Generador de Contraseñas

Cada carácter se elige con crypto.getRandomValues() del navegador, la misma fuente aleatoria criptográficamente segura que se usa para cosas como claves de cifrado, y no con el mucho más débil Math.random(), que en algunos motores es lo bastante predecible como para reconstruirse a partir de resultados anteriores. La selección de caracteres también usa muestreo por rechazo en lugar de un simple módulo, de modo que cada carácter permitido tiene exactamente la misma probabilidad, sin sesgo hacia el inicio del conjunto de caracteres.

La entropía en bits es el log2 del tamaño del conjunto de caracteres multiplicado por la longitud de la contraseña; mide cuántos intentos necesitaría en promedio un atacante que conoce tu configuración (pero no la contraseña) para encontrarla por fuerza bruta. Cada bit adicional duplica ese número de intentos, así que pasar de 40 a 60 bits no es una mejora del 50%, es aproximadamente un millón de veces más difícil.

Esos caracteres se ven casi idénticos en muchas fuentes, lo cual importa si alguna vez necesitas leer la contraseña en voz alta, escribirla desde una copia impresa, o introducirla en un dispositivo sin una fuente fiable. Excluirlos reduce ligeramente el conjunto de caracteres (y por tanto reduce ligeramente la entropía para la misma longitud), una pequeña compensación que suele merecer la pena para contraseñas que no siempre copiarás y pegarás.

Algunos formularios de inicio de sesión rechazan contraseñas que no mezclan tipos de caracteres, incluso cuando la longitud y la aleatoriedad general son fuertes. Con esta opción activada, el generador garantiza al menos un carácter de cada tipo que seleccionaste antes de rellenar el resto al azar, y luego mezcla todo el resultado para que los caracteres garantizados no queden predeciblemente al principio.

Sí, cada contraseña de un lote se genera de forma independiente con sus propios bytes aleatorios nuevos, así que conocer una contraseña del lote no da ninguna información sobre las demás. Usar una contraseña distinta y generada de forma independiente por cuenta (en lugar de variaciones de una misma contraseña) es exactamente lo que te protege si alguna vez se filtra un sitio que usas.

No, la generación ocurre completamente en tu navegador con JavaScript, no se envía nada a un servidor, y la página no guarda historial de valores anteriores más allá de un resumen del número de caracteres almacenado localmente (nunca la contraseña en sí) para el panel de historial de esta página.