Cómo se usa
En «Modo de generación» eliges entre «Caracteres aleatorios» y «Frase de contraseña (combinación de palabras)». Al abrir la página ya hay 5 generadas, y en cuanto tocas cualquier opción la lista entera se vuelve a crear. El botón «Regenerar» solo hace falta cuando quieres otros valores sin cambiar los ajustes.
- Caracteres aleatorios: la «Longitud» va de 8 a 128 caracteres (de entrada, 16). En «Tipos de caracteres a incluir» activas o desactivas «Minúsculas (a-z)», «Mayúsculas (A-Z)», «Dígitos (0-9)» y «Símbolos»; al principio solo los símbolos están desactivados. Al activar «Símbolos» puedes editar el campo «Conjunto de símbolos (editable)».
- Frase de contraseña (combinación de palabras): el «Número de palabras» va de 3 a 10 (de entrada, 4). El «Separador» es lo que se pone entre palabra y palabra: admite hasta 4 caracteres y viene con un guion (-). «Poner en mayúscula la primera letra de cada palabra» y «Añadir un número al final (0-99)» vienen activados, y por eso salen frases como
Maroon-Cymbal-Tiger-Harbor-60. - «Cuántas generar a la vez»: de 1 a 20.
Encima de «Resultados» hay una línea con el nivel y los bits de los ajustes actuales, por ejemplo «Fortaleza: Muy fuerte · Entropía estimada: unos 95 bits». Todos los valores de la lista se han creado con los mismos ajustes, así que cualquiera de ellos es igual de fuerte. Puedes copiar uno solo o todos con «Copiar todo», y «Descargar como .txt» guarda un archivo passwords.txt (passphrases.txt si son frases) con un valor por línea.
Lo generado no se guarda en ninguna parte. Si recargas la página salen valores distintos, así que copia enseguida el que vayas a usar. En el .txt descargado las contraseñas están escritas tal cual: una vez pasadas a tu gestor de contraseñas, lo más prudente es borrarlo.
Cómo se saca cada carácter
Una contraseña de caracteres aleatorios se crea en tres pasos.
- De cada tipo de carácter activado se saca primero un carácter. Por eso, si has activado los dígitos, habrá al menos un dígito.
- Las posiciones restantes se rellenan sacando caracteres, uno a uno, del conjunto que forman todos los tipos activados juntos.
- Se baraja el orden completo, para que los caracteres del primer paso no queden siempre al principio.
Una frase de contraseña se forma sacando de una lista de 256 palabras en inglés tantas palabras distintas como indique «Número de palabras» y uniéndolas con el «Separador».
En los dos modos los números aleatorios vienen de crypto.getRandomValues, la función del navegador. No se usa Math.random(), cuyos valores anteriores pueden dar pistas del siguiente. Si el número recibido se usara tal cual, quedándose con el resto de dividirlo entre la cantidad de caracteres, los primeros del conjunto saldrían un poquito más a menudo; la herramienta descarta los números que provocan ese desequilibrio y pide otro, de modo que todos los caracteres tienen la misma probabilidad.
Cómo leer la entropía estimada y la fortaleza
La entropía expresa en bits cuántas contraseñas distintas pueden salir con unos mismos ajustes. Cada bit más duplica el número de posibilidades. Para los caracteres aleatorios se estima como longitud × log2(número de caracteres disponibles). Con minúsculas, mayúsculas y dígitos hay 62 caracteres; con los 27 símbolos que vienen por defecto, 89.
Estos son los niveles que asigna la herramienta. Son una clasificación propia: el nombre del nivel no garantiza que la contraseña resista un ataque concreto.
| Fortaleza | Entropía estimada |
|---|---|
| Débil | menos de 40 bits |
| Aceptable | de 40 bits a menos de 60 |
| Fuerte | de 60 bits a menos de 80 |
| Muy fuerte | 80 bits o más |
Según la longitud, en pantalla verás esto.
| Longitud | Minúsculas, mayúsculas y dígitos (62) | Con símbolos (89) |
|---|---|---|
| 8 caracteres | unos 48 bits, Aceptable | unos 52 bits, Aceptable |
| 12 caracteres | unos 71 bits, Fuerte | unos 78 bits, Fuerte |
| 14 caracteres | unos 83 bits, Muy fuerte | unos 91 bits, Muy fuerte |
| 16 caracteres | unos 95 bits, Muy fuerte | unos 104 bits, Muy fuerte |
Alargar la contraseña rinde más que añadir tipos de caracteres. Sumar símbolos a una de 16 caracteres aporta unos 8 bits; alargarla solo dos caracteres, sin símbolos, aporta unos 12. Con dígitos nada más, 8 caracteres dan unos 27 bits («Débil») y hay que llegar a 24 para entrar en «Muy fuerte». Con «Excluir caracteres confundibles (0 O 1 l I |)» los 62 caracteres se quedan en 57, y una contraseña de 16 pasa de unos 95 bits a unos 93.
Es una estimación. La regla de meter primero un carácter de cada tipo hace que las combinaciones posibles sean en realidad algo menos que las calculadas, pero la diferencia es tan pequeña que no se tiene en cuenta.
Cuántas palabras necesita una frase de contraseña
Como la lista tiene 256 palabras, cada palabra aporta algo menos de 8 bits: al no repetirse ninguna, la segunda se elige entre 255 y la tercera entre 254. «Añadir un número al final (0-99)» suma unos 6,6 bits. «Poner en mayúscula la primera letra de cada palabra» y el «Separador» son reglas fijas y no entran en el cálculo.
| Número de palabras | Sin número | Con número |
|---|---|---|
| 3 | unos 24 bits, Débil | unos 31 bits, Débil |
| 4 | unos 32 bits, Débil | unos 39 bits, Débil |
| 5 | unos 40 bits, Aceptable | unos 47 bits, Aceptable |
| 6 | unos 48 bits, Aceptable | unos 55 bits, Aceptable |
| 7 | unos 56 bits, Aceptable | unos 63 bits, Fuerte |
| 8 | unos 64 bits, Fuerte | unos 70 bits, Fuerte |
| 9 | unos 72 bits, Fuerte | unos 78 bits, Fuerte |
| 10 | unos 80 bits, Muy fuerte | unos 86 bits, Muy fuerte |
Los ajustes de entrada (4 palabras con número) dan unos 39 bits, es decir, «Débil». Para igualar más o menos a 12 caracteres aleatorios hacen falta 8 o 9 palabras.
Encadenar palabras para formar una contraseña es la misma idea que Diceware, el método en el que las palabras se eligen tirando dados. La diferencia está en el tamaño de la lista: la de Diceware tiene 7.776 palabras, cada una aporta 12,9 bits, y aun así su página recomienda 6 palabras o más según el uso. La lista de esta herramienta es mucho más corta, así que con el mismo número de palabras la entropía es menor. Decide cuántas palabras poner mirando los bits de la tabla.
¿Caracteres aleatorios o frase de contraseña?
Para las cuentas que guardas en un gestor de contraseñas y te limitas a pegar, mejor caracteres aleatorios. Con 16 ya es «Muy fuerte» y, como no vas a memorizarla, da igual que sea ilegible.
Para lo que tienes que saberte de memoria y teclear a mano, como el desbloqueo de un dispositivo o la contraseña maestra del gestor, resulta más cómoda una frase. Eso sí, necesita varias palabras, como muestra la tabla de arriba.
En cualquier caso, usa una distinta en cada sitio. Hay ataques que consisten en probar en otras webs las contraseñas filtradas de una (lo que se conoce como relleno de credenciales o credential stuffing), así que, si repites contraseña, una sola filtración arrastra al resto de tus cuentas. Subiendo «Cuántas generar a la vez» obtienes de una tacada valores para varias cuentas.