Español | English | Français | Português | Deutsch | Italiano
Generador de contraseñas
Un generador de contraseñas que funciona entero en el navegador. Es un único archivo HTML: sin servidor, sin dependencias y sin conexiones a ningún sitio. Las contraseñas nacen en tu equipo y no salen de él.
Úsalo en línea: https://pw.linvx.org
Qué hace
Tres modos
- Aleatoria, para todo lo que guarda el gestor de contraseñas. De 6 a 64 caracteres (50 por defecto), eligiendo minúsculas, mayúsculas, cifras y símbolos, con opción de quitar los caracteres que se confunden (
i I 1 l L o O 0).
- Memorizable, para las que tecleas tú: la del ordenador, la del correo o la maestra del gestor. Palabras al azar que concuerdan en género (
Farola-Seca-Tren-Cometa-47), con separador, mayúsculas y un núcleo de cifras configurables.
- PIN, para el móvil, la tarjeta o la alarma. De 4 a 12 cifras, descartando las que se prueban primero: repeticiones (
0000, 1212), secuencias (1234, 9876), años y fechas en cualquier formato (1985, 0712, 19850712) y columnas y diagonales del teclado (2580, 1379).
Seis idiomas, en la interfaz y en los diccionarios: español, inglés, francés, portugués, alemán e italiano. Cada diccionario tiene unos 2.300 sustantivos y 500 adjetivos, filtrados por frecuencia de uso y revisados a mano para quitar palabras malsonantes, de doble sentido o que al quitar las tildes se convierten en otra cosa.
Además
- Comprueba si la contraseña cumple una política de longitud y tipos de carácter (16 caracteres y los 4 tipos, por defecto) y, si no, dice qué falla.
- Calcula la seguridad en bits suponiendo que el atacante conoce el método y el diccionario, y estima cuánto tardaría en adivinarla con mil millones de pruebas por segundo.
- Deletreo para dictarla: cada carácter con su nombre («M mayúscula», «7 siete», «# almohadilla») o, en las memorizables, cada palabra entera.
- Las cifras y los símbolos salen en otro color, para no confundir
0 con O ni 1 con l.
- Lotes de hasta 200 contraseñas a la vez.
- Tema claro y oscuro según el sistema; funciona en el móvil.
Seguridad
- Azar criptográfico. Todo sale de
crypto.getRandomValues. Los números se sortean descartando los que causarían sesgo, así que ningún carácter ni palabra sale más que otro.
- Uniforme de verdad. En el modo aleatorio no se reserva un hueco para cada tipo de carácter (lo habitual, que hace salir más cifras y símbolos de la cuenta): se sortea la clave entera y se descarta si falta algún tipo. Lo mismo con los PIN previsibles. Los bits que muestra la página cuentan solo las claves válidas.
- Nada sale del navegador. La página no hace ninguna petición de red. Su política de seguridad (
Content-Security-Policy) parte de default-src 'none' y solo deja ejecutar los programas y la hoja de estilo cuya huella SHA-256 coincide: no se puede inyectar código ni cargar nada de fuera.
- No guarda contraseñas. Solo recuerda los ajustes del formulario, en el almacenamiento local del navegador. Al recargar, las contraseñas desaparecen.
- Código legible. No está ofuscado ni comprimido: puedes abrir
index.html y comprobar todo lo anterior.
Usarlo sin conexión
Descarga index.html y ábrelo con el navegador. Funciona igual que en línea, incluso sin internet.
Comprobar que no ha cambiado
La huella SHA-256 de index.html cambia con cualquier modificación, por pequeña que sea. Para comparar la versión publicada con la del repositorio:
curl -s https://pw.linvx.org | sha256sum
sha256sum index.html
En Windows: Get-FileHash index.html.
Lo que no arregla una buena contraseña
- Repetirla: una clave usada en dos sitios vale lo que el más débil de los dos.
- Escribirla en una página falsa.
- El portapapeles: lo copiado se queda ahí, y si tienes activado el historial o la sincronización del portapapeles, se guarda.
- Las extensiones del navegador, que pueden leer cualquier página.
Lo que de verdad cambia el resultado es la verificación en dos pasos, una contraseña distinta por servicio y un gestor de contraseñas.
Licencia
GPL-3.0
