Suite de claves SSH
La autenticación por clave SSH sustituye una contraseña por un par de claves vinculadas matemáticamente: una clave privada que nunca sale de tu máquina y una clave pública que instalas en cada servidor al que te conectas. El servidor desafía a tu máquina a demostrar que posee la clave privada, y la prueba funciona sin que el secreto cruce nunca la red. Esta página genera claves Ed25519, ECDSA y RSA en formato OpenSSH, audita tus archivos authorized_keys y known_hosts en busca de claves débiles, duplicadas y obsoletas, y convierte claves entre los formatos PEM, OpenSSH y JWK — todo en tu navegador, sin subir nada. La guía complementaria, claves SSH explicadas, explica cómo elegir un tipo de clave y qué hacer cuando una clave se filtra. Combínala con la Comprobación de filtración de contraseñas para las contraseñas que aún usas, y con el Comparador de claves de certificado y la Suite PGP para el resto de tu material de claves.
Última actualización:
Tu clave privada nunca sale de esta página
Cada clave se genera, analiza y convierte en tu navegador. La clave privada nunca se sube, nunca se almacena y nunca se registra, y nunca aparece en una URL. Descárgala una vez, protégela con chmod 600 y añade una frase de contraseña con ssh-keygen -p si la necesitas. Lee la guía completa en claves SSH explicadas.
Generar un nuevo par de claves SSH
Resultados
Inspeccionar y auditar claves
Pega el contenido de <code>~/.ssh/authorized_keys</code> o <code>~/.ssh/known_hosts</code>, o una sola línea de clave pública. Las entradas con hash de <code>known_hosts</code> se notifican como con hash, nunca se omiten en silencio. Las claves privadas protegidas con frase de contraseña no se pueden analizar aquí — eso es un error claro, no un resultado falso.
Un archivo de texto con claves, una por línea. Las líneas que no se pueden analizar se enumeran como no analizadas, nunca se descartan en silencio. El archivo se lee solo en este dispositivo y nunca se sube.
O suelta el archivo en cualquier parte de este cuadro. Límite: 2 MB.
Resultados
Convertir una clave
Convierte una clave pública entre OpenSSH, PEM y JWK, o una clave privada sin cifrar entre OpenSSH y PEM PKCS#8. Cada conversión muestra la huella antes y después, para que puedas verificar que es la misma clave. Las claves protegidas con frase de contraseña no son compatibles con la versión 1.
Resultados
Los límites honestos
La versión 1 genera claves sin cifrar: aquí no hay opción de frase de contraseña, porque el KDF bcrypt de OpenSSH para claves privadas cifradas es trabajo de la versión 2. Protege el archivo descargado con chmod 600 y añade una frase de contraseña con ssh-keygen -p si la necesitas.
La generación de Ed25519 necesita un navegador actual. Si el tuyo no lo admite, esta página lo dice claramente y te ofrece ECDSA P-256 en su lugar — nunca falsifica una clave Ed25519 ni te degrada en silencio.
Nunca pegues una clave privada en un chat, un ticket, una publicación en un foro o un documento compartido — ni siquiera para preguntar si es segura. Una clave privada que ha aparecido en cualquiera de esos lugares debe tratarse como filtrada: sustitúyela y elimina la clave pública antigua de cada archivo authorized_keys.
Qué es la autenticación por clave SSH — y por qué supera a una contraseña
La autenticación por clave SSH sustituye un secreto tecleado por una prueba matemática. Cuando entras en un servidor con una clave, el servidor envía a tu máquina un desafío aleatorio; tu máquina lo firma con la clave privada, y el servidor verifica la firma con la clave pública de authorized_keys. La clave privada nunca cruza la red, así que no hay nada que un keylogger pueda robar, nada que pescar con phishing y nada que adivinar: un atacante no puede forzar por fuerza bruta una clave Ed25519 de 256 bits como puede hacerlo con una contraseña, porque no hay contraseña que probar.
Las dos mitades tienen reglas opuestas. La clave pública está hecha para copiarse en todas partes: pégala en authorized_keys de cada servidor, en tu cuenta de alojamiento de Git, en cualquier servicio que la acepte. Solo permite al otro lado verificar una prueba, así que publicarla no cuesta nada. La clave privada es lo contrario: quien la tenga puede entrar como tú, en cada servidor que confíe en la clave pública correspondiente. Por eso vive en ~/.ssh, legible solo por ti, y por eso nunca debe pegarse en un chat, un ticket, un correo o un documento compartido: en el momento en que aparece en cualquiera de esos lugares, está filtrada, y la única solución es sustituirla en todas partes.
Elegir una clave, comprobar huellas y mantener los archivos limpios
En 2026 la opción predeterminada es Ed25519: una clave de 256 bits más rápida de generar y firmar que RSA, con una clave pública que cabe en una sola línea corta. ECDSA P-256 es el recurso cuando una política o un sistema antiguo insiste en curvas NIST, y RSA 3072 o 4096 es la respuesta solo cuando el otro lado no puede usar curvas elípticas en absoluto: RSA 2048 es el mínimo, y todo lo menor lo marca esta página como débil. El tipo de clave importa menos que la higiene que la rodea: una clave fuerte dejada en un archivo legible por todo el mundo, o copiada a un portátil que ya no posees, es peor que una clave modesta bien guardada.
Las huellas son la forma de saber que hablas con la máquina correcta. La primera vez que te conectas a un servidor, SSH te muestra la huella de la clave de host del servidor y te pide que confíes en ella; esa huella es un hash de la clave pública del servidor, y si coincide con la que publicó tu administrador, nadie está sentado en el medio. Guárdala, y SSH te avisará en voz alta si alguna vez cambia. Las mismas huellas identifican tus propias claves: ssh-keygen -lf imprime una línea por clave, y esta página imprime las huellas exactamente en el mismo formato, para que los valores que ves aquí se puedan comparar carácter por carácter con los del servidor.
Los archivos merecen una auditoría regular, porque las claves se acumulan. Cada línea de authorized_keys es una puerta a un servidor, y las puertas siguen abiertas mucho después de que la persona que las necesitaba se haya ido: el portátil de un contratista, un trabajo de CI, una clave generada en una máquina que ya se ha borrado. Pega el archivo en la pestaña Inspeccionar y esta página cuenta las claves, marca los duplicados, señala los tipos débiles y antiguos, y enumera las líneas que no pudo analizar en lugar de descartarlas en silencio. Haz lo mismo con known_hosts, donde las entradas con hash ocultan el nombre del host: esta página las notifica como con hash en lugar de fingir que son legibles. Una auditoría de diez minutos cada pocos meses es el trabajo de seguridad más barato que un propietario de servidor jamás hace.
La suite, en términos sencillos
| Ed25519 | Una clave moderna de curva elíptica: 256 bits, rápida y pequeña. La opción predeterminada recomendada para claves nuevas en 2026, compatible con todos los servidores y clientes SSH actuales. |
| ECDSA P-256 / P-384 | Claves de curva elíptica en las curvas NIST P-256 y P-384. Un buen recurso cuando Ed25519 no está disponible, y la opción estándar donde la política exige curvas NIST. |
| RSA 2048 / 3072 / 4096 | El tipo de clave clásico. RSA 2048 es el mínimo que merece la pena usar; 3072 y 4096 compran margen a cambio de una firma más lenta. Todo lo inferior a 2048 se marca como débil. |
| Clave pública | La mitad que instalas en los servidores, en authorized_keys. Se puede compartir libremente: solo permite verificar una prueba, nunca crear una. |
| Clave privada | La mitad que nunca sale de tu máquina. Quien la tenga puede entrar como tú. Protégela con chmod 600, una frase de contraseña, y nunca la pegues en ningún sitio. |
| Huella | Un hash corto de la clave pública, impreso como SHA256:… o MD5:… Exactamente lo que imprime ssh-keygen -lf, para que puedas compararlo con lo que muestra el servidor. |
| authorized_keys | El archivo de un servidor (~/.ssh/authorized_keys) que enumera las claves públicas autorizadas a entrar. Cada línea es una puerta; las líneas obsoletas son puertas que olvidaste que abriste. |
| known_hosts | El archivo de tu máquina (~/.ssh/known_hosts) que registra la clave de host de cada servidor. Es lo que permite a SSH avisarte cuando la clave de un servidor cambia de repente. |
| PEM / JWK | Otras dos codificaciones de clave: PEM es el formato de texto base64 que usan las herramientas TLS y OpenSSL; JWK es el formato JSON que usan las API web. Convertir nunca cambia la clave en sí. |
Preguntas frecuentes
¿Qué tipo de clave debo elegir?
Ed25519 para casi todo: es rápida, pequeña y segura con 256 bits, y todos los servidores actuales la admiten. Elige ECDSA P-256 solo si una política o un sistema antiguo exige curvas NIST, y RSA 3072 o 4096 solo si el otro lado no puede usar curvas elípticas en absoluto.
¿La clave privada generada está cifrada?
No. La versión 1 genera claves sin cifrar, con cipher none, exactamente como ssh-keygen sin frase de contraseña. Descárgala, pon chmod 600, y si quieres una frase de contraseña, ejecuta ssh-keygen -p -f tu-clave — eso añade la protección bcrypt de OpenSSH en tu propia máquina.
¿Por qué falla Ed25519 en mi navegador?
La generación de claves Ed25519 necesita compatibilidad con Ed25519 en WebCrypto, de la que carecen los navegadores antiguos. Esta página lo detecta y te lo dice, en lugar de falsificar la clave. Usa ECDSA P-256 como alternativa, o actualiza tu navegador e inténtalo de nuevo.
¿Puedo pegar mi clave privada aquí para revisarla?
Puedes pegar una clave privada OpenSSH sin cifrar y esta página analizará su parte pública localmente — pero piénsalo dos veces. El hábito más seguro es pegar solo claves públicas y archivos authorized_keys. Una clave privada protegida con frase de contraseña se rechaza con un error claro, nunca se analiza.
¿Qué hago si se filtra una clave?
Genera un par de claves nuevo, elimina la clave pública antigua de authorized_keys en cada servidor y servicio, y trata todo lo que la clave antigua podía alcanzar como expuesto hasta haberlo revisado. La lista completa está en la guía de claves SSH explicadas.