Generador de contraseñas y tokens
Contraseñas, frases de contraseña y tokens de API, generados desde la fuente aleatoria criptográfica de tu navegador — crypto.getRandomValues, nunca Math.random — y que existen solo en esta pestaña. El único sitio donde una contraseña nunca debe generarse es dentro de un chat de IA con registro, donde la cadena «aleatoria» es texto predicho y la conversación guarda una copia. Aquí la aleatoriedad es real y la copia es solo tuya.
Contraseña
Frase de contraseña
Token de API
Comprobador de fortaleza
Aleatorio es un mecanismo, no una vibra
Cada secreto de esta página proviene de crypto.getRandomValues, la interfaz del navegador con la reserva de entropía del sistema operativo: la misma fuente que usa tu gestor de contraseñas. La selección es por muestreo de rechazo, de modo que cada carácter y cada palabra son igualmente probables; un módulo ingenuo de un byte aleatorio favorece en silencio algunos caracteres, y en un generador de contraseñas un sesgo silencioso es un defecto real. Math.random no aparece en ninguna parte: es un generador rápido y predecible construido para animaciones, y su salida futura puede reconstruirse desde su salida pasada. Las cifras de entropía impresas junto a cada resultado se calculan desde las reservas reales —una contraseña de 20 caracteres de los cuatro conjuntos es 20 × log₂(95) ≈ 131 bits; una frase de cinco palabras de la lista de 560 palabras es 5 × log₂(560) ≈ 45 bits—, así que puedes comparar formas con honestidad en lugar de por lo complicadas que parecen. Y la regla operativa que motiva toda la página merece repetirse: una contraseña generada en una ventana de chat es una contraseña almacenada en el historial de ese chat, en la infraestructura de otra persona, bajo una cuenta que puede ser vulnerada. El artículo principal, nunca dejes que un chatbot toque tus secretos, presenta el caso completo; el identificador de hashes es el compañero para el día en que te encuentres una de tus contraseñas viejas en forma de resumen. Nota: la lista de palabras de las frases se mantiene en inglés (son los datos de la propia frase).
Preguntas frecuentes
¿Por qué no pedirle simplemente una contraseña a un chatbot?
Tres razones, cada una suficiente. La contraseña «aleatoria» de un chatbot es texto predicho, no aleatoriedad muestreada: los modelos tienen patrones favoritos medibles, y una contraseña cuya forma un atacante puede predecir es una contraseña medio adivinada. El chat queda registrado: la contraseña que acabas de recibir existe en un historial de conversación en los servidores de un tercero, adjunta a tu cuenta. Y el modelo no puede usar una fuente aleatoria real: no hay crypto.getRandomValues detrás de una respuesta de chat. Este generador muestrea directamente la fuente aleatoria criptográfica del navegador, y el resultado existe solo en esta pestaña. El argumento completo está en nunca dejes que un chatbot toque tus secretos.
¿Contraseña o frase de contraseña? ¿Cuál debería usar?
Ambas, para manos distintas. Las credenciales almacenadas por máquinas (las entradas de un gestor de contraseñas, los tokens de API) deberían ser contraseñas o tokens: máxima entropía por carácter, nunca escritas por un humano. Cualquier cosa que un humano deba escribir o memorizar —la contraseña maestra del propio gestor por encima de todo— debería ser una frase de contraseña: cinco palabras de una lista de 560 llevan unos 45 bits y de verdad pueden recordarse, mientras que la «ingeniosa» contraseña de 10 caracteres que reemplaza suele llevar menos y se olvida el viernes.
¿Qué significa realmente el número de entropía?
El número de preguntas de sí/no que un atacante debe responder, en promedio la mitad de 2^bits intentos, para forzar el secreto, suponiendo que sabe exactamente cómo se generó, que es lo que las estimaciones honestas siempre suponen. 40 bits cae ante un atacante motivado con GPU alquiladas; 65 bits está fuera del alcance práctico de los ataques en masa; 100+ bits está fuera de alcance, y punto, para cualquier cosa que no sea romper las matemáticas. La cifra del generador es exacta para su propia salida, porque la reserva y la longitud se conocen; la del comprobador de fortaleza se etiqueta como estimación porque la verdadera reserva de una contraseña escrita es una suposición.
¿Es fiable el veredicto del comprobador de fortaleza?
Como suelo, no como promesa. Modela la reserva que tus caracteres implican y luego cobra por los patrones que los diccionarios de crackeo explotan primero: repeticiones, secuencias de alfabeto y de teclado, años y, sin más, las contraseñas más comunes de internet. Lo que no puede ver es el significado: el nombre de una mascota más un cumpleaños es «aceptable» según las matemáticas y no vale nada frente a cualquiera que te conozca. Trata un buen veredicto como necesario, no suficiente, y prefiere un secreto generado a uno calificado siempre que una máquina pueda almacenarlo.
¿Las contraseñas generadas se almacenan o se envían a alguna parte?
No. La generación ocurre en esta página, desde crypto.getRandomValues, y los resultados viven en la memoria de la pestaña hasta que la cierras. No hay cuenta, ni sincronización, ni evento de analítica que lleve tu salida. El corolario corre por tu cuenta: una contraseña generada que no guardes de inmediato en un gestor de contraseñas desaparece cuando la pestaña se cierra — que es el modo de fallo correcto, pero planifícalo.