Generador de contraseñas

La fuerza de una contraseña aleatoria es una función de cuántas contraseñas posibles existen dada su longitud y conjunto de caracteres, y ese número crece exponencialmente con la longitud pero solo linealmente con el tamaño del conjunto de caracteres — añadir una posición más de carácter multiplica el espacio de posibilidades total, mientras que añadir un tipo más de símbolo permitido apenas lo mueve. Una contraseña de 20 caracteres usando solo letras minúsculas extrae de 26 posibilidades por posición a través de 20 posiciones, lo que resulta en muchísimas más combinaciones totales que una contraseña de 8 caracteres extraída de un conjunto mucho más rico de 94 caracteres posibles (mayúsculas, minúsculas, dígitos y símbolos combinados) pero con solo 8 posiciones para colocarlos. Esta es la razón matemática por la que la longitud es el factor dominante en la fuerza de una contraseña, y por qué el consejo de larga data de añadir símbolos y mayúsculas mixtas importa mucho menos que simplemente hacer la contraseña más larga.

No todos los generadores de números aleatorios son igualmente impredecibles. `Math.random()`, la función aleatoria de propósito general integrada en JavaScript, está diseñada para velocidad y distribución estadística en cosas como animaciones o barajar un tablero de juego — no está diseñada para resistir a un atacante que específicamente intenta predecir su salida, y en algunas implementaciones su estado interno puede reconstruirse parcialmente a partir de un puñado de salidas observadas. `crypto.getRandomValues()`, la API que usa esta herramienta en su lugar, extrae de la fuente de números aleatorios criptográfica del sistema operativo — la misma fuente subyacente usada para generar claves de cifrado — que está construida y auditada específicamente para resistir exactamente ese tipo de ataque de predicción. Usar cualquier cosa distinta de un CSPRNG (generador de números pseudoaleatorios criptográficamente seguro) para generar contraseñas es una debilidad real y explotable, no teórica — varios errores publicados de generadores de contraseñas han venido exactamente de esta sustitución.

La entropía, medida en bits, describe cuántos intentos necesitaría un atacante para probar exhaustivamente cada posibilidad antes de encontrar la correcta — cada bit adicional duplica ese número, así que la relación es exponencial en lugar de lineal, y un salto de 60 a 70 bits representa un aumento de mil veces en la carga de trabajo del atacante, no una mejora modesta de diez unidades. Por debajo de aproximadamente 50 bits, los ataques sostenidos de fuerza bruta usando hardware moderno se vuelven genuinamente viables dentro de un marco de tiempo práctico. El rango de 70–80 bits se considera cómodo para una contraseña ordinaria que protege una cuenta online típica. Por encima de 100 bits está cómodamente más allá de lo que cualquier esfuerzo de cómputo actualmente concebible podría agotar, que es por lo que tanto la guía de esta herramienta como su medidor de fuerza se anclan alrededor de estos umbrales específicos en lugar de una recomendación vaga de "hazla más fuerte".