Generador de contraseñas

Con los mismos bits de entropía son equivalentes; el trabajo de romperlas es el mismo. Una frase de cuatro palabras son unos 51 bits, lo que equivale a una contraseña aleatoria de ocho caracteres con el alfabeto completo. La diferencia está en el uso: la frase la puedes recordar y volver a escribir sin gestor, y la aleatoria pide copiar y pegar. Si quieres subir la frase al nivel de una contraseña de veinte caracteres, súbela a seis palabras.

No, y es a propósito. La seguridad viene de que las palabras se sortean del diccionario. Si las eliges tú, por muy aleatorias que te parezcan, un atacante con herramientas modernas las encuentra rápido: usa diccionarios de nombres propios, marcas y palabras comunes, y prueba antes las combinaciones más probables. Elegir tú las palabras convertiría una frase de 51 bits en una de veinte y pico, sin que la herramienta pudiera avisarte.

En inglés, de la lista de 7776 palabras que publicó la Electronic Frontier Foundation para este uso: se eligieron por no tener ortografía ambigua, medir entre tres y nueve letras, ser fáciles de recordar y no resultar ofensivas. Le quitamos las cuatro que llevan guión dentro, porque chocan con el separador, y quedan 7772. En español no existe lista oficial de la EFF, así que partimos de dadoware-bonito-es, curada a mano sobre un corpus de frecuencias, y le aplicamos los mismos criterios: fuera tildes y eñes, nombres propios, siglas y palabras de más de doce letras. Quedan 7286.

Sí. Usamos crypto.getRandomValues() del navegador, que entrega entropía criptográfica del sistema operativo — el mismo estándar que usan gestores como 1Password o Bitwarden y el generador de Firefox. Además nos aseguramos de que el reparto sea uniforme, tanto entre caracteres como entre palabras: lo medimos, y sobre diez tiradas esperadas por palabra el chi cuadrado sale donde tiene que salir.

No. Se generan en tu navegador, se muestran en pantalla y desaparecen al cerrar la pestaña. Puedes comprobarlo con las herramientas de desarrollo (F12 → Red): no hay ninguna petición saliente al generar. Nuestra analítica anónima registra el estilo que elegiste —cuántas palabras, qué separador— en tramos gruesos; nunca la frase, ni una sola de sus palabras, ni nada que permita reconstruirla.

Depende del uso. Para cuentas casuales, como foros o apps de poco riesgo, bastan tres palabras o doce caracteres. Para el correo principal y las redes sociales, cuatro o cinco palabras, o entre dieciséis y veinte caracteres. Para bancos y gestores de contraseñas, cinco o seis palabras, o veinte caracteres o más. Si usas un gestor la longitud deja de ser incómoda, porque nunca vas a escribirla a mano.

Los que se confunden al mirarlos: el cero con la O mayúscula, y el uno con la ele minúscula y la i mayúscula. En el modo aleatorio puedes quitarlos del alfabeto entero; en el modo frase la opción se aplica a los dígitos del final, que pasan a usar sólo del dos al nueve. Excluirlos baja la seguridad de forma insignificante y evita un mal rato si tienes que dictar la contraseña o copiarla de una pantalla.