Generador de contraseñas y secretos

Acerca de esta herramienta

Cómo se generan los secretos

Cada carácter, palabra y byte sale de crypto.getRandomValues, el generador de números aleatorios criptográfico del navegador. Math.random no se usa en ninguna parte, porque no se diseñó para secretos y su salida se puede predecir.

Elegir de un conjunto requiere cuidado. El atajo habitual de tomar un byte aleatorio módulo el tamaño del conjunto hace que algunos caracteres sean un poco más probables que otros siempre que ese tamaño no divida exactamente a 256. Esta herramienta usa en su lugar muestreo por rechazo: toma solo los bits aleatorios que el conjunto necesita, y un valor que cae fuera del conjunto se descarta y se vuelve a sortear. La regla de al menos un carácter de cada tipo se aplica de la misma forma. Una contraseña completa a la que le falta un tipo se descarta, así que todas las contraseñas que cumplen la regla son igual de probables.

Los secretos solo existen en esta página. No se envían a ninguna parte ni se guardan en el navegador, y desaparecen cuando vuelves a generar o cierras la pestaña.

Qué significa la cifra de entropía

La entropía en bits es el logaritmo en base 2 del número de resultados igual de probables, así que cada bit más duplica el trabajo de adivinar. La cifra se calcula a partir de las opciones activas y se redondea hacia abajo al bit entero. Con los cuatro tipos de carácter, el conjunto tiene 87 caracteres, y una longitud de 20 da 128 bits. Evitar los caracteres parecidos reduce el conjunto a 82, y la misma longitud da 126. La lista de la frase de contraseña tiene 1024 palabras, exactamente 10 bits por palabra: cinco palabras son 50 bits y ocho son 80. Un token son 8 bits por byte, así que 32 bytes son 256 bits.

La cifra describe el generador, no el aspecto del resultado. Es válida porque la elección fue aleatoria. Una contraseña inventada por una persona suele tener mucha menos entropía de la que sugiere su longitud. Una contraseña fuerte que se reutiliza en dos sitios queda expuesta en ambos en cuanto uno de ellos la filtra.

Qué tipo elegir

Usa caracteres aleatorios para todo lo que un gestor de contraseñas vaya a guardar y escribir por ti. Usa una frase de contraseña para los pocos secretos que tengas que recordar o escribir a mano, como la contraseña del propio gestor o la de un disco cifrado, y añade palabras en lugar de trucos para hacerla más fuerte. Usa un token para los secretos que solo lee el software: claves de API, secretos de sesión, claves de firma para HMAC o JWT. Hex usa solo dígitos y las letras de la a a la f. Base64url lleva los mismos bytes en menos caracteres, y ninguno de ellos necesita escaparse en una URL.

La opción de caracteres parecidos ayuda cuando una contraseña se lee en voz alta o se copia de un papel. El conjunto de símbolos deja fuera las comillas, la barra invertida, la comilla invertida, los signos de menor y mayor y el espacio, que suelen romper comandos de shell y archivos de configuración. Símbolos como $, & y ! se mantienen, así que pon la contraseña entre comillas simples cuando la pases en una línea de comandos.