Herramientas populares

Tema

Generador de Contraseñas

Cree una contraseña aleatoria segura, una frase de contraseña de palabras al azar o un PIN, con su fortaleza exacta en bits y el tiempo que llevaría descifrarla. Este generador de contraseñas seguras funciona por completo en su navegador: nada de lo que genere se envía a ningún sitio.

Aleatoriedad de Web Crypto sin sesgo de módulo · lista de 7776 palabras de EFF · creada en su navegador, nunca enviada ni guardada
Muy fuerte16 caracteres · 104,6 bits · Unos 1031,2 intentos
Generando…
Bits por carácter16 × 6,55 − 0,28 (Cada tipo seleccionado al menos una vez) = 104,6 bits
0128

Creada en su navegador con crypto.getRandomValues. No se envía ni se guarda nada.

Usar

¿Qué longitud debe tener una contraseña segura?

Al menos 15 caracteres cuando la contraseña es lo único que protege la cuenta, el mínimo de NIST desde julio de 2025, y al menos 8 cuando es una parte de la verificación en dos pasos. Este generador crea contraseñas de 16 por defecto, la longitud que recomienda CISA.

Esas son las reglas de NIST SP 800-63B-4 y de CISA. Cada carácter aleatorio sacado de los 94 entre letras, dígitos y símbolos suma 6,55 bits, y cada bit duplica los intentos que necesita un atacante (EFF): 16 caracteres con cada tipo al menos una vez aportan 104,6 bits, unos 10¹² años para una tarjeta gráfica incluso contra los hashes NTLM de Windows, los más rápidos de descifrar.

16 también encaja en la mayoría de los sitios: entre los sitios con máximo conocido en los datos de reglas de contraseñas de Apple, tres de cada cuatro aceptan 16 caracteres, y 16 es el tope más común. Excluir los caracteres parecidos cuesta 2,7 bits con esa longitud; usar solo letras y dígitos, 9,4 bits.

Estas cifras valen solo para caracteres elegidos al azar. Para ver cómo se compara una contraseña inventada por usted, use el verificador de seguridad de contraseñas.

Fortaleza según la longitudbits exactos, cada tipo seleccionado al menos una vez
LongitudLos 94 caracteresSin parecidos (84)Letras y dígitos (62)
851,3 bits49,9 bits47,2 bits
1278,1 bits76,1 bits71,3 bits
15Mínimo de NIST98,0 bits95,5 bits89,2 bits
16Por defecto · CISA104,6 bits101,9 bits95,2 bits
20130,9 bits127,6 bits119,0 bits
24157,2 bits153,3 bits142,9 bits
32209,7 bits204,5 bits190,5 bits
  • Aceptable
  • Fuerte
  • Muy fuerte
Cada bit adicional duplica los intentos que necesita un atacante. Los bits solo valen para caracteres elegidos al azar.
Generador de contraseñas: contraseña aleatoria de 16 caracteres por colores, con sus bits, tiempo de descifrado y opcionesGenerador de contraseñas: contraseña aleatoria de 16 caracteres por colores, con sus bits, tiempo de descifrado y opcionesLa contraseñaCon colores según el tipo de carácter, lista para copiar, evaluar o volver a generar.Su fortalezaLa calificación, los bits exactos de estos ajustes y cuánto tardaría un ataque.Tres modosCaracteres aleatorios, una frase de contraseña de palabras al azar o un PIN.Las opcionesLongitud, tipos de carácter, caracteres parecidos, símbolos personalizados y cuántas crear a la vez.
Una contraseña aleatoria de 16 caracteres, generada al abrir la página. Seleccione un número para ver qué muestra cada parte.

Contraseña aleatoria, frase de contraseña o PIN: ¿cuál conviene usar?

Use caracteres aleatorios para cualquier contraseña que rellene un gestor de contraseñas, una frase de contraseña para las pocas que escribe o recuerda, y un PIN solo donde un teléfono o una tarjeta se bloquee tras unos pocos intentos fallidos.

Con la misma fortaleza se ven muy distintas: 12 caracteres aleatorios y seis palabras aleatorias aportan unos 78 bits. Los caracteres aleatorios son el camino más corto hacia una fortaleza dada, lo que conviene en sitios con tope de longitud; las palabras son mucho más fáciles de escribir en un teléfono o en un televisor, y de recordar. Una contraseña de Wi-Fi es un buen lugar para una frase de contraseña, que se comparte con los invitados como un código QR de Wi-Fi.

Un PIN es débil por diseño: uno de 6 dígitos es uno entre un millón, 19,9 bits. Funciona solo porque el dispositivo se detiene tras unos pocos intentos fallidos, y por eso NIST acepta los PIN, de 6 dígitos y 4 como mínimo, únicamente para desbloquear un dispositivo como un teléfono o una llave de seguridad, con no más de 10 intentos fallidos seguidos (NIST SP 800-63B-4).

El NCSC del Reino Unido sugiere tres palabras aleatorias para las contraseñas que hay que recordar, y afirma que las contraseñas aleatorias de un gestor de contraseñas son aún más fuertes (NCSC).

  1. Caracteres aleatorios

    dhLB#crZj}4F

    12 caracteres78,1 bits

    Muy fuerte

    Contraseñas que rellena un gestor de contraseñas

  2. Frase de contraseña

    thrill-suitable-exponent-overlaid-duplicate-undercook

    6 palabras77,5 bits

    Muy fuerte

    Las pocas que escribe o recuerda: computadora, correo, gestor de contraseñas

  3. PIN

    637727

    6 dígitos19,9 bits

    Débil

    Teléfonos y tarjetas que se bloquean tras unos pocos intentos fallidos

Doce caracteres aleatorios y seis palabras aleatorias son casi igual de fuertes. Un PIN depende del bloqueo.

Generador de frases de contraseña: ¿cuántas palabras al azar hacen falta?

Seis palabras, el consejo de la propia EFF: cada palabra sacada al azar de su lista de 7776 suma 12,9 bits, así que seis dan 77,5 bits, casi lo mismo que 12 caracteres aleatorios. CISA acepta de cuatro a siete palabras sin relación entre sí.

La fortaleza viene del sorteo, no de las palabras: la lista larga de EFF tiene exactamente 7776 entradas, una por cada tirada de cinco dados, así que cada palabra es una de 7776 opciones igual de probables (EFF). El generador de frases de contraseña las saca con la misma aleatoriedad que las contraseñas.

Los separadores y las mayúsculas suman 0 bits, porque un atacante da por hecho el esquema. Un dígito aleatorio entre las palabras suma 3,3 bits por hueco, y una palabra más suma 12,9 bits, así que una séptima palabra es la forma más barata de ganar fortaleza.

Las palabras que usted elige son otra cosa, y los ejemplos famosos también: el "correct horse battery staple" de xkcd, escrito como correcthorsebatterystaple, aparece 4173 veces en los datos de filtraciones de Have I Been Pwned, y el "difícil" Tr0ub4dor&3 del mismo cómic, 3196 veces. Nunca use una frase de contraseña que haya leído en algún sitio, incluido el ejemplo de esta página.

Cinco dados, una palabraLa lista larga de EFF: 7776 palabras
  1. 62234thrill
  2. 61236suitable
  3. 26262exponent
  4. 43232overlaid
  5. 24354duplicate
  6. 63455undercook
+12,9 bits por palabra6 palabras: 77,5 bits
NTLM, una GPU: 93 años0128
  • Separador+0 bits
  • Mayúsculas+0 bits
  • Un dígito aleatorio entre palabras+3,3 bits cada uno
  • Una palabra más+12,9 bits
Un ejemplo sacado para esta página: nunca use una frase de contraseña que haya visto publicada.

¿Es seguro usar un generador de contraseñas aleatorias en línea?

Lo es cuando la contraseña se crea en su propio dispositivo y nunca se envía, que es como funciona este: su navegador saca cada carácter, y ninguna contraseña llega a nuestro servidor, a la dirección de la página ni a las analíticas.

Lo que hace seguro a un generador de contraseñas es de dónde sale su aleatoriedad. Este usa crypto.getRandomValues del navegador, el generador criptográficamente fuerte del estándar Web Crypto (W3C), nunca Math.random, que no está hecho para secretos.

Convertir un número aleatorio en un carácter es la segunda trampa. Tomar el número módulo 94 hace un poco más probables los primeros caracteres; este generador descarta los 42 números sobrantes que no completan un grupo de 94 y vuelve a sacar, el método de "descarte simple" de NIST SP 800-90A, de modo que cada carácter es exactamente igual de probable que cualquier otro.

Cuando cada tipo seleccionado debe aparecer al menos una vez, vuelve a sacar la contraseña entera hasta que lo cumplan todos, en lugar de colocar uno de cada tipo y mezclar. Cada contraseña válida sigue siendo igual de probable, así que los bits mostrados son exactos.

Su navegador
  1. 1crypto.getRandomValues da un número aleatorio de 32 bits
  2. 2¿Es menor que 4 294 967 254 (el mayor múltiplo de 94)? Se conserva; si no, se saca otro
  3. 3El resto de dividirlo entre 94 elige el carácter
  4. 4Se repite con cada carácter; se vuelve a sacar toda la contraseña si falta un tipo obligatorio

Cada uno de los 94 caracteres: exactamente 1 posibilidad entre 94

Nuestro servidorNo se envía nada
Solo se descartan 42 de los 4 294 967 296 números posibles, así que los sorteos extra no cuestan nada que usted note.

¿Por qué un sitio web rechaza mi contraseña generada?

Porque muchos sitios aún limitan la longitud o restringen los símbolos. Baje la longitud al máximo del sitio, desactive los símbolos o escriba como símbolos personalizados los que admite, y genere de nuevo.

NIST pide a los sitios que acepten al menos 64 caracteres, cualquier carácter imprimible y espacios, y que eliminen reglas como "debe contener un símbolo" (NIST SP 800-63B-4). Muchos no se han puesto al día.

De los 436 sitios de los datos de reglas de contraseñas de Apple, una lista que comparten los gestores de contraseñas para que sus contraseñas encajen en cada sitio, 337 fijan una longitud máxima, 83 de ellos por debajo de 16, y cuatro de cada cinco exigen un dígito, aproximadamente.

Mantenga obligatorio cada tipo en esos sitios, para que siempre estén el dígito o el símbolo que piden, y haga la contraseña tan larga como permitan: 20 letras y dígitos (119 bits) superan a 12 caracteres de todos los tipos (78 bits).

Longitud máxima de contraseña en 337 sitiosDatos de reglas de contraseñas de Apple, nuestro recuento, 23 de octubre de 2026

16: nuestro valor por defecto · 68 sitiosNIST: aceptar al menos 64

99 de los 436 sitios de la lista no fijan máximo. 16 es el tope más común, y 254 de los 337 aceptan 16 caracteres.

¿Dónde conviene guardar una contraseña generada?

En un gestor de contraseñas: guarda una contraseña aleatoria distinta para cada cuenta y la rellena por usted, así que nunca la escribe ni la repite. NIST obliga a los sitios a dejar que los gestores de contraseñas las rellenen, y les pide que permitan pegarlas.

NIST cita pruebas de que quienes usan un gestor de contraseñas con generador acaban con contraseñas más fuertes (NIST SP 800-63B-4). Sirven tanto el gestor integrado del navegador como una aplicación aparte; lo que importa es una contraseña por cuenta.

Repetir contraseñas es la forma en que una filtración se convierte en muchas: los atacantes reproducen en otros sitios los pares de correo y contraseña filtrados, un ataque llamado relleno de credenciales. En noviembre de 2025, Have I Been Pwned cargó 1300 millones de contraseñas únicas de esas listas, 625 millones de ellas nunca vistas (Troy Hunt).

Cambie una contraseña cuando pueda haberse filtrado, no según un calendario: NIST indica a los sitios que dejen de forzar cambios periódicos. Reserve las frases de contraseña para las pocas que escribe: su computadora, su correo y el propio gestor de contraseñas.

Una contraseña filtrada, muchas cuentas
Se vulnera un sitio

El mismo correo y la misma contraseña, probados en otros sitios

Repetida

  • CorreoAbierta
  • BancoAbierta
  • ComprasAbierta
  • Redes socialesAbierta

Única

  • CorreoSigue protegida
  • BancoSigue protegida
  • ComprasSigue protegida
  • Redes socialesSigue protegida
Relleno de credenciales: los atacantes reproducen en otros sitios los pares filtrados. Con una contraseña única para cada cuenta, la filtración se queda en un solo sitio.

Generador de contraseñas: preguntas y respuestas

¿Este generador de contraseñas es gratuito y se guardan las contraseñas?

Es gratuito, sin registro y sin límite. Cada contraseña se crea en su navegador y nunca se nos envía, así que no hay nada que guardar: cierre la página y desaparece. Copiar pone la contraseña en su portapapeles y la página no lo vacía, así que péguela enseguida en el sitio o en su gestor de contraseñas.

¿Una contraseña de 12 caracteres es suficientemente fuerte?

Una aleatoria sí: 12 caracteres de los 94 dan unos 78 bits, y una tarjeta gráfica necesitaría unos 15 000 años para encontrarla, incluso contra los rápidos hashes NTLM de Windows. Pero NIST ahora pide 15 caracteres cuando la contraseña es el único factor, así que use 16 en las cuentas sin verificación en dos pasos. Una de 12 caracteres inventada por una persona es mucho más débil.

¿Puedo generar contraseñas en lote?

Sí. El generador de contraseñas en lote crea hasta 100 contraseñas a la vez con los mismos ajustes, cada una sacada de forma independiente, así que todas tienen la fortaleza indicada. Copiar todas las pone en su portapapeles, una por línea, o puede descargarlas en un archivo .txt. Es útil para cuentas nuevas, usuarios de prueba o dispositivos; dé a cada persona o dispositivo la suya.

¿Puedo crear una contraseña basada en palabras o en mi nombre?

Con palabras, sí: el modo Frase de contraseña es un generador de contraseñas basado en palabras, sacadas al azar de la lista de EFF de 7776. Con sus propias palabras, su nombre, su mascota o su cumpleaños, no: los atacantes los prueban primero, y NIST pide a los sitios que bloqueen las contraseñas formadas con su nombre de usuario o con el nombre del servicio. Las palabras aleatorias que usted no eligió son fáciles de recordar y difíciles de adivinar.

¿Cómo creo una contraseña fácil de recordar?

Elija Frase de contraseña: este generador de contraseñas fáciles de recordar encadena palabras al azar. Seis palabras de la lista de EFF dan 77,5 bits, casi lo mismo que 12 caracteres aleatorios. Imagine las palabras como una sola escena rara para recordarlas. Memorice solo las pocas que escribe, como la de su computadora y la de su gestor de contraseñas, y deje que el gestor recuerde el resto.

¿Debo añadir números o símbolos a una frase de contraseña?

Solo si un sitio los exige. Un separador o las mayúsculas no añaden nada, porque los atacantes dan por hecho que están. Un dígito aleatorio añadido a una frase de seis palabras suma unos 5,9 bits, y un dígito aleatorio entre cada par de palabras, 3,3 bits cada uno. Una palabra más suma 12,9 bits, así que, para ganar fortaleza, añada una palabra.

¿Qué cuesta evitar los caracteres parecidos?

Muy poco. Deja fuera los caracteres que se confunden fácilmente, I l 1 | O 0 o y las tres comillas, así que quedan 84 de los 94. Una contraseña de 16 caracteres baja de 104,6 a 101,9 bits, menos de lo que vale medio carácter, así que añada un carácter si quiere recuperarlos. Actívelo para las contraseñas que lee en papel o en una pantalla.

¿Qué longitud debe tener un PIN?

Seis dígitos donde pueda elegir, y cuatro como mínimo: esa es la regla de NIST para los PIN de dispositivo, junto con un límite de 10 intentos fallidos. Un PIN de 6 dígitos es uno entre un millón, 19,9 bits, y esta página lo califica como Débil, porque solo es seguro tras ese bloqueo. Nunca use un PIN como contraseña de una cuenta en línea.

¿Cada cuánto debo cambiar mis contraseñas?

Solo cuando haya un motivo, como una filtración, un aviso de phishing o una contraseña que otra persona llegó a conocer. NIST indica a los sitios que no fuercen cambios periódicos y que exijan uno cuando hay indicios de compromiso. Compruebe una contraseña con el verificador de seguridad de contraseñas: si dice Expuesta, cámbiela en todos los sitios donde la use.

¿Qué hace pwgen -s 40 1?

Pide a la herramienta de línea de comandos pwgen una contraseña totalmente aleatoria y difícil de memorizar, de 40 caracteres: primero va la longitud y después cuántas. En un terminal, pwgen incluye al menos una mayúscula y un dígito; -y añade al menos un símbolo y -B deja fuera los caracteres parecidos, como l y 1. Para obtener lo mismo aquí, elija caracteres aleatorios, ponga la longitud en 40 y desactive los símbolos.

¿Una contraseña generada es mejor que una inventada por mí?

Sí, y por un amplio margen. Las personas eligen palabras, nombres, años y los mismos pocos cambios de letras, y los atacantes los prueban primero; NIST señala que las reglas de complejidad solo llevan a la gente de "password" a "Password1!". El NCSC del Reino Unido afirma que las contraseñas aleatorias de un gestor de contraseñas son más fuertes que las complejas inventadas y que tres palabras al azar.

¿Toda contraseña incluye cada tipo de carácter que selecciono?

Sí, siempre que cada tipo sea obligatorio, lo cual ocurre por defecto. El generador vuelve a sacar la contraseña entera hasta que aparece cada tipo seleccionado, en lugar de colocar uno de cada tipo y mezclar, así que cada contraseña válida es igual de probable y los bits mostrados son exactos. Con los cuatro tipos y 16 caracteres, cuatro de cada cinco primeros sorteos ya cumplen.

Herramientas relacionadas