Cómo se genera cada contraseña
Cada carácter se elige al azar entre los que hayas marcado, con el generador criptográfico del navegador (crypto.getRandomValues). No usamos Math.random, que es predecible, ni la operación módulo sin más, que hace que unos caracteres salgan un poco más que otros. Descartamos los valores que crearían ese sesgo y repetimos el sorteo.
Si marcas varios tipos de caracteres, la contraseña lleva al menos uno de cada uno, porque muchas webs lo exigen. No lo hacemos colocando un número en una posición fija: generamos la contraseña entera y, si le falta algún tipo, la descartamos y sorteamos otra. Así el resultado sigue siendo uniforme y no tiene huecos previsibles.
Esa exigencia quita algunas combinaciones, y el contador de bits lo tiene en cuenta. Con 16 caracteres y los cuatro tipos marcados salen 104,6 bits, no los 104,9 que darían 16 × log₂(94). Es una diferencia pequeña, pero preferimos no redondear a favor.
Qué longitud elegir
La longitud pesa más que cualquier otra cosa. Cada carácter extra multiplica por 94 las combinaciones; añadir símbolos a una contraseña corta ayuda mucho menos. Estas son las cifras con los cuatro tipos de caracteres:
| Longitud | Bits | Tiempo medio | Uso razonable |
|---|---|---|---|
| 8 | 51 | 1 día | Ninguno: es demasiado corta |
| 12 | 78 | 5.277 siglos | Mínimo aceptable con doble factor |
| 16 | 104 | más de 100 millones de años | Cualquier cuenta guardada en un gestor |
| 20 | 130 | más de 100 millones de años | Nuestro valor por defecto |
| 32 | 209 | más de 100 millones de años | Claves de API, cifrado de copias de seguridad |
Las cifras de cada longitud, para cada tipo de contraseña y para ataques más lentos o más rápidos, están en la guía cuánto se tarda en descifrar una contraseña.
Qué dicen las normas actuales
La guía del NIST estadounidense (SP 800-63B, revisada en 2025) es la referencia que siguen bancos y administraciones. Ha dejado atrás varias costumbres que todavía piden muchas webs:
- Longitud antes que complejidad. Si la contraseña es la única protección de la cuenta, debe tener al menos 15 caracteres. Con doble factor, al menos 8.
- Nada de reglas de composición obligatorias del tipo «una mayúscula, un número y un símbolo». Empujan a Password1!.
- Sin caducidad periódica. Solo hay que cambiarla si hay indicios de que se ha filtrado.
- Comparar con listas de contraseñas filtradas antes de aceptarlas. Es lo que hace nuestro comprobador.
Una contraseña aleatoria de 20 caracteres cumple todo eso de sobra. El único trabajo que te queda es usar una distinta para cada cuenta y guardarlas en un gestor.
Por qué los números y los símbolos van en color
Para leer la contraseña sin errores cuando no puedes copiarla y pegarla: en una tele, en la configuración de un router o dictándola. El turquesa marca los números y el ámbar los símbolos, así no se confunde una O con un 0. Si aun así te cuesta, marca «evitar los que se confunden».
Preguntas frecuentes
¿Es seguro generar una contraseña en una página web?
Depende de dónde se genere. Aquí se crea dentro de tu navegador con crypto.getRandomValues, el mismo generador que usan los gestores de contraseñas, y ni siquiera llega a nuestro servidor. Puedes comprobarlo: carga la página, desconecta internet y sigue generando. Funciona igual.
¿Guardáis las contraseñas que genero?
No podríamos aunque quisiéramos: nunca salen de tu equipo. Tampoco hay cookies, analítica ni publicidad. Lo único que se guarda, y solo en tu navegador, son tus ajustes (longitud y tipos de caracteres) para que la próxima vez los encuentres igual. Las que copias aparecen en el historial de la cabecera mientras la pestaña está abierta y se borran al cerrarla.
¿Cuántos caracteres debe tener una contraseña segura?
Para una cuenta normal guardada en un gestor, 16 caracteres con todos los tipos dan unos 104 bits, más que suficiente. Nosotros proponemos 20 porque no cuesta nada: no la vas a teclear. La norma de referencia de EE. UU. (NIST SP 800-63B) pide un mínimo de 15 caracteres cuando la contraseña es la única protección de la cuenta.
¿Hay que cambiar las contraseñas cada pocos meses?
Ya no se recomienda. Cambiarlas por calendario lleva a la gente a hacer variaciones previsibles (Verano2025!, Verano2026!). Lo que sí hay que hacer es cambiarla en cuanto haya indicios de que se ha filtrado. Puedes comprobarlo con nuestro comprobador.
¿Por qué bajan los bits al marcar «evitar los que se confunden»?
Porque hay menos caracteres entre los que elegir: quitar i l 1 I o 0 O deja 86 en lugar de 94. Con 16 caracteres pasas de 104,6 a 102,5 bits, una diferencia que no importa en la práctica. Merece la pena si vas a tener que leer la contraseña en voz alta o copiarla a mano.
¿Sirve para la contraseña del wifi?
Sí. WPA2 y WPA3 admiten de 8 a 63 caracteres. Para el router de casa usa 20 o más y evita los símbolos difíciles de teclear si la vas a escribir en una tele o una consola. Como se escribe pocas veces, la longitud es gratis.
¿Dónde guardo una contraseña así?
En un gestor de contraseñas (Bitwarden, 1Password, KeePassXC, el de Apple, Google o Firefox). Así solo tienes que recordar una contraseña maestra. Para esa sí conviene una frase de contraseña larga que puedas memorizar.