Generador de contraseñas

Cómo se calcula el resultado

1. La contraseña se obtiene de la fuente de aleatoriedad criptográfica de tu navegador (crypto.getRandomValues). Cada carácter se elige con la misma probabilidad entre los caracteres permitidos, y se descartan los sorteos que favorecerían a algunos caracteres.
2. Cada tipo de carácter activado aparece al menos una vez: una contraseña a la que le falta alguno se descarta y se vuelve a sortear, de modo que todas las contraseñas válidas siguen siendo igual de probables.
3. La fortaleza en bits es el logaritmo en base 2 del número de contraseñas posibles. El número se cuenta con exactitud, incluida la regla de que aparezca cada tipo de carácter.
4. El tiempo para adivinarla es la mitad de todas las posibilidades (la media) dividida entre los intentos por segundo de un atacante.
5. Los tramos de fortaleza son nuestros, no una norma: por debajo de 60 bits, débil; de 60 a 100 bits, buena; a partir de 100 bits, muy fuerte.

Supuestos y límites

• La fortaleza solo vale para una contraseña creada con este generador, no para una que hayas inventado o modificado a mano.
• Las velocidades son pruebas de una tarjeta gráfica. Un atacante puede usar muchas, y un servicio puede emplear un hash más lento o limitar los intentos, así que el tiempo real puede ser menor o mucho mayor.
• La prueba de bcrypt usa 32 iteraciones (coste 5). Los servicios suelen usar más, lo que frena aún más al atacante.
• El generador no comprueba si una contraseña se ha filtrado ni conoce las reglas de un sitio concreto, por ejemplo los símbolos que rechaza.
• Los ataques a la persona (phishing, malware) no están en las cifras, y una contraseña fuerte no protege frente a ellos.

La velocidad en línea (10 intentos por segundo) es nuestro ejemplo. Las velocidades sin conexión son pruebas publicadas: MD5 215,8 GH/s y bcrypt 255,3 kH/s en una NVIDIA RTX 5090 (hashcat v6.2.6).

Fuentes de datos y el periodo al que corresponden

Cada número con el que una calculadora empieza o con el que calcula procede de una de las fuentes de abajo. Los nombres de las series figuran tal como los da el editor. Cada fila muestra el periodo al que se refieren los datos y, donde lo registramos, el día en que los descargamos. Los datos oficiales pueden tener meses cuando se publican, así que compruebe la cifra actual antes de decidir.

Oficial

Publicado por un banco central, una oficina de estadística, la Unión Europea u otro organismo público.

Datos académicos o del sector

Un conjunto de datos de una universidad, un proveedor de índices, una asociación del sector o un proveedor de datos.

Según la prensa

Una cifra de un organismo oficial que solo conocemos por la prensa y no hemos comprobado en la fuente original. Tómela como aproximada.

Ejemplo

Un número redondo nuestro, no una estadística. Sustitúyalo por el suyo.