigue generando.

Normas de contraseñas de las webs

Muchas webs exigen al menos una mayúscula, un dígito y un símbolo, y algunas rechazan ciertos símbolos o limitan la longitud. Con los cuatro conjuntos activados, cada contraseña generada contiene al menos un carácter de cada conjunto. Si una web rechaza un símbolo, escríbelo en *Excluir caracteres*. Si una web limita la longitud, por ejemplo a 12 o 20 caracteres, ajusta la longitud en consecuencia, pero mantén al menos 12 caracteres para una buena seguridad. Las directrices actuales del Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST SP 800-63B) recomiendan que las webs permitan contraseñas y frases largas, comprueben las contraseñas nuevas contra listas de contraseñas filtradas y eviten imponer normas de composición arbitrarias y cambios periódicos, pero muchas webs todavía las tienen, así que el generador admite ambos estilos.

Guardar contraseñas de forma segura

• Usa un gestor de contraseñas: Bitwarden, 1Password, KeePassXC, el integrado en tu navegador o el llavero de tu móvil. Así solo tienes que recordar una frase de contraseña segura.
• Activa la verificación en dos pasos (una app de autenticación o una llave de seguridad) en el correo, la banca, las redes sociales y tu gestor de contraseñas.
• No guardes contraseñas en archivos de texto, borradores de correo ni mensajes de chat. Si descargas una lista desde esta página, pasa las contraseñas a un gestor y borra el archivo.
• Si temes olvidar tu frase de contraseña maestra, escríbela en papel y guárdala en un lugar seguro de casa: el papel no se puede hackear a distancia.
• Cambia una contraseña de inmediato si una web te avisa de que ha sufrido una brecha, y en cualquier otro sitio donde usaras la misma.

PIN y códigos

Un PIN de 4 dígitos tiene solo 10 000 posibilidades y uno de 6 dígitos, un millón. Eso solo es aceptable porque los móviles y las tarjetas bancarias se bloquean o se borran tras unos pocos intentos fallidos. Evita 1234, 0000, años de nacimiento y dígitos repetidos, que en conjunto son una gran parte de los PIN reales. El modo PIN elige cada dígito de forma uniformemente aleatoria. Para cualquier cosa que pueda atacarse sin conexión (un archivo cifrado o una copia de seguridad), usa en su lugar una contraseña o frase de contraseña larga.

Contraseñas por lotes para equipos y pruebas

Los administradores que dan de alta cuentas para una clase, una oficina o un entorno de pruebas pueden generar hasta 500 contraseñas únicas a la vez y descargarlas como archivo de texto, una por línea, listas para pegarlas en una hoja de cálculo junto a los nombres de usuario. Pide a cada persona que cambie su contraseña inicial en el primer inicio de sesión. Como todo se genera en local, la lista nunca se guarda en ningún servidor.

Privacidad

Las contraseñas se generan en tu navegador y Fileopia nunca las transmite, registra ni almacena. La página no usa cookies ni analítica sobre los valores que creas o compruebas. El comprobador de seguridad analiza el texto que escribes íntegramente dentro de la página y no lo envía a ningún sitio; no consulta bases de datos de filtraciones, porque eso requeriría enviar datos fuera de tu dispositivo.

Herramientas relacionadas

• Generador de hash
• Proteger PDF
• Generador de códigos QR
• Generador de UUID
• Codificador Base64