Una contraseña aleatoria es tan fuerte como su longitud multiplicada por los bits que aporta cada carácter. Con mayúsculas, minúsculas, cifras y los 14 símbolos activados, el conjunto tiene 76 caracteres y cada uno aporta unos 6.25 bits, así que 16 caracteres dan alrededor de 100 bits. INCIBE pide al menos 8 a 10 caracteres y el NIST, 15 si la contraseña es el único factor; aquí puedes ir de 4 a 128.
Una herramienta general para cualquier contraseña
No hay una contraseña que sirva para todo. La clave del wifi que tus invitados teclean en el televisor, el PIN del teléfono y la contraseña de una base de datos que se pega en un archivo de configuración necesitan cosas distintas. Esta página es la herramienta general: tú eliges la longitud y los tipos de caracteres. Si ya sabes para qué es la contraseña, los ajustes predefinidos que aparecen bajo la herramienta llevan valores pensados para cada caso.
Los controles son estos:
- Longitud de 4 a 128 caracteres, con 16 al empezar. El deslizador y la casilla numérica van sincronizados.
- Tipos de caracteres: mayúsculas A–Z, minúsculas a–z, cifras 0–9 y símbolos. Los símbolos son exactamente
! # $ % & * + - = ? @ ^ _ ~(14 en total). Las comillas, barras, paréntesis, comas y espacios se dejan fuera porque son los que más problemas dan en formularios, terminales y archivos de configuración. - Excluir caracteres que se confunden quita 0, O, o, 1, l e I, para que la contraseña se pueda copiar de un papel o de una pantalla sin dudar.
- Al menos uno de cada tipo elegido viene activado, para los muchos sitios que todavía exigen “una mayúscula, un número y un símbolo”.
Sin eñes, sin tildes
El generador solo usa caracteres ASCII: nunca saldrá una ñ, una vocal con tilde ni una ü. Es a propósito. Una contraseña con caracteres del español puede ser imposible de escribir en un teclado de otro país, en el televisor o en la pantalla de inicio de algunos equipos, y hay sistemas que los rechazan o los guardan mal.
Un detalle que afecta a los teclados en español: el acento circunflejo ^ es una tecla muerta, que no aparece hasta que escribes el carácter siguiente. Si vas a teclear la contraseña a mano y te da problemas, desactiva los símbolos o usa el ajuste predefinido sin símbolos (en inglés).
Crea una contraseña en cinco pasos
- Ajusta la longitud con el deslizador o escribe un número entre 4 y 128.
- Activa o desactiva los tipos de caracteres según lo que acepte el sitio o el dispositivo.
- Activa la exclusión de caracteres que se confunden si alguna vez vas a dictar la contraseña o a copiarla a mano.
- Genera y mira la entropía que aparece bajo el resultado; con los 16 caracteres iniciales verás 99.7 bits.
- Copia la contraseña directamente en tu gestor de contraseñas o en el formulario de registro, y genera otra si el sitio la rechaza.
Cómo se calcula la entropía
Aquí, entropía significa cuántas contraseñas igual de probables pueden salir con tus ajustes, expresado como potencia de dos. Si una contraseña es una entre 2⁸⁰ posibilidades, quien las pruebe en orden necesitará de media 2⁷⁹ intentos. La fórmula es corta:
entropía en bits = longitud × log2(tamaño del conjunto de caracteres)
El conjunto crece con cada tipo que permites:
| Caracteres permitidos | Tamaño del conjunto | Bits por carácter |
|---|---|---|
| Solo cifras | 10 | 3.32 |
| Solo minúsculas | 26 | 4.70 |
| Minúsculas y cifras | 36 | 5.17 |
| Mayúsculas, minúsculas y cifras | 62 | 5.95 |
| Los cuatro tipos, sin caracteres que se confunden | 70 | 6.13 |
| Los cuatro tipos | 76 | 6.25 |
Dos detalles hacen que la cifra sea honesta. Primero, cada carácter se elige con la misma probabilidad, así que la fórmula es exacta y no una estimación de hábitos humanos. Segundo, con “al menos uno de cada tipo” activado hay combinaciones que nunca salen (una contraseña solo de minúsculas, por ejemplo), así que el indicador muestra un valor un poco más bajo y prudente: cuenta solo las contraseñas que contienen todos los tipos elegidos. Con 8 caracteres y los cuatro tipos, solo el 47.5 % de las cadenas al azar los contienen todos, lo que cuesta algo más de 1 bit. Con 20 caracteres, el coste es de una décima de bit.
La entropía solo describe los intentos de adivinarla. No protege una contraseña reutilizada, escrita en una página falsa o guardada en texto plano por un sitio descuidado. Para eso, lo que funciona es usar una contraseña distinta en cada sitio, guardada en un gestor de contraseñas.
Qué longitud elegir
Depende de cómo puedan atacarla. Un sitio web que bloquea la cuenta tras unos cuantos fallos solo puede atacarse en línea, pocos intentos cada vez. Una base de datos filtrada, la captura del intercambio de autenticación de una red wifi o un archivo cifrado se atacan sin conexión, a miles de millones de intentos por segundo si el hash es rápido. La tabla muestra el tiempo medio con los cuatro tipos de caracteres, a dos velocidades: 10¹⁰ intentos por segundo (una tarjeta gráfica actual contra un hash rápido) y 10¹² (un equipo con varias tarjetas contra un hash tan rápido como NTLM).
| Longitud | Bits | 10¹⁰ por segundo | 10¹² por segundo |
|---|---|---|---|
| 8 | 50.0 | 15 horas | 9 minutos |
| 10 | 62.5 | 10 años | 37 días |
| 12 | 75.0 | 59 000 años | 590 años |
| 14 | 87.5 | 3.4 × 10⁸ años | 3.4 × 10⁶ años |
| 16 | 100.0 | 2 × 10¹² años | 2 × 10¹⁰ años |
| 20 | 125.0 | 6.5 × 10¹⁹ años | 6.5 × 10¹⁷ años |
Las recomendaciones oficiales no coinciden del todo. La guía de INCIBE para la ciudadanía pide “al menos 8-10 caracteres” y añade que cuanto más larga, mejor. La revisión de 2025 de la norma del NIST estadounidense exige 15 caracteres o más cuando la contraseña se usa sola, y se conforma con 8 si además hay un segundo factor. CISA, la agencia de ciberseguridad de Estados Unidos, recomienda al público 16 como mínimo. Para cualquier cosa que pueda atacarse sin conexión, 16 caracteres aleatorios o más es un suelo cómodo.
Ajustes predefinidos
Cada página de longitud fija ese número de caracteres (puedes cambiarlo), mantiene los cuatro tipos activados y explica su entropía, sus tiempos y qué normas o sistemas lo mencionan. Esas páginas están en inglés, aunque la herramienta aparece en español:
| Ajuste | De qué trata esa página |
|---|---|
| 8 caracteres | El viejo mínimo y por qué 50 bits caen rápido ante un hash rápido |
| 10 caracteres | Lo que aportan dos caracteres más y los sistemas que se quedan en 10 |
| 12 caracteres | El mínimo de PCI DSS 4.0 para sistemas de pago |
| 14 caracteres | El tope de las directivas antiguas de Windows y el corte del hash LM |
| 15 caracteres | El mínimo del NIST cuando la contraseña es el único factor |
| 16 caracteres | La longitud que la ciberseguridad estadounidense recomienda al público |
| 20 caracteres | Donde la fuerza bruta deja de ser la pregunta importante |
| 24 caracteres | Margen para sitios que limitan los caracteres que puedes usar |
| 32 caracteres | Secretos para archivos de configuración y bases de datos que cortan en 30 o 32 |
| 64 caracteres | Los servicios deberían admitir al menos 64 caracteres; también se explica la clave hexadecimal del wifi |
Y por reglas:
- Fácil de recordar: tres palabras en inglés con mayúscula, guiones y dos cifras.
- Wi-Fi: 20 letras y cifras fáciles de introducir con el control remoto.
- PIN: 6 cifras al azar, ajustable de 4 a 12.
- Sin símbolos: 16 letras y cifras para sitios que no aceptan signos.
- Pronunciable: seis sílabas de consonante y vocal más dos cifras.
- Fácil de escribir: minúsculas y cifras en grupos de cuatro separados por guiones.
Si necesitas algo para memorizar en lugar de guardar, prueba el generador de frases de contraseña. Para valorar una contraseña que ya tienes, usa el comprobador de seguridad de contraseñas (en inglés).
Dónde queda la contraseña
La contraseña la crea el código JavaScript que se ejecuta en esta pestaña. No se envía a ningún servidor, no se guarda en el navegador y no queda en el historial. Al copiarla pasa al portapapeles como cualquier otro texto; algunos sistemas y teclados de teléfono guardan un historial del portapapeles, así que bórralo si usas un equipo compartido. Recargar o cerrar la página lo descarta todo.
Por dentro
Los valores aleatorios salen de crypto.getRandomValues, el generador criptográficamente seguro del navegador. Convertir un byte aleatorio en uno de 76 caracteres requiere cuidado: 256 no es múltiplo de 76, así que usar el resto de la división haría que los primeros 28 caracteres salieran un poco más a menudo. El generador usa muestreo por rechazo: si el byte cae por encima del último múltiplo de 76, lo tira y pide otro, de modo que cada carácter tiene exactamente la misma probabilidad. Para confirmar que generar no envía nada, abre las herramientas de desarrollo de tu navegador en esta página; los pasos están en la metodología.
Preguntas frecuentes
¿Una contraseña generada es mejor que una inventada?
Sí, frente a los intentos de adivinarla. Las personas repiten patrones, como una mayúscula al principio, una palabra, un año y un signo de exclamación, y los programas de descifrado prueban esos patrones primero. Una contraseña generada no tiene patrón que aprovechar, y por eso su entropía se puede calcular con exactitud.
¿Por qué baja la entropía al activar “al menos uno de cada tipo”?
Porque la regla elimina todas las combinaciones a las que les falta algún tipo. Menos contraseñas posibles significa menos bits. La pérdida ronda un bit con 8 caracteres y es casi nula a partir de 16, así que déjala activada cuando un sitio exija tipos variados.
¿Excluir los caracteres que se confunden debilita la contraseña?
Reduce el conjunto de 76 a 70 caracteres, unos 0.12 bits menos por carácter. Una contraseña de 16 caracteres pasa de unos 100 a unos 98 bits. Añade un carácter si quieres compensarlo.
¿Cuál es la contraseña más larga que acepta un sitio?
No hay un máximo universal. El NIST dice que los servicios deberían aceptar al menos 64 caracteres, y versiones anteriores del estándar de verificación de OWASP pedían rechazar las de más de 128. Algunos sistemas cortan mucho antes, y las páginas de cada longitud mencionan los límites que conocemos.
¿Por qué un sitio rechazó la contraseña que generé?
Normalmente por una regla del sitio que el generador no puede conocer: un tope de longitud, un símbolo prohibido o una exigencia como “debe empezar por una letra”. Ajusta la longitud o los tipos y genera otra; no cuesta nada.
¿Puedo generar contraseñas sin conexión?
Sí. Una vez cargada la página, generar no necesita conexión, porque todo se hace en tu dispositivo.
Fuentes
Consultadas el 11 oct. 2026.
- NIST SP 800-63B-4 (en inglés)
- INCIBE: Gestión de contraseñas seguras
- CISA: Use strong passwords (en inglés)
- OWASP ASVS 4.0.3, V2.1 (en inglés)
Última actualización: