Cómo se generan las contraseñas
Cada carácter se elige de forma independiente y uniforme entre el conjunto de caracteres que permitas. La aleatoriedad viene del generador criptográfico del navegador, crypto.getRandomValues, que se alimenta de la fuente de entropía del sistema operativo.
Hay un detalle que importa más de lo que parece. Un número aleatorio de 32 bits reducido con la operación de resto queda ligeramente sesgado hacia los primeros caracteres del conjunto, porque 2³² no es un múltiplo exacto del tamaño del conjunto. El generador descarta los pocos valores que provocarían ese sesgo y vuelve a sortear, de modo que cada carácter tiene de verdad la misma probabilidad.
Los conjuntos son:
- Minúsculas
a-z: 26 caracteres. - Mayúsculas
A-Z: 26 caracteres. - Dígitos
0-9: 10 caracteres. - Símbolos: 27 caracteres,
!@#$%^&*()-_=+[]{};:,.<>?/~.
Con todo activado, el conjunto tiene 89 caracteres. La opción «Sin caracteres ambiguos» quita I, l, 1, O y 0, y deja 84.
Las contraseñas solo existen en la página. Cambiar cualquier opción genera al instante un conjunto nuevo, y nada se guarda ni se envía.
Cómo leer la cifra de entropía
La entropía es el número de bits que un atacante tiene que adivinar. En una contraseña aleatoria equivale a la longitud multiplicada por el log₂ del tamaño del conjunto. Cada bit adicional duplica el trabajo.
Algunos valores concretos del indicador:
- 4 dígitos, un PIN: 13 bits.
- 8 letras minúsculas: 38 bits, calificada como Débil.
- 12 caracteres de todos los conjuntos: 78 bits, Fuerte.
- 16 caracteres de todos los conjuntos: 104 bits, Excelente.
- 20 caracteres de todos los conjuntos: 130 bits.
Las etiquetas cambian en 40, 64 y 100 bits. Para ponerlo en perspectiva, imagina un atacante que ha robado una base de datos de contraseñas y puede probar 10 000 millones de intentos por segundo contra un hash rápido. Una contraseña de 40 bits cae, de media, en menos de dos minutos. Una de 64 bits lleva décadas. Una de 80 bits, más de un millón de años.
La longitud vale más que la variedad. Añadir símbolos a una contraseña de 16 caracteres amplía el conjunto de 62 a 89 caracteres y suma unos 8 bits; añadir cuatro caracteres más a esa misma contraseña suma unos 26 bits.
La cifra da por hecho que la contraseña se ha generado al azar, y aquí es así. No dice nada de las contraseñas que te inventas tú, donde los patrones, nombres y fechas hacen que la entropía real sea muchísimo menor.
Cuando una web rechaza la contraseña
Los caracteres se eligen de forma independiente, así que no está garantizado que la contraseña contenga al menos uno de cada tipo activado. Con los cuatro conjuntos activos, una contraseña de 16 caracteres no tiene ningún dígito en torno al 15 % de las veces; que falte una mayúscula o un símbolo pasa en bastante menos del 1 % de los casos. Si una web exige un dígito, simplemente elige otra contraseña del lote: pon «Cuántas» en 5 o 10 y quédate con una que cumpla las reglas.
Otros rechazos habituales:
- Demasiado larga. Algunos bancos y sistemas antiguos limitan la longitud a 12, 16 o 20 caracteres. Baja el control deslizante hasta que encaje.
- Símbolos prohibidos. Caracteres como
<,>,;o/a veces están bloqueados. Genera unas cuantas y elige una sin ellos, o desactiva los símbolos y añade 3 o 4 caracteres de longitud para compensar la entropía perdida. - Se teclea a mano. Para claves de Wi-Fi o códigos que se dictan en voz alta o se escriben con el mando de la tele, activa «Sin caracteres ambiguos» y plantéate prescindir de los símbolos.
Cómo sacar partido a las contraseñas generadas
Una contraseña fuerte solo ayuda si es única. La reutilización es lo que convierte la filtración de una sola web en acceso a tu correo y a tu banco.
- Guarda las contraseñas generadas en un gestor de contraseñas, no en un archivo de texto ni en una app de notas.
- Usa 20 caracteres o más para la contraseña maestra y para la cuenta de correo, porque desbloquean todo lo demás.
- El texto copiado puede quedarse en el historial del portapapeles de tu dispositivo; bórralo si otras personas usan el mismo ordenador.
- Si tienes que compartir una contraseña, por ejemplo la que protege un archivo creado con crear ZIP, envíala por un canal distinto al del propio archivo.
Si tienes que pasar la contraseña del Wi-Fi a tus invitados, un código impreso con el generador de códigos QR les ahorra tener que escribirla.