Generador de contraseñas

Un generador de contraseñas crea claves que no ha elegido ninguna persona

Eliges la longitud y los caracteres que quieres incluir, y esta herramienta crea al azar una contraseña que cumple esas condiciones. La configuración por defecto son 16 caracteres que mezclan minúsculas, mayúsculas, números y 16 símbolos. Con ella pueden salir unas 1,62 × 10³⁰ contraseñas distintas, es decir, unos 100,4 bits. Si una web solo acepta ciertos símbolos, puedes marcar uno por uno los que quieras usar.

Si tienes que memorizar y escribir la clave tú mismo, te conviene más una frase de contraseña formada por varias palabras en inglés. Para una cerradura o un móvil que solo piden números, elige un PIN numérico. Los tres tipos se generan con los números aleatorios seguros de tu navegador, y el resultado no se envía a ningún servidor ni se guarda.

Por qué generar la contraseña en lugar de inventarla

Una contraseña que se le ocurre a una persona suele salir de material fácil de adivinar: nombres, fechas de cumpleaños, palabras favoritas o filas del teclado. Una cadena generada al azar no tiene nada de eso que adivinar. Las pautas de identidad digital del NIST de Estados Unidos (SP 800-63B-4) señalan además que los gestores de contraseñas aumentan la probabilidad de que la gente elija claves más fuertes, sobre todo si el gestor incluye un generador.

Esta herramienta resulta útil, sobre todo, en estos casos.

• Al crear una cuenta nueva: una contraseña distinta para cada cuenta evita que la filtración de una abra las demás. Como la guardarás en un gestor, genera una larga y aleatoria.
• Tras un aviso de filtración: hay que cambiar todas las cuentas que usaban esa clave. Si son varias, pulsa «Generar otra» y crea una distinta para cada una.
• Contraseñas del wifi y de administración de dispositivos: sirven para sustituir la clave que viene de fábrica. Si tienes que dictársela a una visita, activa «Quitar caracteres que se confunden» para que no se mezclen el 0 y la O.
• Claves que hay que recordar: la contraseña maestra de un gestor o el acceso a tu ordenador, que escribes cada vez, es más fácil de recordar como frase de contraseña y puede seguir siendo larga.
• Sitios que solo piden números: para cerraduras, el bloqueo del móvil o el PIN de una tarjeta, usa el PIN. Puede saltarse series fáciles como 111 o 123.

Cómo se usa

1. Elige el tipo arriba. Al abrir la página ya hay una contraseña aleatoria de 16 caracteres generada.
2. Escribe un número en la casilla de longitud, mueve la barra o pulsa un valor rápido (12, 16, 20, 32, 64). Al cambiar el valor se genera una contraseña nueva.
3. Activa o desactiva las cuatro tarjetas de caracteres (minúsculas, mayúsculas, números, símbolos). De los 32 símbolos, deja marcados solo los que quieras usar. Si no quieres caracteres que se confunden, como 0 y O, activa «Quitar caracteres que se confunden».
4. Comprueba el resultado en el visor. Los caracteres se agrupan de cuatro en cuatro con su número de posición, los números van en gris y los símbolos en naranja, para que no pierdas el sitio al copiarla a mano. Si alguien puede ver tu pantalla, pulsa «Ocultar».
5. Pulsa Copiar, pégala en el formulario de registro y guarda el mismo valor en tu gestor de contraseñas. Si quieres otro valor con la misma configuración, pulsa Generar otra.

Tres tipos: cuál elegir

Más bits significan más contraseñas posibles, pero el tipo adecuado depende de dónde la vayas a usar. Un PIN puede servir con solo 19,8 bits porque el dispositivo que lo pide suele bloquearse tras unos pocos intentos fallidos. Las pautas del NIST también exigen limitar los fallos de inicio de sesión seguidos a no más de 100 por cuenta. La contraseña de una web es distinta: si el servicio sufre una filtración y los valores guardados salen fuera, se pueden probar sin ningún bloqueo, así que conviene hacerla larga.

Cómo crecen las combinaciones con la longitud y los tipos de carácter

La tabla se ha calculado igual que la barra de la herramienta. Cada tipo elegido debe aparecer al menos una vez, así que no se cuentan las cadenas que se saltan alguno de ellos.

Si lees la tabla en horizontal ves lo que aporta añadir un tipo de carácter, y en vertical lo que aporta alargar la clave. Añadir 16 símbolos a una clave de 16 letras y números (95,2 bits) da 100,4 bits, es decir, 5,2 más. Sin símbolos pero con 20 caracteres salen 119,0 bits, 23,8 más. Por eso, si una web no acepta símbolos, unos cuantos caracteres más lo compensan de sobra. La línea junto a la barra, «Un carácter más suma +bits», indica lo que vale un carácter con tu configuración actual.

Cuántas palabras bastan

La frase de contraseña usa la lista de palabras en inglés que la Electronic Frontier Foundation (EFF) diseñó para elegirlas con dados. La lista tiene 7.776 palabras, y esta herramienta quita las 4 que llevan guion (drop-down y otras), con lo que quedan 7.772. Se quitan para que, con el guion como separador, dos grupos de palabras distintos no puedan verse como el mismo texto. Cada palabra vale unos 12,9 bits. Las palabras tienen de 3 a 9 letras, 7 de media, de modo que cinco palabras unidas con guiones suman normalmente unos 39 caracteres.

El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) aconseja combinar tres palabras al azar para las cuentas de uso diario. La EFF propone una frase de seis palabras para la mayoría de los usos, así que para una contraseña maestra, que protege todas tus demás cuentas, lo mejor es apuntar a cinco o seis. «Primera letra en mayúscula» solo sirve para las webs que exigen una mayúscula y no añade combinaciones. «Añadir un número» pega un dígito al final de una de las palabras, de modo que multiplica el total por 10 y por el número de sitios donde puede ir.

PIN numérico y series de dígitos

Cada posición del PIN es un dígito del 0 al 9. Con «Evitar 3 dígitos iguales o 3 seguidos» activado, el generador deja fuera los PIN con el mismo dígito tres veces seguidas, como 111, o con tres dígitos que suben o bajan de uno en uno, como 123 o 987. Un 0 después de un 9 no se cuenta como serie.

Quitar esos PIN apenas resta fuerza: ni un bit entero. A cambio, no salen los PIN que otra persona probaría primero, y no tendrás que volver a generar en los dispositivos que rechazan esos patrones. Una cifra ligada a ti, como un cumpleaños o un teléfono, no la puede conocer esta herramienta, así que si el resultado coincide con alguna, genera otro.

Por qué cada web tiene reglas de contraseña distintas

Las recomendaciones para ciudadanos del INCIBE, el instituto español de ciberseguridad, piden un mínimo de longitud y una mezcla de tipos de carácter.

Longitud: Elige contraseñas que tengan al menos 8-10 caracteres. Cuanto más larga sea la contraseña, mejor.
Combinaciones de caracteres: Procura que la clave esté compuesta por letras (mayúsculas y minúsculas), números y caracteres especiales (como @, #, $, ¡ o*).
Con un gestor de contraseñas, no necesitas recordar todas tus contraseñas. Solo necesitas recordar la contraseña maestra…

INCIBE, Contraseñas seguras · comprobado el 2026-10-22

El NIST, en su guía de 2025, va en sentido contrario en un punto: pide no imponer reglas de composición, como exigir mezclas de tipos de carácter, aceptar contraseñas de al menos 64 caracteres y admitir todos los caracteres ASCII imprimibles y el espacio. Cada web decide por su cuenta, y por eso unas obligan a incluir símbolos, otras rechazan alguno y otras limitan el largo a 12 o 20 caracteres.

Un detalle práctico: el signo «¡» que cita el INCIBE como ejemplo no es ASCII, y no está entre los 32 símbolos de esta herramienta, porque hay webs que no aceptan caracteres fuera de ASCII. Como las reglas cambian de una web a otra, el generador tiene que adaptarse. Lee en el registro qué símbolos se permiten y cuál es la longitud máxima, y ajusta los símbolos marcados y la longitud. Si la web rechaza el resultado, lee el mensaje para saber qué carácter no le gusta, desactiva solo ese símbolo y genera otra vez.

Cómo se eligen los caracteres al azar

El azar sale de crypto.getRandomValues(), de la API Web Crypto del navegador. La especificación del W3C la define como una función que rellena bytes con bytes aleatorios criptográficamente seguros. La hora y Math.random() no se usan nunca para la contraseña, solo para el efecto de giro del visor.

• Elegir un carácter sin sesgo: si se tomara el resto de dividir un número aleatorio de 32 bits entre el número de candidatos, los primeros caracteres saldrían un poco más a menudo. Por eso se descartan los valores por encima del último múltiplo completo del número de candidatos y se vuelve a sacar.
• Que salgan todos los tipos elegidos: si activas los números y el resultado no tiene ninguno, se descarta la cadena entera y se vuelve a empezar. Así, todas las cadenas que cumplen las condiciones tienen la misma probabilidad, cosa que no ocurriría si se metiera un número a la fuerza en un hueco. Con los 16 caracteres por defecto, un 86 % de los intentos pasa a la primera, de modo que repetir es raro.
• Las combinaciones se cuentan, no se estiman: en los caracteres al azar se usa el principio de inclusión-exclusión, en la frase de contraseña se multiplica 7.772 una vez por palabra, y en los PIN que evitan series se cuenta posición a posición recordando los dos dígitos anteriores. El número exacto se convierte después en bits.

Cómo guardarla y escribirla después

Una contraseña aleatoria no es para memorizarla. Cópiala, pégala en la web, guarda el mismo valor en tu gestor de contraseñas y, después, cierra sesión y vuelve a entrar con la clave nueva para comprobar que se guardó bien. Las pautas del NIST dicen que los servicios deben permitir los gestores de contraseñas y el autocompletado, y recomiendan permitir también pegar.

• Lo que copias puede quedar en el historial del portapapeles del sistema o sincronizarse con otros dispositivos. Después de pegar, copia otro texto cualquiera para sobrescribirlo.
• En un televisor o una consola que no permiten pegar, mira los grupos numerados del visor y escribe de cuatro en cuatro. Activa «Quitar caracteres que se confunden» antes de generarla.
• Si compartes la pantalla en una reunión, pulsa «Ocultar» antes de generar. Aunque esté oculta, se puede copiar.

Errores frecuentes

• Pegar un valor antiguo después de cambiar la configuración: al cambiar la longitud, los tipos o los símbolos se genera una contraseña nueva. Termina de ajustar todo y copia al final.
• Pasarse de la longitud máxima de la web: si la casilla tiene un límite de caracteres, al pegar se puede cortar el final sin avisar, y el valor del gestor ya no coincide con la contraseña real. Si hay un máximo indicado, quédate dentro.
• Quitar los símbolos y preocuparse por la fuerza: sin símbolos y con 4 caracteres más se gana más de lo que se pierde. Compara las filas de 16 y 20 caracteres de la tabla.
• Retocar a mano la frase de contraseña: si cambias palabras por otras que te gustan, deja de ser aleatoria. Si no te gusta, pulsa «Generar otra».
• Usar la misma contraseña en varios sitios: aunque la haya generado esta herramienta, si una web la filtra quedan en riesgo todas las cuentas que la usen. Crea una distinta para cada cuenta.

Límites y precauciones

• Los bits de la barra son solo el número de resultados posibles con esa configuración. No son un tiempo de descifrado ni un nivel de seguridad. El riesgo real depende de cómo guarde el servicio las contraseñas, de si limita los intentos de acceso y de si usaste el mismo valor en otro sitio.
• No hay ninguna función para comprobar si una contraseña que ya usas se ha filtrado ni para medir su fuerza. No escribas tus contraseñas actuales en otras webs para probarlas.
• La frase de contraseña usa solo palabras en inglés. Esta herramienta no usa ninguna lista pública verificada de palabras en español, y muchas webs no aceptan en la contraseña caracteres como la ñ o las vocales con tilde.
• Una contraseña aleatoria escrita en una página de phishing se entrega igual. Si el servicio ofrece claves de acceso (passkeys) o un segundo factor, actívalos también.
• Si el dispositivo tiene malware o una extensión que vigila la pantalla, esta herramienta no puede evitarlo.

Fuentes

Fecha de comprobación Las páginas del INCIBE, NIST SP 800-63B-4, W3C Web Cryptography, EFF y NCSC se contrastaron con el texto original el 22 de octubre de 2026. Los bits de las tablas se calcularon con el código de recuento de esta herramienta, y los casos pequeños se verificaron contando una por una todas las combinaciones.

• 01NIST SP 800-63B-4: Authentication and Authenticator ManagementAgosto de 2025. 3.1.1 contraseñas de al menos 15 u 8 caracteres, máximo de 64, sin reglas de composición, gestores y pegado permitidos; 3.2.2 límite de 100 fallos seguidos
• 02W3C Web Cryptography Level 2: getRandomValuesBytes aleatorios criptográficamente seguros, hasta 65.536 bytes por llamada
• 03INCIBE: Contraseñas segurasLongitud mínima de 8-10 caracteres, combinación de tipos de carácter, uso de un gestor de contraseñas
• 04EFF: Dice-Generated PassphrasesLista grande de 7.776 palabras, seis palabras recomendadas para la mayoría de los usos
• 05NCSC: Three random wordsConsejo del Centro Nacional de Ciberseguridad del Reino Unido de combinar tres palabras al azar

Preguntas frecuentes

Herramientas relacionadas