Generador de contraseñas seguras — Caracteres o palabras al azar

Coger una frase que te sabes, poner las iniciales en mayúscula y cambiar las «a» por «4» parece buena idea hasta que miras cómo trabajan las herramientas que rompen contraseñas: no prueban letras a ciegas, prueban diccionarios de palabras y frases con esas mismas sustituciones aplicadas.

Los bits solo se pueden calcular cuando la contraseña sale al azar de un conjunto conocido. Una frase la elige una persona, con sus gustos y sus recuerdos, y nadie sabe de cuántas posibles sale. Por eso aquí no hay medidor que le ponga cinco barras verdes por medir 24 caracteres.

Si necesitas algo que puedas recordar, como la clave maestra del gestor de contraseñas, usa las palabras al azar: 6 palabras de la lista son 64,46 bits, y esos sí son de verdad.

El logaritmo en base 2 de cuántas contraseñas distintas puede sacar el generador con tus ajustes, todas igual de probables. Con 16 caracteres de un alfabeto de 87 son 16 × log₂ 87 = 103,09 bits. Si exiges al menos uno de cada tipo, se descuentan las que no cumplen (por inclusión-exclusión) y quedan 102,85.

Cada carácter o palabra sale de crypto.getRandomValues descartando el último tramo incompleto, para que ninguno salga más que otro. Si el navegador no tiene Web Crypto, la herramienta no genera nada en vez de tirar de Math.random.

Lo que no te dice ningún medidor es cuánto se tarda en romperla: depende de cómo guarde la contraseña cada web, y eso no lo ves. Si la guardan mal, da igual cuántos bits tenga. Lo que sí depende de ti es no repetirla: un gestor de contraseñas y segundo factor donde se pueda.