Herramienta / Texto y Dev

Generador de Contraseñas

Usa el Generador de Contraseñas de Kitly para crear contraseñas aleatorias localmente en el navegador para cuentas, paneles administrativos, Wi-Fi y credenciales temporales. Guarda el valor generado en un gestor de contraseñas y nunca reutilices los ejemplos de la página.

Contraseña generadaElige opciones y genera una contraseña.
Guía publicada por Kitly

Cómo crear y guardar una contraseña fuerte

Una contraseña generada es más útil cuando es larga, exclusiva para una cuenta y se guarda de forma segura.

  1. Comprueba los requisitos de la cuenta

    Define longitud y grupos de caracteres compatibles. Usa al menos 16 caracteres aleatorios cuando el servicio lo permita.

  2. Genera una contraseña aleatoria

    Crea un valor nuevo en el navegador. Vuelve a generar si el destino rechaza un símbolo o exige otra longitud.

  3. Guárdala de forma segura

    Almacena la contraseña en un gestor confiable y elimínala de notas temporales, mensajes o historial del portapapeles cuando sea posible.

Mejores hábitos de seguridad

  • Usa una contraseña distinta para cada cuenta para que una filtración no abra otros servicios.
  • Activa autenticación multifactor, preferiblemente con passkey o aplicación autenticadora cuando esté disponible.
  • Usa un gestor de contraseñas en lugar de acortar las contraseñas generadas para memorizarlas.

Qué significa el indicador de seguridad

  • La clasificación mostrada es una estimación, no una garantía de que la cuenta no pueda ser vulnerada.
  • Una contraseña fuerte no protege contra phishing, malware, ataques de recuperación o fallos del propio servicio.
  • Kitly no guarda las contraseñas generadas; un valor perdido no se puede recuperar desde este sitio.

Guía práctica

Estos ejemplos muestran cómo la longitud y el conjunto de caracteres cambian el límite superior de la estimación. Las contraseñas impresas son ilustraciones públicas. No las reutilices nunca.

El generador necesita JavaScript porque el navegador usa Web Crypto para sacar una contraseña nueva en local. Las notas de ajustes y las suposiciones de la estimación siguen siendo legibles sin JavaScript. Esta página no puede generar una contraseña sin eso.

Cómo leer la estimación

El número de bits es la longitud por log2 del conjunto filtrado y luego se redondea. El tiempo supone un ataque sin conexión a 10^12 intentos por segundo y una búsqueda media de la mitad del espacio. No es una garantía de seguridad. No reutilices nunca las cadenas de ejemplo.

16 caracteres del conjunto filtrado completo

Con todos los grupos activos y los caracteres ambiguos quitados, una contraseña de 16 caracteres tiene un límite superior de 101 bits. La página lo llama Muy fuerte y unos 54 mil millones de años. La cadena de abajo es pública: no la reutilices nunca.

Contraseña ilustrativa, no reutilizar

kT7#mP2$qR9&nS4!
Ajustes
Longitud 16 caracteres
Minúsculas, mayúsculas, números, símbolos Activados
Evitar caracteres ambiguos Activado (quita 0, O, I, l y 1)

Estimación

101 bits. Muy fuerte. Unos 54 mil millones de años a 1 billón (10^12) de intentos por segundo.

Qué revisar

Quitar los caracteres ambiguos deja 81 símbolos: 25 minúsculas, 24 mayúsculas, 8 dígitos y 24 símbolos. 16 × log2(81) da 101,4376 bits, que la página redondea a 101. La etiqueta Muy fuerte empieza en 100 bits. El mismo valor sin redondear, a la mitad y dividido por 10^12 intentos por segundo, queda en unos 54 mil millones de años. Esta cadena publicada solo muestra la longitud y un carácter de cada grupo. Genera una contraseña nueva para una cuenta real.

Advertencias

  • No reutilices nunca kT7#mP2$qR9&nS4!. Está impresa en una página pública.
  • La mezcla obligatoria hace que la cuenta real sea un poco menor, así que 101 bits es un límite superior.
  • La duración no es un ataque medido, una prueba de coste de hash ni protección contra phishing, reutilización o una intrusión en el sitio que guarda la contraseña.

Archivos del ejemplo

  • illustrative-passwords.txt Ayuda de inspección. Cadenas públicas de ejemplo que no deben reutilizarse nunca.
  • entropy-calculation.txt Ayuda de inspección con el tamaño de los conjuntos, la fórmula del límite superior y las tres duraciones.

12 letras y dígitos, sin símbolos

Desactivar los símbolos tiene sentido cuando el sitio los rechaza. El límite superior baja a 70 bits, que esta página etiqueta como Aceptable. No reutilices el ejemplo.

Contraseña ilustrativa, no reutilizar

kT7mP2qR9nS4
Ajustes
Longitud 12 caracteres
Minúsculas, mayúsculas, números Activados
Símbolos Desactivados
Evitar caracteres ambiguos Activado

Estimación

70 bits. Aceptable. Unos 19 años a 1 billón (10^12) de intentos por segundo.

Qué revisar

El conjunto filtrado tiene 57 caracteres. 12 × log2(57) da 69,9947 bits, mostrados como 70. Aceptable cubre desde 48 bits hasta, sin incluir, 72, así que 70 sigue siendo Aceptable. La fórmula del tiempo redondea a 19 años. Esa cifra sigue suponiendo una búsqueda sin conexión uniforme a exactamente 10^12 intentos por segundo. No significa que una cuenta esté a salvo durante 19 años.

Advertencias

  • No reutilices nunca kT7mP2qR9nS4.
  • El sitio aún puede rechazar un carácter restante o exigir un símbolo. Vuelve a generar después de cambiar los grupos. No acortes a mano una contraseña guardada.
  • Aquí las casillas eligen el conjunto aleatorio. No demuestran que añadir un símbolo a una palabra elegida por una persona la haga fuerte.

Archivos del ejemplo

  • illustrative-passwords.txt Ayuda de inspección. Cadenas públicas de ejemplo que no deben reutilizarse nunca.
  • entropy-calculation.txt Ayuda de inspección con el tamaño de los conjuntos, la fórmula del límite superior y las tres duraciones.

8 dígitos del conjunto filtrado

La longitud más corta y solo dígitos producen un límite superior de 24 bits. La página lo etiqueta como Débil y dice que la búsqueda media tardaría menos de un segundo. No reutilices el ejemplo.

Contraseña ilustrativa, no reutilizar

38472956
Ajustes
Longitud 8 caracteres
Números Activados
Letras y símbolos Desactivados
Evitar caracteres ambiguos Activado, así que los dígitos son 2–9

Estimación

24 bits. Débil. Menos de un segundo a 1 billón (10^12) de intentos por segundo.

Qué revisar

Ocho dígitos filtrados forman un alfabeto de 8, y 8 × log2(8) es exactamente 24 bits. Por debajo de 48 bits la etiqueta es Débil. 2^23 / 10^12 segundos da 0,00000839, que la página resume como menos de un segundo. Usa una combinación tan corta solo cuando el servicio de verdad no admite nada más largo. NIST SP 800-63B-4 fija 15 caracteres como mínimo para una contraseña usada como único factor y permite 8 cuando solo se usa con otro factor. Este control empieza en 8 para caber en un campo corto. No comprueba que exista un segundo factor.

Advertencias

  • No reutilices nunca 38472956.
  • Un servicio en línea que limita los intentos es una situación distinta de esta ilustración sin conexión. La página no modela ese servicio.
  • Una estimación mayor seguiría sin impedir el phishing, el malware, el abuso de la recuperación de la cuenta o una filtración de contraseñas.

Archivos del ejemplo

  • illustrative-passwords.txt Ayuda de inspección. Cadenas públicas de ejemplo que no deben reutilizarse nunca.
  • entropy-calculation.txt Ayuda de inspección con el tamaño de los conjuntos, la fórmula del límite superior y las tres duraciones.

Ajustes que cambian el conjunto

La longitud va de 8 a 64. Cada grupo marcado añade sus caracteres, y Evitar caracteres ambiguos quita 0, O, I, l y 1 antes del sorteo.

Longitud

Úsalo cuando: Usa 16 o más cuando el servicio lo permita. El mínimo actual de NIST para un único factor es de 15 caracteres; este control empieza en 8 porque algunos campos siguen siendo más cortos, incluidas las contraseñas que solo se usan con un segundo factor.

Compromisos: El límite superior crece de forma lineal con la longitud. Un conjunto corto, como en el ejemplo de 8 dígitos, sigue siendo débil aunque el formulario lo acepte.

Grupos de caracteres

Úsalo cuando: Ajústalos a los caracteres que acepta el destino. Deja los símbolos activos cuando estén permitidos. El conjunto de símbolos es !@#$%^&*()-_=+[]{};:,.?/ (24 caracteres).

Compromisos: Un grupo que el sitio rechaza desperdicia una generación. Desmárcalo y genera de nuevo. Las casillas no fortalecen por sí solas una contraseña elegida por una persona.

Evitar caracteres ambiguos

Úsalo cuando: Alguien puede tener que leer o volver a escribir la contraseña. Los caracteres quitados son 0, O, I, l y 1.

Compromisos: El conjunto filtrado completo se reduce a 81 caracteres. Solo los dígitos pasan de 10 a 8. Eso baja el límite superior.

Unicidad, almacenamiento y portapapeles

Úsalo cuando: Necesitas un valor nuevo para una cuenta. Guárdalo en un gestor de contraseñas. Kitly no lo guarda, y un valor perdido no se puede recuperar aquí.

Compromisos: Cada clic vuelve a sortear con Web Crypto. La herramienta no consulta listas de filtraciones ni tus otras cuentas. Copiar usa el portapapeles, que el sistema u otra aplicación pueden conservar. Esta página no vacía el portapapeles después.

Lo que la cifra de tiempo no cubre

Úsalo cuando: Quieres comparar dos ajustes en esta página. Léela como una ilustración bajo las suposiciones declaradas.

Compromisos: Supone elecciones aleatorias uniformes y exactamente 10^12 intentos sin conexión por segundo. El phishing, las contraseñas reutilizadas y una intrusión en el destino quedan fuera de esa cuenta. Un número alto de bits no lo impide.

Cuando falla la generación o la copia

Problema: Selecciona al menos un tipo de carácter.

Causa probable: No hay ningún grupo marcado, o todos los grupos marcados quedaron vacíos después de quitar los caracteres ambiguos.

Qué hacer: Marca al menos un grupo que todavía tenga caracteres. La contraseña anterior se borra.

Problema: La generación aleatoria segura no está disponible en este navegador.

Causa probable: Falta crypto.getRandomValues, así que el sorteo sin sesgo de resto no puede ejecutarse.

Qué hacer: Usa un navegador actual con Web Crypto. La página borra la contraseña en lugar de mostrar una alternativa débil.

Problema: No se pudo copiar la contraseña.

Causa probable: Falló la escritura en el portapapeles y también falló el comando de copia antiguo del documento.

Qué hacer: Selecciona la contraseña visible y cópiala con el comando del propio navegador; después vacía el historial del portapapeles cuando puedas. No la envíes en un mensaje que no controlas.

Problema: El sitio rechazó la contraseña generada.

Causa probable: Su longitud o un carácter está fuera de las reglas de ese sitio. La estimación no conoce esas reglas.

Qué hacer: Cambia la longitud o desactiva el grupo rechazado y genera de nuevo. No edites una contraseña guardada hasta convertirla en una palabra fácil de recordar.

Fuentes relevantes

Los bits y el tiempo son la fórmula de esta página. La orientación sobre la longitud y los límites de la complejidad vienen de NIST. La fuente aleatoria y el portapapeles son las API web que usa el botón.

  • NIST SP 800-63B-4, contraseñas Exige al menos 15 caracteres para una contraseña usada como único factor, permite 8 cuando solo se usa con otro factor y dice que los verificadores deberían admitir al menos 64 caracteres.
  • NIST SP 800-63B-4, fuerza de las contraseñas Trata la longitud como el factor principal de fuerza, ve un beneficio limitado en las reglas de composición para contraseñas elegidas por personas y afirma que el phishing y el registro de teclas no se detienen con la longitud o la complejidad.
  • MDN: Crypto.getRandomValues El método de Web Crypto que exige este generador. Si falta, la página borra la contraseña.
  • MDN: Clipboard.writeText La escritura en el portapapeles que usa Copiar contraseña. El historial del portapapeles queda fuera de esta página.

Preguntas frecuentes

¿El generador de contraseñas envía contraseñas a un servidor?

No. La generación se ejecuta en tu navegador con el generador aleatorio seguro Web Crypto, así que la contraseña no se envía a servidores de Kitly. Si Web Crypto no está disponible, la página borra cualquier valor generado.

¿Qué hace que una contraseña generada sea fuerte?

Una contraseña más larga con un conjunto mayor de caracteres eleva el límite superior de la estimación. Esa cifra supone un atacante sin conexión a 10^12 intentos por segundo y no impide el phishing, la reutilización o una cuenta comprometida.

¿Por qué evitar caracteres ambiguos?

Caracteres ambiguos como 0, O, I, l y 1 pueden ser difíciles de leer o escribir correctamente cuando las contraseñas se copian en notas, mensajes o se comparten de voz.

¿Puedo usar las contraseñas de ejemplo impresas en esta página?

No. Son ejemplos públicos para comprobar la longitud y la mezcla de caracteres. No las reutilices nunca en una cuenta ni en una red. Genera una contraseña nueva y guarda ese valor privado en un gestor de contraseñas.

¿Una estimación alta de bits evita el phishing o una cuenta comprometida?

No. La cifra es un límite superior para una ilustración de adivinación sin conexión a 10^12 intentos por segundo. No detiene el phishing, el malware, las contraseñas reutilizadas, las bases filtradas ni un almacenamiento débil en el servicio. La página declara ese límite junto a la estimación.