Generador de Contraseñas
Genera contraseñas fuertes y aleatorias al instante — gratis, sin registro.
¿Qué hace que una contraseña sea segura?
Una contraseña segura es larga, verdaderamente aleatoria y única — usada para una sola cuenta, nunca reutilizada en otros servicios. La Agencia Española de Protección de Datos (AEPD) y el Instituto Nacional de Ciberseguridad (INCIBE) recomiendan contraseñas de al menos 12 caracteres para cuentas comunes y 16 o más para accesos sensibles como banca online, correo electrónico o la sede electrónica de la AEAT.
España registra una de las tasas más altas de phishing y robo de credenciales en la Unión Europea según los informes anuales de la ENISA. El RGPD —aplicado en España a través de la LOPDGDD (Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales)— obliga a las organizaciones a implementar medidas técnicas apropiadas para proteger los datos personales, incluyendo políticas de contraseñas robustas.
Este generador crea contraseñas usando crypto.getRandomValues() — la API criptográficamente segura del navegador. Tu contraseña se genera completamente en tu dispositivo y nunca se transmite a ningún servidor.
Cómo funciona el generador de contraseñas
Selecciona los tipos de caracteres, ajusta la longitud y haz clic en Generar. La herramienta construye un conjunto de caracteres según tus configuraciones y selecciona cada posición de forma independiente usando crypto.getRandomValues() con muestreo por rechazo para eliminar cualquier sesgo estadístico. El resultado es una contraseña con entropía máxima para el conjunto elegido.
Completamente en tu navegador. Ningún dato se envía a nuestros servidores. Ninguna contraseña se registra, almacena ni incluye en paquetes de telemetría. Puedes verificarlo abriendo las Herramientas para desarrolladores (F12) → pestaña Red: no se genera ninguna solicitud saliente cuando haces clic en Generar.
La entropía de las contraseñas explicada claramente
La entropía mide la imprevisibilidad de tu contraseña en bits. La fórmula: entropía = log₂(tamaño del conjunto) × longitud. Una contraseña de 16 caracteres extraída de los 95 caracteres ASCII imprimibles tiene aproximadamente 105 bits de entropía.
Para contextualizarlo: a mil millones de intentos por segundo — la velocidad de una GPU moderna con algoritmos hash rápidos — agotar un espacio de 72 bits llevaría en promedio 2.400 millones de años. La diferencia entre "Moderada" y "Fuerte" en nuestro medidor no es cosmética: es la diferencia entre una contraseña vulnerable a un ataque de fuerza bruta asequible y una computacionalmente imposible de descifrar en ningún plazo realista. El INCIBE recomienda evaluar la robustez en términos de entropía, no solo de composición.
Buenas prácticas para usuarios españoles
- Una contraseña única por servicio, sin excepciones. El relleno de credenciales —probar combinaciones filtradas de un servicio en otros— es un ataque completamente automatizado. Una contraseña única por cuenta lo invalida por completo.
- Activa la autenticación en dos factores (2FA). Los principales bancos españoles (CaixaBank, BBVA, Santander), la sede electrónica de la AEAT y el sistema Cl@ve ofrecen 2FA. Con 2FA activado, una contraseña comprometida es inútil para un atacante.
- Usa un gestor de contraseñas. El INCIBE recomienda explícitamente los gestores de contraseñas. Bitwarden (código abierto, gratuito), 1Password y Dashlane son opciones bien valoradas disponibles en español.
- Comprueba si tus datos han sido expuestos. El sitio haveibeenpwned.com te permite verificar si tu dirección de correo ha aparecido en brechas de datos conocidas. Es gratuito y recomendado por autoridades de ciberseguridad europeas.
- Desconfía de correos que simulen ser la Agencia Tributaria o la Seguridad Social. Estas instituciones nunca solicitan contraseñas por correo electrónico. Cualquier comunicación que lo haga es un intento de phishing.
Seguridad de contraseñas en España: contexto regulatorio
La AEPD es la autoridad española de control del RGPD y una de las más activas de Europa en materia de sanciones. Ha emitido multas significativas por políticas de seguridad inadecuadas, controles de acceso insuficientes y gestión deficiente de contraseñas. La LOPDGDD complementa el RGPD con disposiciones específicas del derecho español, incluyendo el reconocimiento de nuevos derechos digitales.
El INCIBE (Instituto Nacional de Ciberseguridad), con sede en León, gestiona el CERT de referencia para ciudadanos y empresas privadas en España y publica guías prácticas en español sobre seguridad de contraseñas, gestores y autenticación multifactor. Su línea de ayuda en ciberseguridad (017) es gratuita y atiende incidentes de usuarios particulares.
España registra una de las tasas más elevadas de intentos de phishing de la UE según los datos de ENISA. Los sectores más afectados son la banca, el comercio electrónico y los servicios de administración electrónica. El uso de contraseñas reutilizadas es el principal factor de riesgo identificado en los informes anuales del CCN-CERT.
FAQ
- ¿Qué longitud recomienda el INCIBE para las contraseñas?
- El INCIBE recomienda un mínimo de 12 caracteres para cuentas comunes y 16 o más para accesos sensibles. Para cuentas de administrador o sistemas críticos, recomiendan 20 o más. Nuestro generador tiene por defecto 16 caracteres, lo que proporciona aproximadamente 105 bits de entropía con todos los tipos de caracteres activados.
- ¿Es seguro este generador?
- Sí. Las contraseñas se generan íntegramente en tu navegador usando
crypto.getRandomValues()— una API criptográficamente segura estándar del W3C. Ninguna contraseña se transmite a nuestros servidores. No se requiere cuenta. Puedes verificarlo en la pestaña Red de las herramientas para desarrolladores: no se genera ninguna solicitud saliente al hacer clic en Generar. - ¿Qué es el modo pronunciable?
- El modo pronunciable genera contraseñas con patrones consonante-vocal alternados, produciendo resultados como
Kixofu-47!— todavía aleatorios y robustos, pero más fáciles de memorizar o leer en voz alta. La entropía es ligeramente inferior a la de una contraseña completamente aleatoria de la misma longitud. Recomendamos usar longitudes de 20 caracteres o más en este modo. - ¿Qué debo hacer si mis datos han sido expuestos en una brecha?
- Cambia inmediatamente la contraseña del servicio afectado. Si has reutilizado esa contraseña en otros servicios — el riesgo más común — cámbiala también en todos ellos. Activa el 2FA en tus cuentas más importantes. Consulta haveibeenpwned.com para ver si otras cuentas tuyas podrían estar expuestas. Si eres una organización, notifica el incidente a la AEPD en un plazo máximo de 72 horas según el RGPD.
- ¿Puedo generar varias contraseñas a la vez?
- Sí, hasta 50 simultáneamente. Ajusta el contador "Número de contraseñas", haz clic en Generar y usa "Copiar todas" para copiar la lista completa al portapapeles. Útil para administradores de sistemas, desarrolladores o para quien quiera reemplazar muchas contraseñas débiles en una sola sesión.
- ¿Qué diferencia hay entre excluir caracteres similares y excluir caracteres ambiguos?
- "Caracteres similares" son aquellos visualmente confundibles:
i,l,1,L,o,0,O. "Caracteres ambiguos" son símbolos problemáticos en ciertos entornos:{ } [ ] ( ) / \ ' " ` ~ , ; : < >. Excluirlos facilita la escritura manual y evita errores al copiar en terminales o formularios web.