Cómo usar un generador de contraseñas seguras: guía 2026

Cómo usar un generador de contraseñas seguras: la respuesta corta

Para usar bien un generador de contraseñas seguras, pide una clave de 16 a 20 caracteres (nunca menos de 15 si la contraseña es lo único que protege la cuenta), deja activadas letras, números y símbolos salvo que el sitio los rechace, genera una clave distinta para cada servicio, guárdala en ese mismo momento en un gestor de contraseñas y activa la verificación en dos pasos o una passkey en las cuentas importantes. La contraseña que produce la máquina no está pensada para memorizarla: solo tienes que recordar la contraseña maestra del gestor, y para esa lo más cómodo es una frase de seis o siete palabras elegidas al azar.

El resto de esta guía explica por qué funciona así, qué significa la famosa «entropía», qué recomienda hoy el NIST (el organismo de estándares de Estados Unidos cuya guía de identidad digital sirve de referencia en medio mundo), dónde guardar lo que generas, cómo comprobar si una clave ya ha aparecido en una filtración y qué errores convierten una contraseña aleatoria en una contraseña débil sin que te des cuenta. Si solo quieres una clave ahora mismo, el generador de arriba te la da en un clic; si quieres más opciones, tienes también el generador de contraseñas de GlobalTool.

Qué hace un generador de contraseñas y por qué funciona

Un generador de contraseñas hace una sola cosa: elegir caracteres al azar de un alfabeto que tú defines (minúsculas, mayúsculas, números, símbolos) hasta completar la longitud que le pides. Su valor está en que ese azar es de verdad impredecible. Cuando una persona inventa una contraseña, sigue patrones sin darse cuenta: una palabra con mayúscula inicial, un año al final, una exclamación para cumplir la regla del símbolo. Los programas de ataque conocen esos patrones y los prueban primero. Una clave generada no tiene patrón, así que al atacante solo le queda probar combinaciones una a una.

La entropía, explicada sin fórmulas raras

La fortaleza de una contraseña aleatoria se mide en bits de entropía, que no es más que el logaritmo en base 2 del número de contraseñas posibles. Si el alfabeto tiene N símbolos y la clave tiene L caracteres, hay N^L combinaciones y la entropía vale L × log₂(N). Cada bit extra duplica el trabajo del atacante; diez bits más lo multiplican por unas mil.

Los valores por carácter son fáciles de recordar:

Solo números (10 símbolos): unos 3,3 bits por carácter.
Solo minúsculas (26): unos 4,7 bits.
Minúsculas y mayúsculas (52): unos 5,7 bits.
Letras y números (62): unos 5,95 bits.
Los 94 caracteres imprimibles de un teclado estándar: unos 6,55 bits.

Hay una condición que se olvida a menudo: esta cuenta solo vale si la clave es realmente aleatoria. «Contraseña2026!» tiene 15 caracteres y mezcla los cuatro tipos, pero su entropía real es bajísima porque es una palabra de diccionario con un año y un símbolo al final, justo lo primero que prueba cualquier herramienta de ataque. Los medidores de fuerza que colorean la barra en verde por cumplir reglas de composición miden la forma, no el azar.

Por qué la longitud pesa más que los símbolos

Pasar de letras y números (62) a todo el teclado (94) sube la entropía de 5,95 a 6,55 bits por carácter: apenas 0,6 bits más por posición. Añadir un solo carácter a la clave suma casi 6 bits de golpe. Dicho de forma práctica: una clave de 20 caracteres con letras y números es más fuerte que una de 16 con todos los símbolos. Por eso, cuando un sitio web te rechaza ciertos símbolos, la solución no es desesperarse, sino desactivarlos en el generador y subir tres o cuatro caracteres la longitud.

Tipo de clave	Entropía aproximada	Hash rápido, ataque offline (~10¹² intentos/s)	Hash lento bien configurado (~10⁵ intentos/s)
PIN de 6 dígitos	20 bits	Instantáneo	Segundos
8 caracteres, todo el teclado (94)	52 bits	Del orden de una hora	Del orden de un milenio
4 palabras al azar (lista de 7.776)	52 bits	Del orden de una hora	Del orden de un milenio
12 caracteres, todo el teclado	79 bits	Decenas de miles de años	Fuera de alcance práctico
6 palabras al azar (lista de 7.776)	78 bits	Miles de años	Fuera de alcance práctico
16 caracteres, letras y números (62)	95 bits	Miles de millones de años	Fuera de alcance práctico
16 caracteres, todo el teclado	105 bits	Muy por encima de la edad del universo	Fuera de alcance práctico
20 caracteres, letras y números	119 bits	Muy por encima de la edad del universo	Fuera de alcance práctico

Cómo leer la tabla: las dos columnas de tiempo son órdenes de magnitud para recorrer todo el espacio de combinaciones (de media, el atacante acierta a mitad de camino), calculados dividiendo 2^bits entre la velocidad supuesta. No son tiempos de crackeo medidos ni una promesa: la velocidad real depende del algoritmo con el que el servicio guarda las contraseñas, del hardware del atacante y de si el ataque es offline (con una copia robada de la base de datos) u online (contra la página de acceso, donde los bloqueos por intentos fallidos lo frenan muchísimo). Lo que sí muestra con claridad es la tendencia: cada pocos caracteres el tiempo salta varios órdenes de magnitud, y por encima de unos 80 bits de azar real la fuerza bruta deja de ser una amenaza razonable.

Entonces, ¿qué longitud elijo?

Cuentas normales guardadas en un gestor: 20 caracteres. No te cuesta nada porque no la vas a teclear.
Sitios que limitan la longitud: el máximo que acepten, con todos los tipos de carácter que admitan.
Claves que tendrás que teclear a mano (la wifi de casa en un televisor, una consola): 16 a 20 caracteres de letras y números, sin ambiguos, o una frase de palabras.
Contraseña maestra del gestor, cifrado del disco, inicio de sesión del ordenador: frase de seis o siete palabras al azar.

Paso a paso: cómo usar el generador de esta página

El generador de arriba sigue el mismo flujo que el que traen los gestores de contraseñas. Estos son los pasos para dar de alta una cuenta nueva o cambiar una clave antigua:

Abre primero el formulario del servicio donde vas a registrar o cambiar la contraseña, para tener a mano sus requisitos (longitud máxima, símbolos admitidos).
Ajusta la longitud con el deslizador. Por defecto sale en 20 caracteres; bájala solo si el sitio no la acepta.
Deja marcados los cuatro tipos de carácter salvo que el servicio rechace alguno. Si te da error por un símbolo concreto, desmarca «Símbolos» y sube la longitud tres o cuatro posiciones.
Marca «Evitar caracteres ambiguos» solo si vas a leer la clave en voz alta o teclearla en otro aparato. Quitar I, l, 1, O, 0 y o reduce un poco el alfabeto, algo que compensas con un carácter más.
Pulsa «Copiar» y pega la clave en el formulario del servicio. En el campo de confirmación vuelve a pegarla, no la teclees.
Guárdala en tu gestor antes de enviar el formulario. Es el paso que más se olvida: si el alta falla a medias o se cierra la pestaña, te quedas con una cuenta cuya clave no conoces. Crea la entrada en el gestor con la URL correcta, el usuario y la contraseña, y después confirma el registro.
Comprueba que puedes entrar cerrando sesión y volviendo a acceder con el autorrelleno del gestor.
Activa el segundo factor si el servicio lo ofrece (más abajo te explicamos cuál elegir).

El texto que muestra el generador bajo la clave («unos X bits de entropía») es una aproximación: multiplica la longitud por los bits del alfabeto elegido. El generador fuerza además que aparezca al menos un carácter de cada tipo marcado, para que no te rechacen la clave los sitios con reglas de composición; eso resta una fracción mínima de entropía que no cambia nada en la práctica.

Si el sitio rechaza la contraseña generada

Muchos servicios siguen teniendo reglas antiguas: longitud máxima de 12 o 16 caracteres, símbolos prohibidos, obligación de que empiece por letra. No son una señal de que tu clave sea mala, sino de que el sistema del servicio está anticuado. Adáptate así:

Si limita la longitud, usa el máximo permitido.
Si prohíbe algunos símbolos, desmarca los símbolos y alarga la clave.
Si exige que empiece por una letra, genera otra hasta que salga así (no cambies tú el primer carácter a mano: el azar es del generador, no tuyo).
Si el servicio no admite pegar en el campo de contraseña, usa el autorrelleno del gestor, que en la mayoría de navegadores funciona aunque el pegado esté bloqueado.

Frases de contraseña: la mejor opción para lo que tienes que recordar

Hay unas pocas claves que no puedes guardar en el gestor porque son las que lo abren: la contraseña maestra, la del inicio de sesión del ordenador y, si lo usas, la del cifrado del disco. Para esas, una cadena como q7#Vx!2mR9&k es incómoda de memorizar y fácil de teclear mal. La alternativa es la frase de contraseña (passphrase): varias palabras elegidas al azar de una lista larga.

El método Diceware

El método clásico se llama Diceware: se usa una lista de 7.776 palabras numeradas (6⁵, porque cada palabra se elige tirando cinco dados) y se toman tantas palabras como haga falta. Cada palabra aporta unos 12,9 bits, así que:

4 palabras: unos 52 bits. Aceptable para cosas menores, corto para una maestra.
6 palabras: unos 78 bits. Buen punto de partida para la maestra del gestor.
7 palabras: unos 90 bits. Holgado incluso frente a ataques offline sobre hashes rápidos.

La Electronic Frontier Foundation (EFF) publica listas en inglés pensadas para este uso, y existen listas en castellano. Lo que importa no es el idioma, sino dos reglas: las palabras las elige el azar (los dados o un generador criptográfico, nunca tú) y no se reordenan para que «suenen bien». Una frase del tipo «lámpara-orilla-vinagre-tupé-cometa-sable» es fácil de visualizar y teclear, y con seis palabras aleatorias está muy lejos del alcance de la fuerza bruta.

Una frase de contraseña solo es fuerte si las palabras salen del azar. Un refrán, un verso de una canción o la dirección de tu primera casa son frases, pero no son aleatorias, y los diccionarios de ataque las incluyen.

Trucos para memorizarla en pocos días

Imagina una escena absurda con las palabras en orden: cuanto más rara, mejor se fija.
Tecléala varias veces al día durante la primera semana. Al principio, guarda una copia en papel en un lugar físico seguro y destrúyela cuando ya no dudes.
Usa separadores simples (guiones o espacios). Añadir mayúsculas o números obligatorios suma poca entropía y mucha fricción; si quieres más fuerza, añade una palabra.

Qué dice NIST SP 800-63B sobre las contraseñas

La publicación especial NIST SP 800-63B es la parte de las directrices de identidad digital del NIST dedicada a la autenticación. Está escrita para quien diseña sistemas de acceso (la organización que recibe y comprueba tu contraseña, que la guía llama «verificador»), pero sus conclusiones te sirven para saber qué prácticas tienen sentido. Desde la revisión 3, de 2017, NIST abandonó varias costumbres que durante años se tuvieron por buenas, y la revisión 4, publicada en 2025, las endurece. Las ideas principales son estas:

La longitud manda. Cuando la contraseña es el único factor de autenticación, la revisión 4 fija un mínimo de 15 caracteres; cuando forma parte de una autenticación multifactor, el mínimo baja a 8. Además, los sistemas deberían admitir contraseñas de al menos 64 caracteres, aceptar espacios y caracteres Unicode, y no truncar lo que escribes.
Nada de reglas de composición. Obligar a mezclar mayúsculas, números y símbolos no se debe imponer: en la práctica empuja a la gente a patrones previsibles («Verano2026!») y no aporta seguridad real.
No forzar la caducidad periódica. Pedir un cambio cada 60 o 90 días tampoco se debe exigir. El cambio solo se fuerza cuando hay indicios de que la contraseña se ha visto comprometida. La razón es la misma: los cambios obligatorios acaban en «Verano2026!» → «Otoño2026!».
Comparar contra listas de claves comprometidas. Al crear o cambiar una contraseña, el sistema debe rechazar las que aparecen en filtraciones conocidas, las de diccionario, las secuencias repetidas o previsibles y las que incluyen el nombre del servicio o del usuario.
Sin pistas ni preguntas de seguridad. Las pistas de contraseña y las preguntas del tipo «nombre de tu primera mascota» quedan descartadas, porque las respuestas se averiguan o se adivinan.
Facilitar los gestores. La guía pide que los sistemas permitan pegar y autorrellenar la contraseña, justo para que puedas usar claves largas generadas.
Limitar los intentos. El servicio debe frenar los intentos fallidos repetidos, que es lo que hace inútil la fuerza bruta online contra una clave razonable.

Qué significa esto para ti

Si un servicio te obliga a cambiar la contraseña cada tres meses o te exige «al menos un símbolo», no significa que la guía de NIST esté equivocada, sino que ese sistema no la sigue. Tu estrategia no cambia: genera una clave larga y aleatoria, guárdala en el gestor y, cuando toque cambiarla, genera otra nueva en lugar de modificar un carácter de la anterior. Y si nunca te obligan a cambiarla, no hace falta hacerlo por calendario: basta con cambiarla cuando el servicio sufra una filtración o sospeches que alguien la conoce.

La contraseña ideal para la mayoría de cuentas es la que no has visto nunca: larga, aleatoria, única por servicio y guardada directamente en el gestor. Las únicas que tienes que recordar son las que protegen al propio gestor y a tus dispositivos.

Dónde guardar lo que generas: gestores de contraseñas

Generar claves aleatorias sin un sitio donde guardarlas no funciona: al tercer servicio vuelves a reutilizar. Un gestor de contraseñas es una base de datos cifrada que guarda usuario, contraseña, URL y notas de cada cuenta, rellena los formularios por ti y, muy importante, solo autorrellena en el dominio correcto. Esa última función es una defensa contra el phishing que pocas veces se valora: si llegas a una página falsa que imita a tu banco, el gestor no ofrece la contraseña porque el dominio no coincide, y esa ausencia es una señal de alarma.

Tipos de gestor

Gestores con sincronización en la nube y cifrado de extremo a extremo (por ejemplo, Bitwarden o 1Password): el cofre se cifra en tu dispositivo con una clave derivada de tu contraseña maestra antes de subirse, de modo que el proveedor guarda datos cifrados. Son cómodos si usas varios dispositivos.
Gestores locales (por ejemplo, KeePassXC): el cofre es un archivo cifrado que controlas tú. Tú decides si lo sincronizas y cómo. Más control, más responsabilidad con las copias.
Gestores integrados en el sistema o el navegador (la app Contraseñas de Apple, el Gestor de contraseñas de Google, el de Microsoft Edge o el de Firefox): no necesitan instalar nada y ya generan claves y guardan passkeys. Son una mejora enorme frente a reutilizar, aunque te atan más a un ecosistema.

Bitwarden y KeePassXC son de código abierto, lo que permite que terceros revisen cómo cifran. Ningún gestor es invulnerable: en 2022 LastPass sufrió un incidente en el que se robaron copias de cofres de usuarios. Precisamente por eso la contraseña maestra tiene que ser larga y única: un cofre cifrado robado solo es un problema serio si la maestra es débil.

Dónde guardas las contraseñas	Seguridad	Comodidad	Riesgo principal
Gestor dedicado con cifrado de extremo a extremo	Alta, si la maestra es fuerte y tienes 2FA	Alta: autorrelleno en todos tus dispositivos	Maestra débil u olvidada sin plan de recuperación
Gestor local (archivo cifrado)	Alta	Media: la sincronización la montas tú	Perder el archivo sin copia de seguridad
Gestor del navegador o del sistema	Buena si el dispositivo tiene bloqueo y la cuenta tiene 2FA	Muy alta dentro de un mismo ecosistema	Quien entra en tu cuenta de Google, Apple o Microsoft lo tiene todo
Libreta en papel en casa	Aceptable frente a ataques remotos	Baja: hay que teclear claves largas	Pérdida, robo o acceso de otras personas de la casa
Nota sin cifrar en el móvil, correo a ti mismo, hoja de cálculo	Baja	Media	Cualquier acceso a esa cuenta o dispositivo expone todas las claves
Memoria, reutilizando la misma clave o variaciones	Muy baja	Alta hasta que llega una filtración	Relleno de credenciales: una filtración abre todas tus cuentas

La contraseña maestra y el plan de emergencia

La maestra es la única clave larga que memorizas. Usa una frase de seis o siete palabras aleatorias, no la uses en ningún otro sitio y activa el segundo factor en la cuenta del gestor. Después prepara un plan para el día en que la olvides o pierdas el móvil:

Guarda el kit o código de recuperación que ofrezca tu gestor (muchos lo llaman «kit de emergencia») impreso y en un lugar físico seguro.
Guarda también los códigos de recuperación del segundo factor de la cuenta del gestor.
Si usas un gestor local, haz copias del archivo cifrado en al menos dos sitios distintos.
Valora la función de acceso de emergencia que ofrecen algunos gestores, para que una persona de confianza pueda solicitar acceso si a ti te pasa algo.

¿Basta con el gestor del navegador?

Para mucha gente, sí, y es muchísimo mejor que reutilizar claves. Las diferencias con un gestor dedicado están en detalles: compartir contraseñas con la familia, guardar notas seguras o documentos, funcionar igual en todos los navegadores y sistemas, o avisarte de claves repetidas o filtradas con más detalle. Si todos tus dispositivos son del mismo ecosistema y proteges bien esa cuenta principal, el gestor integrado es una opción razonable. Si mezclas Windows, Android, iPhone y varios navegadores, un gestor dedicado te dará menos fricción.

Segundo factor y passkeys: la capa que hace que una contraseña robada no baste

Una contraseña perfecta sigue expuesta a dos cosas que el generador no puede evitar: que la escribas en una web falsa (phishing) o que el servicio la guarde mal y se filtre. La verificación en dos pasos (2FA) añade un segundo requisito, de modo que la contraseña sola ya no abre la cuenta. No todos los métodos protegen igual.

Método	Cómo funciona	Resiste al phishing	Comentario
SMS con código	El servicio te envía un código por mensaje	No	Mejor que nada, pero vulnerable al duplicado fraudulento de SIM y a que teclees el código en una web falsa
App de códigos (TOTP)	Una app genera un código de 6 dígitos que cambia cada 30 segundos (estándar RFC 6238)	No del todo	Buena opción general; guarda la semilla o los códigos de recuperación por si cambias de móvil
Notificación en el móvil	Apruebas el acceso desde una app del servicio	Parcial	Cuidado con aprobar avisos que no has pedido; las versiones que muestran un número a confirmar son más seguras
Llave de seguridad física (FIDO2/U2F)	Un dispositivo USB o NFC firma el acceso	Sí	La opción más robusta; conviene tener dos llaves registradas
Passkey	Un par de claves criptográficas guardado en tu dispositivo o gestor, desbloqueado con huella, cara o PIN	Sí	Sustituye a la contraseña en los servicios que lo admiten

Qué son las passkeys y cuándo usarlas

Una passkey es una credencial basada en los estándares FIDO2 y WebAuthn. En lugar de una contraseña compartida, tu dispositivo crea un par de claves: la privada se queda en tu móvil, tu ordenador, tu llave de seguridad o tu gestor, y el servicio solo guarda la pública. Para entrar, el servicio te envía un reto que tu dispositivo firma tras desbloquearlo con huella, reconocimiento facial o PIN. Hay tres ventajas claras:

No hay nada que robar en el servidor que sirva para entrar: la clave pública no permite iniciar sesión.
Resiste al phishing: la passkey está ligada al dominio real del servicio, así que una web falsa no puede pedírtela.
No hay nada que memorizar ni reutilizar.

Las cuentas de Google, Apple y Microsoft y un número creciente de servicios ya las admiten, y los gestores modernos las sincronizan entre dispositivos. Cuando un servicio te ofrezca crear una passkey, acéptala; puedes mantener la contraseña generada como respaldo, guardada en el gestor, hasta que te sientas cómodo.

Códigos de recuperación: no los ignores

Casi todos los servicios, al activar la 2FA, te muestran unos códigos de un solo uso para entrar si pierdes el segundo factor. Guárdalos en el gestor (en la propia entrada de la cuenta) y, para las cuentas críticas (correo principal, gestor, banco), también en papel. El correo principal merece la protección más fuerte, porque desde él se restablecen casi todas las demás contraseñas.

Comprobar si una contraseña o un correo están en una filtración

Una clave aleatoria de 20 caracteres no se adivina, pero sí puede filtrarse si el servicio que la guarda sufre un robo de datos. Por eso tiene sentido vigilar las filtraciones. La herramienta de referencia es Have I Been Pwned, un servicio creado por el investigador de seguridad Troy Hunt que recopila filtraciones públicas.

Dos usos distintos

Buscar tu correo: te dice en qué filtraciones conocidas aparece esa dirección y qué tipo de datos se expusieron. Puedes suscribirte para recibir un aviso cuando aparezca en una nueva.
Pwned Passwords: comprueba si una contraseña concreta figura en su colección de claves filtradas. Si aparece, no la uses nunca más, da igual lo «rara» que te parezca.

Cómo lo hace sin conocer tu contraseña

La comprobación de contraseñas usa un modelo llamado k-anonimato. Tu navegador calcula el hash SHA-1 de la contraseña y envía solo los cinco primeros caracteres de ese hash. El servicio devuelve todos los sufijos de hashes filtrados que empiezan por esos cinco caracteres (cientos de ellos), y es tu equipo quien comprueba si el tuyo está en la lista. Ni la contraseña ni su hash completo salen de tu dispositivo. Muchos gestores de contraseñas y navegadores usan este mismo sistema para sus avisos de «contraseña comprometida», así que si tu gestor tiene esa función, actívala y no tendrás que comprobar clave por clave.

Qué hacer si apareces en una filtración

Cambia la contraseña de ese servicio por una nueva generada, y de cualquier otro donde usaras la misma o una parecida.
Activa la 2FA en ese servicio si aún no la tenías.
Revisa las sesiones abiertas y los dispositivos conectados, y cierra los que no reconozcas.
Desconfía durante un tiempo de correos, SMS y llamadas que mencionen ese servicio: los datos filtrados se usan para hacer más creíble el phishing.
Si la filtración incluía datos bancarios o de identidad, avisa a tu banco. En España puedes consultar dudas en la línea 017 de ayuda en ciberseguridad del INCIBE.

Generación local con CSPRNG: por qué importa dónde y cómo se genera

No todos los generadores son iguales, y la diferencia no se ve en la contraseña resultante. Lo que importa es de dónde sale el azar y por dónde viaja la clave.

Azar criptográfico frente a azar «de juguete»

Los lenguajes de programación ofrecen dos tipos de números aleatorios. Los generadores de propósito general, como Math.random() en JavaScript o el módulo random de Python, están pensados para simulaciones y juegos: son rápidos, pero su salida puede predecirse si se conoce su estado interno. Los CSPRNG (generadores de números pseudoaleatorios criptográficamente seguros) se alimentan de fuentes de entropía del sistema operativo y están diseñados para que, aunque veas muchas salidas, no puedas predecir la siguiente. Para contraseñas solo vale lo segundo: crypto.getRandomValues() en el navegador, el módulo secrets en Python, /dev/urandom o getrandom() en Linux.

El sesgo de módulo

Un detalle técnico que separa un generador cuidadoso de uno chapucero: si tomas un número aleatorio de 0 a 4.294.967.295 y calculas el resto de dividirlo entre el tamaño del alfabeto, los primeros caracteres salen ligeramente más a menudo que los últimos, porque la división no es exacta. El efecto es pequeño, pero existe. La solución es el muestreo por rechazo: descartar los valores de la franja final que provocan el desequilibrio y pedir otro número. El generador de esta página lo hace así, y es lo que hacen las bibliotecas serias.

Local frente a servidor

Un generador web puede crear la clave en tu navegador o pedírsela a un servidor. En el primer caso la contraseña nunca viaja por la red; en el segundo tienes que confiar en que el servidor no la registra. Prefiere siempre generadores que funcionen en local: los de los gestores de contraseñas y los que, como el de esta página, usan la API criptográfica del navegador. Una prueba sencilla: carga la página, desconecta la red y pulsa «Generar otra». Si sigue funcionando, la clave se está creando en tu equipo.

Generar una contraseña desde la terminal

Si prefieres no depender de ninguna web, puedes generar claves con herramientas que ya tienes instaladas:

Python 3: python3 -c "import secrets,string; a=string.ascii_letters+string.digits+'!#%+-=?@_'; print(''.join(secrets.choice(a) for _ in range(20)))" crea una clave de 20 caracteres con el módulo secrets, que usa el CSPRNG del sistema.
OpenSSL: openssl rand -base64 18 devuelve 24 caracteres en Base64 que representan 144 bits aleatorios. Puede incluir los caracteres + y /, que algunos sitios no aceptan.
KeePassXC y Bitwarden incluyen generadores de contraseñas y de frases de palabras en la propia aplicación, también sin conexión.

Errores frecuentes que debilitan una contraseña generada

El generador hace bien su parte. Los fallos casi siempre llegan después, en cómo se usa la clave:

Reutilizarla en varios servicios. Es el error que más cuentas expone. Los atacantes prueban de forma automática en cientos de webs los pares de usuario y contraseña filtrados en un sitio (lo que se conoce como credential stuffing o relleno de credenciales). Una clave, un servicio.
Usar una base fija con un sufijo por sitio. Fórmulas del tipo «misma raíz + nombre del servicio» parecen únicas, pero en cuanto una se filtra, el patrón queda a la vista y las herramientas de ataque aplican variaciones automáticamente. Cada clave debe ser independiente y aleatoria entera.
«Mejorar» la clave a mano. Cambiar caracteres para que sea más fácil de recordar, o recortar la longitud, destruye parte del azar. Si no te gusta el resultado, genera otra.
Cambiarla por calendario modificando un carácter. Pasar de «…2025» a «…2026» no protege nada. Si hay que cambiarla, genera una completamente nueva.
Guardarla sin cifrar. Notas del móvil, un correo a ti mismo, una hoja de cálculo en la nube o una captura de pantalla: si alguien accede a ese sitio, accede a todo.
Compartirla por mensajería o correo. Si tienes que compartir un acceso, usa la función de compartir del gestor o, como mínimo, envía usuario y contraseña por canales distintos y cámbiala después.
Responder la verdad en las preguntas de seguridad. El colegio o el nombre de tu madre se averiguan en redes sociales. Si un servicio te obliga a usarlas, responde con otra cadena generada y guárdala en el gestor.
Dejarla en el portapapeles. En equipos compartidos o con historial de portapapeles activado, lo que copias puede quedarse ahí. Usa el autorrelleno del gestor cuando puedas y borra el historial si trabajas en un ordenador que no es tuyo.
Generar la clave en una web que no inspira confianza. Si una página te pide registrarte para generar una contraseña o no puedes comprobar que funciona en local, busca otra.
Olvidar la maestra sin plan B. Los buenos gestores no pueden recuperar tu cofre si olvidas la maestra, precisamente porque no la conocen. Sin kit de emergencia, perderla es perderlo todo.

Si solo puedes hacer una cosa hoy, que sea esta: cambia la contraseña de tu correo principal por una generada, guárdala en un gestor y activa la verificación en dos pasos. Desde ese correo se recuperan casi todas tus demás cuentas.

Plan de 30 minutos para poner orden en tus contraseñas

No hace falta cambiar cien contraseñas en una tarde. Este orden te da la mayor mejora con el menor esfuerzo:

Minutos 0-10: elige e instala un gestor (o activa el de tu sistema) en el ordenador y en el móvil. Crea la maestra con una frase de seis o siete palabras aleatorias y guarda el kit de emergencia.
Minutos 10-15: protege el gestor activando la verificación en dos pasos en su cuenta y guardando los códigos de recuperación.
Minutos 15-25: asegura el correo principal con una contraseña generada de 20 caracteres, 2FA con app de códigos o passkey, y revisa sus sesiones abiertas.
Minutos 25-30: comprueba tu correo en Have I Been Pwned y apunta en el gestor qué servicios aparecen en filtraciones.
Las semanas siguientes: cambia sobre la marcha. Cada vez que entres en un servicio con una clave antigua o repetida, genérale una nueva y guárdala. En pocas semanas habrás cubierto las cuentas que de verdad usas. Prioriza banco, tiendas con tarjeta guardada, redes sociales y almacenamiento en la nube.
Revisión periódica: usa el informe de salud o auditoría de tu gestor para localizar claves repetidas, cortas o filtradas, y crea passkeys donde te las ofrezcan.

Preguntas frecuentes

¿Es seguro usar un generador de contraseñas online?

Sí, si genera la clave en tu navegador con un generador criptográfico y no la envía a ningún servidor. El de esta página usa crypto.getRandomValues y funciona aunque desconectes la red. Evita los generadores que piden registro o que no permiten comprobar dónde se crea la clave; los generadores integrados en los gestores de contraseñas son igual de seguros y además guardan la clave al momento.

¿Cuántos caracteres debe tener una contraseña segura en 2026?

Para cuentas guardadas en un gestor, 20 caracteres aleatorios es una buena norma. NIST SP 800-63B, en su revisión 4, pide un mínimo de 15 caracteres cuando la contraseña es el único factor de autenticación. Lo que importa es que la longitud vaya acompañada de azar real: 15 caracteres elegidos por ti con un patrón valen mucho menos que 15 generados.

¿Es mejor una contraseña con símbolos o una más larga?

Una más larga. Añadir símbolos al alfabeto suma unos 0,6 bits por carácter, mientras que cada carácter extra suma unos 6 bits. Si un sitio no acepta símbolos, desmárcalos y alarga la clave tres o cuatro caracteres.

¿Qué es mejor, una contraseña aleatoria o una frase de contraseña?

Depende de si la vas a teclear. Para lo que guardas en el gestor, una cadena aleatoria de 20 caracteres. Para lo que memorizas (la maestra del gestor, el inicio de sesión del ordenador), una frase de seis o siete palabras elegidas al azar de una lista larga, que ofrece una seguridad comparable y es mucho más fácil de recordar y escribir.

¿Cada cuánto tiempo hay que cambiar las contraseñas?

No hace falta cambiarlas por calendario si son largas, únicas y aleatorias. NIST desaconseja obligar a cambios periódicos y recomienda cambiarlas cuando hay indicios de que se han comprometido: una filtración del servicio, un aviso de tu gestor, un acceso que no reconoces o haberla escrito en una web sospechosa.

¿Dónde guardo las contraseñas que genero?

En un gestor de contraseñas: uno dedicado como Bitwarden, 1Password o KeePassXC, o el integrado en tu sistema o navegador. Evita notas sin cifrar, correos a ti mismo y hojas de cálculo. Guarda en papel, en lugar seguro, solo el kit de emergencia del gestor y los códigos de recuperación de las cuentas críticas.

¿Qué pasa si olvido la contraseña maestra del gestor?

En los gestores con cifrado de extremo a extremo, el proveedor no puede recuperarla porque no la conoce. Solo podrás recuperar el acceso si preparaste antes un mecanismo: el kit o clave de recuperación que ofrezca tu gestor, un dispositivo que siga desbloqueado o un contacto de emergencia configurado. Por eso conviene prepararlo el mismo día que creas la maestra.

¿Las passkeys sustituyen al generador de contraseñas?

En los servicios que las admiten, sí: una passkey reemplaza a la contraseña y además resiste al phishing. Pero todavía muchos servicios solo aceptan contraseña, y otros mantienen la contraseña como vía alternativa. Durante años vas a convivir con ambas, así que el generador y el gestor siguen siendo necesarios.

¿Cómo sé si mi contraseña ha sido filtrada?

Activa los avisos de contraseñas comprometidas de tu gestor o de tu navegador, o consulta Pwned Passwords en Have I Been Pwned. La comprobación usa k-anonimato: solo se envían los cinco primeros caracteres del hash de la clave, nunca la clave. Si aparece, cámbiala en todos los servicios donde la usaras.

¿Es seguro el SMS como segundo factor?

Es mejor que no tener segundo factor, pero es el método más débil: es vulnerable al duplicado fraudulento de la tarjeta SIM y no te protege si tecleas el código en una web falsa. Si el servicio lo permite, usa una app de códigos, una llave de seguridad física o una passkey, y deja el SMS solo como último recurso.

¿Por qué el generador evita caracteres ambiguos?

Solo si lo marcas. Letras como I (i mayúscula), l (ele minúscula) y el número 1, o la O y el 0, se confunden al leer la clave en pantalla o en papel. Si la vas a copiar y pegar, no hace falta quitarlos; si la vas a teclear en otro aparato, márcalo y añade un carácter más para compensar el alfabeto más pequeño.