Tu nueva contraseña ya está lista abajo. Cambia la longitud o los tipos de carácter y se actualiza al momento; cópiala, o elige una de las alternativas de debajo.
Tu contraseña
Tiempo medio para descifrarla por fuerza bruta
A 10.000 millones de intentos por segundo, en un ataque offline contra un hash rápido.
Más contraseñas
Generada en tu navegador. No se envía ni se guarda nada.
Cada carácter que añades multiplica el número de contraseñas posibles por el tamaño del alfabeto. Con los cuatro tipos marcados el alfabeto tiene 85 caracteres, así que cada carácter extra multiplica por 85 el trabajo del atacante. Marcar símbolos solo lleva el alfabeto de 62 a 85, lo que vale alrededor de medio bit por carácter. Por eso 16 letras minúsculas (75 bits) ganan a 10 caracteres de todos los tipos (63 bits): a la velocidad que se supone abajo, la larga y sencilla aguanta decenas de miles de años, y la corta y complicada, unos veinte.
El tiempo mostrado supone diez mil millones de intentos por segundo, más o menos lo que consiguen unas cuantas tarjetas gráficas contra una contraseña guardada con un hash rápido como MD5, después de que se filtre la base de datos de un sitio. Es el caso pesimista a propósito. Contra una contraseña bien guardada (bcrypt, Argon2) el mismo ataque es millones de veces más lento, y contra una pantalla de acceso que se bloquea tras varios intentos no llega a ninguna parte. La cifra es una media: de media, el intento correcto aparece a mitad de las posibilidades.
Cuando marcas un tipo de carácter, toda contraseña de aquí contiene al menos uno. La forma habitual de garantizarlo es reservar una posición para cada tipo, lo que cambia las probabilidades sin avisar y hace que algunas combinaciones salgan más que otras. Este generador sortea la contraseña entera del alfabeto completo y, si falta un tipo marcado, la descarta y vuelve a sortear. Así toda contraseña aceptable tiene exactamente la misma probabilidad, y por eso la cifra de entropía es un recuento exacto y no una estimación. Los caracteres salen de crypto.getRandomValues, la fuente criptográfica del navegador, con el mismo rechazo que usa el generador de números aleatorios contra el sesgo del módulo.
Los símbolos dejan fuera ^, ~, ` y ´ porque en los teclados español, brasileño, alemán y francés son teclas muertas: escribir uno exige dos pulsaciones, y una contraseña copiada en el portátil se convierte en otra cosa al teclearla en el móvil o en la tele. Las comillas, la barra invertida y el espacio quedan fuera porque rompen formularios y hojas de cálculo. Y hay un límite que ningún generador arregla: una contraseña fuerte frena la fuerza bruta, no la reutilización. Si la misma contraseña está en dos sitios y uno la filtra en texto plano, su longitud deja de importar. Una contraseña por sitio, guardada en un gestor de contraseñas, es lo que de verdad te protege.
Esta se crea por completo en tu navegador, con código que se ejecuta en tu dispositivo. No se envía a ningún servidor, no se registra ni se guarda: puedes abrir la página, desconectarte de internet y seguir generando. El sitio es estático, así que no hay código de servidor que pudiera recibirla ni por error.
Para una cuenta importante, 16 caracteres de todos los tipos: unos 102 bits, fuera del alcance de cualquier ataque de fuerza bruta. Doce es un mínimo razonable. Ocho, que sigue siendo el mínimo de muchos formularios de registro, cae en horas con la hipótesis de esta página.
Es el número de contraseñas que el generador podría haber producido, escrito como potencia de dos. 60 bits son 2^60 posibilidades, alrededor de un trillón, y cada bit más duplica el trabajo del atacante. Describe cómo se hizo la contraseña, no la cadena en sí: los mismos caracteres elegidos por una persona valen mucho menos, porque las personas no eligen al azar.
El cero y la O mayúscula, el uno, la L minúscula y la I mayúscula se confunden en muchas fuentes. Quitarlos cuesta un poco de entropía, unos 0,1 bits por carácter, y compensa cuando la contraseña se va a leer y teclear a mano, como la del wifi impresa para las visitas.
Para la mayoría de las cuentas, no. Una contraseña aleatoria de 16 caracteres está pensada para guardarse en un gestor de contraseñas, que además la rellena por ti. Las pocas que hay que teclear de memoria, como la contraseña maestra del propio gestor, funcionan mejor como una frase larga de palabras al azar.