Generador de Contraseñas Seguras
Contraseñas aleatorias o frases de paso fáciles de recordar (cinco palabras al azar en español o inglés), en lote y con medidor de entropía en vivo. Todo en tu navegador, nada se envía.
Tu contraseña segura
103 bits de entropíaOpciones
Generar varias a la vez
Crea una lista con las opciones actuales.
Todo se genera en tu navegador con un generador criptográficamente seguro (Web Crypto). Ninguna contraseña viaja por la red ni se guarda.
Qué hace esta herramienta
Genera contraseñas aleatorias y fuertes al instante, en dos formatos: caracteres (longitud y conjuntos a tu elección: mayúsculas, minúsculas, números y símbolos) o frase de paso, varias palabras al azar en español o en inglés que se recuerdan y se teclean sin esfuerzo. Un medidor de fuerza en vivo te dice cuánta entropía tiene la clave mientras ajustas las opciones, y puedes generar varias de golpe.
Lo importante para la seguridad: la contraseña se crea en tu navegador con Web Crypto, la API criptográfica del sistema. No se genera en un servidor, no se envía a ningún sitio y no se guarda historial. Es la diferencia entre una web que te muestra una clave y una web que conoce tu clave.
Cómo usarla
- Ajusta la longitud con el deslizador.
- Marca los conjuntos de caracteres: mayúsculas, minúsculas, números, símbolos.
- Si vas a teclearla a mano, activa excluir caracteres ambiguos.
- Copia la contraseña, o genera un lote si necesitas varias.
Si prefieres una frase de paso, cambia al modo correspondiente arriba: eliges cuántas palabras (de 3 a 10), el idioma de la lista, el separador y si quieres mayúscula inicial o un número al final. El lote también funciona en ese modo.
El medidor de fuerza se actualiza al vuelo: te muestra la entropía estimada y una etiqueta (débil, aceptable, fuerte…) para que veas el efecto de cada ajuste.
Qué hace fuerte a una contraseña
La resistencia de una contraseña frente a un ataque de fuerza bruta depende de dos cosas: cuántos caracteres tiene y de cuántos símbolos distintos sale cada uno. La combinación de ambas se resume en la entropía.
La longitud manda
Añadir un carácter multiplica el número de combinaciones posibles; añadir un tipo de símbolo solo agranda la base. Por eso una contraseña larga vence casi siempre a una compleja pero corta:
Xr7$q— 5 caracteres, se ve “difícil”, pero se rompe en segundos.caballo-batería-grapa-correcto— larga y memorizable, resiste siglos.
La regla práctica: 16 caracteres como mínimo para cuentas normales, 20 o más para el correo principal, la banca y el gestor de contraseñas.
La entropía, en bits
Cada bit de entropía duplica el trabajo del atacante. Como referencia:
| Entropía | Valoración |
|---|---|
| < 50 bits | Débil |
| 50–60 bits | Justa |
| 60–80 bits | Sólida para casi todo |
| > 100 bits | Excelente |
El medidor calcula la entropía real a partir de tu longitud y tus conjuntos de caracteres, no a partir de reglas cosméticas del tipo “¿tiene una mayúscula?”.
Frase de paso: fácil de recordar y aun así fuerte
Hay contraseñas que tienes que recordar: la clave maestra del gestor, la del cifrado del disco, la de la cuenta con la que recuperas las demás. Para esas, x7$Kq!2mR#vL es un problema, no una solución. La alternativa es la frase de paso al estilo diceware: el generador elige al azar cuatro, cinco o seis palabras de una lista y las une, por ejemplo tortuga-brisa-almacen-nivel-cedro. Se memoriza como una imagen absurda y se teclea sin buscar símbolos.
Lo que la hace fuerte no son las palabras, es quién las elige. Una frase inventada por una persona sale de un vocabulario pequeño y predecible («mi perro se llama…»); una elegida por el generador con Web Crypto es uniforme sobre toda la lista, y cada palabra aporta log2(tamaño de la lista) bits:
| Lista | Palabras | Bits por palabra | 4 palabras | 5 palabras | 6 palabras | 7 palabras |
|---|---|---|---|---|---|---|
| Inglés (EFF, lista larga) | 7.776 | 12,9 | 52 | 65 | 78 | 90 |
| Español (lista propia) | 1.324 | 10,4 | 41 | 52 | 62 | 73 |
La lista inglesa es la larga de la Electronic Frontier Foundation, la referencia del método; la española es propia, con palabras comunes sin tildes ni eñe para que se puedan teclear en cualquier teclado y en cualquier formulario. Como es más corta, cada palabra aporta menos: compénsalo con una palabra más.
Tres detalles que conviene saber:
- La mayúscula inicial no suma bits. Es predecible. Está como opción porque algunos formularios la exigen, no porque proteja.
- Añadir un número al final suma unos 6,6 bits (uno entre 100). Sirve para satisfacer al formulario que pide «al menos un número» sin sacrificar la frase.
- Sin separador la frase sigue teniendo los mismos bits, pero cuesta más leerla y hay más riesgo de teclearla mal. El guion es la opción por defecto por eso.
Para cuentas web normales, que además limitan los intentos, cuatro palabras bastan; para lo que se puede atacar sin límite (un disco cifrado, una clave SSH, la clave maestra), seis o siete.
Los mitos que conviene tirar a la basura
“Sustituir letras por símbolos la hace segura.” Cambiar password por p@ssw0rd no engaña a nadie: los diccionarios de ataque ya incluyen esas sustituciones. Lo que da seguridad es la aleatoriedad, no los trucos.
“Cambiar la contraseña cada mes es más seguro.” Las guías modernas (incluido el NIST) desaconsejan la rotación forzada: empuja a la gente a variaciones predecibles como Marzo2026!, Abril2026!. Cambia la contraseña solo si sospechas que se filtró.
“Con una buena contraseña me basta.” No: úsala única por sitio y añade verificación en dos pasos donde puedas. La contraseña es la primera capa, no la única.
La regla de oro: una contraseña por sitio
El ataque más común hoy no es adivinar tu contraseña: es reutilizar una que ya se filtró. Cuando un servicio sufre una brecha y su base de datos acaba en internet, los atacantes prueban ese mismo par de correo y contraseña en decenas de sitios más. Se llama credential stuffing y funciona precisamente porque casi todo el mundo repite claves.
Una contraseña distinta y aleatoria por cada servicio corta ese ataque de raíz: una filtración se queda en un solo sitio. Como nadie puede memorizar decenas de claves aleatorias, la pieza que falta es un gestor de contraseñas — genera, guarda y rellena una única por sitio, y tú solo recuerdas la clave maestra.
Preguntas frecuentes
¿Cómo genero una contraseña fácil de recordar pero segura?
Usa el modo Frase de paso: la herramienta elige al azar cuatro, cinco o más palabras de una lista y las une con guiones, por ejemplo cinco palabras en español como «tortuga-brisa-almacen-nivel-cedro». Se recuerda como una imagen absurda y se teclea sin símbolos raros, pero cada palabra aporta unos 10 bits de entropía (13 con la lista inglesa), así que cinco palabras rondan los 52 a 65 bits y seis superan los 60 en cualquiera de las dos listas. Lo que la hace segura es que las palabras las elige el generador y no tú: una frase inventada por una persona sale de un vocabulario mucho más pequeño y predecible.
¿Cuántas palabras debe tener una frase de paso?
Cuatro palabras de la lista inglesa (unos 52 bits) sirven para una cuenta normal protegida por un servicio que limita los intentos. Para lo que se puede atacar sin límite, como el cifrado de un disco, la clave maestra del gestor de contraseñas o una clave SSH, usa seis o siete: con la lista inglesa son 78 y 90 bits, y con la española 62 y 73. Añadir un número al final suma unos 6 bits más; poner la primera letra en mayúscula no suma nada, porque es predecible.
¿Es seguro generar una contraseña en una web?
Depende de dónde se genere. Aquí la contraseña se crea en tu navegador con la API criptográfica del sistema (Web Crypto), nunca en un servidor, y no se envía, guarda ni registra en ningún sitio. Cierras la pestaña y no queda rastro. Lo que debes evitar son las webs que generan la clave en su servidor: ahí sí podrían verla.
¿Qué longitud debe tener una contraseña segura?
La longitud es el factor que más pesa. Para cuentas normales, 16 caracteres es un buen mínimo; para lo importante (correo principal, banca, gestor de contraseñas), 20 o más. Una contraseña larga aunque solo tenga letras resiste más que una corta llena de símbolos, porque cada carácter extra multiplica el número de combinaciones posibles.
¿Qué es la entropía y por qué importa?
La entropía, medida en bits, cuantifica cuán impredecible es la contraseña: cada bit duplica el número de intentos que necesitaría un atacante para adivinarla por fuerza bruta. Por debajo de 50 bits es débil; entre 60 y 80 es sólida para casi todo; por encima de 100 es excelente. El medidor en vivo la calcula a partir de la longitud y del conjunto de caracteres que actives.
¿Conviene excluir caracteres ambiguos?
Si vas a teclear la contraseña a mano o dictarla, sí: la opción de excluir ambiguos quita caracteres que se confunden entre sí, como la O y el 0 o la l minúscula y el 1. Reduce ligerísimamente la entropía, pero evita errores al escribirla. Si la contraseña va directa a un gestor y nunca la vas a teclear, déjalos.
¿Debo usar una contraseña distinta para cada sitio?
Sí, es la regla más importante. Cuando se filtra la base de datos de un servicio, los atacantes prueban ese mismo correo y contraseña en decenas de sitios más (un ataque llamado credential stuffing). Una contraseña única por sitio hace que una filtración no arrastre a las demás. Para gestionarlas sin memorizarlas, usa un gestor de contraseñas.
Reseñas y valoraciones
Aún no hay reseñas. ¡Sé la primera persona en opinar!
Guías relacionadas
Tutoriales del blog donde esta herramienta resulta útil.
Herramientas relacionadas
Otras del catálogo que se usan bien junto a esta.