Así se rompe una contraseña (y así se evita)
Cuando un servicio sufre una filtración, los atacantes no van probando claves a mano: lanzan programas que ensayan miles de millones de combinaciones por segundo contra los hashes robados. Empiezan por diccionarios de palabras y contraseñas ya filtradas, siguen con variantes previsibles («María2024!», fechas, nombres con números al final) y solo al final recurren a la fuerza bruta pura. La conclusión práctica: una contraseña cae por ser corta o por ser previsible. Este generador ataca ambos frentes creando cadenas largas y de aleatoriedad criptográfica real, con la longitud y los tipos de carácter que elijas.
La entropía, explicada con números
La fortaleza se mide en bits de entropía: cada bit duplica el número de combinaciones que habría que probar. La cuenta sale de dos factores, el tamaño del alfabeto y la longitud:
- 8 caracteres solo en minúsculas: unos 38 bits. Un equipo doméstico la revienta en horas.
- 12 caracteres mezclando mayúsculas, minúsculas y números: unos 71 bits. Ya exige hardware serio y mucho tiempo.
- 16 caracteres con símbolos incluidos: más de 100 bits. Fuera del alcance de cualquier atacante realista con la tecnología actual.
Fíjate en el detalle: pasar de 8 a 16 caracteres aporta muchísimo más que añadir símbolos exóticos a una clave corta. La longitud gana a la complejidad. Una regla de «mínimo un símbolo» sobre 8 caracteres da una falsa sensación de seguridad; cuatro palabras aleatorias sin ningún símbolo son órdenes de magnitud más difíciles de romper.
¿Y si tengo que recordarla? Usa una passphrase
Para claves que tecleas a diario —el desbloqueo del portátil, la contraseña maestra de tu gestor— hay una alternativa a las cadenas imposibles: la passphrase, una secuencia de cuatro a seis palabras elegidas al azar, tipo «tambor nube fósil rampa». Es larga (y por tanto fuerte), pero tu memoria la retiene sin esfuerzo. Eso sí: las palabras deben salir del azar, no de tu vida; el título de tu canción favorita está en los diccionarios de los atacantes.
Una contraseña distinta para cada sitio, sin excepciones
El ataque más rentable hoy no es adivinar tu clave, sino reutilizar la que ya se filtró: con las listas de brechas publicadas, los bots prueban tu correo y tu contraseña en cientos de servicios automáticamente (es el llamado credential stuffing). Si usas la misma clave en un foro y en tu correo, la seguridad de tu correo es la del foro. La única defensa sostenible es un gestor de contraseñas: genera y guarda una clave única y larga por servicio, la rellena por ti y te deja memorizar solo la maestra. Complétalo activando la verificación en dos pasos en el correo y la banca, que frena al atacante incluso si consigue la contraseña.
Generada en tu pantalla, y solo ahí
Cada contraseña nace de crypto.getRandomValues, el generador criptográfico del navegador, y no se envía ni se guarda en ningún servidor: existe únicamente en tu pantalla hasta que la copias. Si además necesitas identificadores o huellas de datos, tienes a mano el generador de UUID, el generador de hash y el resto de herramientas.