Generador de contraseñas seguras

Qué puedes hacer aquí

• Elegir una longitud entre 4 y 64 caracteres y combinar hasta cuatro clases distintas.
• Asegurar al menos una mayúscula, una minúscula, un número o un símbolo de cada grupo seleccionado.
• Usar `crypto.getRandomValues` con muestreo por rechazo y detenerse si el navegador no ofrece una fuente segura.
• Excluir O, 0, l, 1 e I cuando la clave deba leerse, dictarse o teclearse manualmente.
• Copiar la contraseña sin crear una cuenta ni enviarla a un servidor de FunnyTools.

Respuesta rápida: cómo crear una contraseña segura

Para una cuenta real, selecciona una longitud amplia, conserva las cuatro clases si el servicio las acepta y pulsa «Generar contraseña». Una opción práctica para la mayoría de registros es comenzar con 16 o más caracteres. Copia el resultado a un gestor de contraseñas y úsalo en una sola cuenta. Si la web impone una longitud o un conjunto de símbolos concreto, ajusta la configuración a esa política antes de guardar la clave.

El control permite bajar hasta cuatro caracteres porque también sirve para maquetas y pruebas de formularios; una salida tan corta no debe utilizarse como secreto de acceso. La longitud es una defensa central frente a intentos de adivinación, pero el resultado pierde gran parte de su utilidad si se reutiliza, se deja en un documento compartido o se introduce en un dispositivo comprometido. La seguridad de la cuenta depende también del servicio, la recuperación y la autenticación multifactor.

Qué fuente aleatoria utiliza el generador

La selección se realiza con `crypto.getRandomValues`, la interfaz que los navegadores ofrecen para obtener valores aleatorios adecuados para usos criptográficos. FunnyTools toma un entero de 32 bits, descarta los valores que introducirían un sesgo al aplicar el módulo y vuelve a pedir otro cuando hace falta. Ese muestreo por rechazo evita favorecer algunos caracteres cuando el tamaño del alfabeto no divide exactamente el espacio de enteros.

La página no cambia silenciosamente a `Math.random` si la API segura no existe. En ese caso deja la salida vacía y muestra un error. Esta decisión es importante: `Math.random` sirve para animaciones, muestras visuales o pequeños juegos, pero su secuencia no está diseñada para secretos. El código puede inspeccionarse en el navegador y el proceso ocurre en la pestaña; aun así, una extensión maliciosa, un sistema infectado o un portapapeles sincronizado quedan fuera del control de la página.

Longitud, variedad y reglas del sitio

Una contraseña generada a partir de un espacio amplio se vuelve más difícil de probar por fuerza bruta a medida que aumenta la longitud. Marcar varias clases también amplía el conjunto posible y ayuda a satisfacer formularios antiguos que exigen una mayúscula, un número o un símbolo. El algoritmo coloca primero un carácter de cada clase elegida, completa el resto desde el conjunto combinado y baraja todas las posiciones; por eso una categoría obligatoria no queda siempre al principio.

Las reglas de composición no sustituyen a la longitud. La guía NIST SP 800-63B-4 para verificadores desaconseja imponer mezclas arbitrarias de tipos y pide admitir contraseñas largas; eso no impide que una persona utilice voluntariamente un generador con distintas clases. En la práctica, manda la política del servicio receptor. Algunos rechazan determinados símbolos, limitan la longitud o recortan espacios. Prueba el registro y el inicio de sesión antes de borrar cualquier acceso anterior.

Qué significa el indicador de fuerza

La etiqueta «Débil», «Aceptable», «Fuerte» o «Muy fuerte» es una orientación local basada en longitud y número de clases. No calcula la entropía real, no compara la cadena con filtraciones conocidas, no conoce patrones personales y no simula el sistema de almacenamiento del proveedor. Una clave puede recibir una etiqueta alta y ser inadecuada si ya se utilizó en otra web o si alguien la vio al copiarla.

Tampoco conviene interpretar la barra como tiempo garantizado de descifrado. Ese tiempo varía según el algoritmo de hash, el coste configurado, la velocidad del atacante, el número de intentos permitido y si la base de datos salió del servidor. Utiliza el indicador para detectar configuraciones obviamente cortas, no para certificar seguridad. En entornos empresariales, sigue el gestor aprobado, los controles de acceso y la política de respuesta ante incidentes.

Una contraseña distinta para cada servicio

La reutilización convierte una filtración en una llave para varias cuentas. Si un comercio pierde tu contraseña y la misma combinación abre el correo, un atacante puede aprovecharla sin romper ningún cifrado. Genera un valor independiente para cada dominio y almacénalo junto con la dirección exacta del servicio. Un gestor de contraseñas facilita esta práctica y reduce la necesidad de inventar reglas previsibles como cambiar el año o añadir el nombre de la web.

Antes de pegar una clave, comprueba el dominio y evita enlaces inesperados recibidos por mensaje. Una contraseña larga no es resistente al phishing cuando se entrega a una página falsa. Las passkeys y llaves de seguridad pueden ofrecer mejor resistencia a ese ataque cuando el servicio las admite. Activa además autenticación multifactor y guarda los códigos de recuperación en un lugar separado; el generador no configura ninguno de esos controles.

Cuándo excluir O0l1I

La casilla de caracteres ambiguos elimina exactamente O mayúscula, cero, ele minúscula, uno e i mayúscula. Resulta útil para una clave temporal que debe leerse en una pantalla, imprimirse o dictarse por teléfono. Reduce errores humanos en tipografías donde esos signos se parecen. No elimina todos los caracteres visualmente próximos ni convierte el resultado en una frase fácil de recordar.

Excluir signos reduce ligeramente el conjunto disponible, por lo que suele compensarse con más longitud. Si vas a guardar y rellenar la clave mediante un gestor, normalmente no necesitas esta opción: copiar una cadena larga evita la confusión visual. Si el servicio prohíbe ciertos símbolos, desmarca el grupo completo o genera de nuevo hasta cumplir su política; la interfaz no permite editar una lista personalizada de caracteres.

Portapapeles, dispositivo y almacenamiento

Al pulsar «Copiar contraseña», el valor pasa al portapapeles del sistema. Otros programas, historiales del portapapeles y funciones de sincronización podrían conservarlo. Pégalo de inmediato en el destino correcto, guárdalo en el gestor y limpia el historial si tu sistema lo permite. Evita copiar secretos en equipos públicos, escritorios remotos no confiables o sesiones compartidas.

FunnyTools no mantiene un historial ni ofrece recuperación. Al recargar o cerrar la pestaña se pierde la referencia de la página, aunque el navegador, el sistema operativo o una captura de pantalla pueden conservar rastros ajenos al sitio. No envíes la clave por correo o chat junto con el nombre de la cuenta. Para accesos compartidos de empresa, usa una función de intercambio controlado del gestor y retira el permiso cuando termine la necesidad.

Límites: no es una clave criptográfica ni una auditoría

La salida está pensada para campos de contraseña. No debe emplearse directamente como clave AES, semilla de una cartera, frase de recuperación, token de firma, secreto de API ni material de producción para una infraestructura criptográfica. Esos sistemas definen tamaños, codificaciones, derivación, almacenamiento y rotación específicos. Utiliza la biblioteca o el procedimiento oficial del producto correspondiente.

El generador tampoco verifica si una cadena apareció en una filtración porque no la envía a ningún servicio externo. Una contraseña recién generada tiene una probabilidad mínima de coincidir por azar, pero la página no emite una certificación. Si una organización necesita controles de compromiso, puede aplicarlos dentro de su sistema de identidad sin exponer el secreto completo y siguiendo su evaluación de riesgos.

Cómo utilizarla paso a paso

1. Consulta la política de la cuenta y fija una longitud suficiente; para uso real, evita el extremo corto del control.
2. Marca las clases admitidas y activa la exclusión O0l1I únicamente si habrá lectura o escritura manual.
3. Genera la contraseña y confirma que la página no muestra un error de fuente aleatoria segura.
4. Cópiala directamente a un gestor de contraseñas y úsala en un solo servicio.
5. Prueba el inicio de sesión, activa MFA o passkey si existe y guarda la recuperación por separado.

Situaciones en las que resulta útil

• Crear una clave única de 20 caracteres para una nueva cuenta de correo.
• Generar una contraseña de laboratorio que cumpla una validación de mayúscula, número y símbolo.
• Preparar un acceso Wi-Fi temporal sin O0l1I para reducir errores al teclear.
• Sustituir una contraseña reutilizada y registrar el nuevo valor en un gestor confiable.

Ejemplos completos

Límites y comprobaciones importantes

• El intervalo de 4 a 64 cubre pruebas técnicas; una contraseña corta no se vuelve segura por ser aleatoria.
• La barra de fuerza es una heurística de longitud y variedad, no una auditoría ni una estimación garantizada de descifrado.
• La herramienta no consulta filtraciones, no guarda resultados y no puede recuperar una clave perdida.
• Generación local no protege frente a phishing, malware, extensiones hostiles o historial del portapapeles.
• No utilices la salida como semilla, frase de recuperación o clave criptográfica de otro sistema.

Preguntas frecuentes