Acerca de onepassword.net

Qué es

14 generadores y un comprobador de contraseñas para lo que desarrolladores y cualquier otra persona necesitan de vez en cuando: contraseñas, frases de contraseña, PIN, UUID, claves de API, sales, hashes y códigos de canje. Todo gratis, sin cuenta, sin límite de uso, sin publicidad y sin versión de pago.

Todos funcionan por completo en tu navegador. No hay un servidor al que enviar lo que generas, y eso es un hecho de la arquitectura, no una promesa sobre nuestras intenciones. La página de privacidad explica cómo comprobarlo en un minuto.

Tres reglas

Casi todas las herramientas de este tipo parecen iguales por fuera. Lo que cambia es qué pasa cuando la respuesta fácil y la correcta no coinciden. Estas son las tres reglas que lo deciden aquí, y cada una está escrita para que puedas comprobarla en lugar de creerla.

1. El azar sale de un solo sitio

Todos los valores aleatorios de este sitio —cada carácter de cada contraseña, cada sílaba, cada byte de cada clave— salen de la fuente aleatoria criptográfica del navegador: crypto.getRandomValues(), o crypto.randomUUID() en los UUID de la versión 4.

Cuando un valor tiene que caer en un alfabeto o en un rango de dígitos, el muestreo por rechazo hace que todos los resultados sean exactamente igual de probables. Las claves, las sales y los UUID no necesitan ese paso: usan los bytes aleatorios tal como salen.

Math.random() no se llama nunca. Es algo que puedes comprobar: abre los archivos JavaScript que carga una herramienta y búscalo. El texto de la mayoría de las páginas sí lo menciona, para explicar por qué no se usa.

2. Cada cifra está contada o marcada como estimación

Las cifras de entropía son fáciles de inflar y casi nadie las comprueba. Por eso cada una dice de qué tipo es.

El generador de contraseñas pronunciables da una cifra exacta: sus sílabas están enumeradas y se eligen de forma uniforme, y una contraseña generada solo se puede separar en sílabas de una manera, así que el número de posibilidades es literalmente 231ⁿ × 5 con sus sílabas en español. Las pruebas unitarias comprueban esa ida y vuelta en lugar de darla por hecha.

El comprobador de contraseñas da una estimación, y lo dice. También publica las cuatro categorías de debilidad que no detecta, el nombre de la biblioteca que sí las detecta y cuánto más pesa esa biblioteca.

3. Decir «no te hace falta» vale más que decir algo impresionante

El generador de salesEN (en inglés) empieza avisando de que, si usas bcrypt o Argon2, la biblioteca ya creó tu sal y esa página no tiene nada que darte. Eso describe a la mayor parte de quienes llegan a ella.

El generador de PIN descarta los PIN predecibles y después explica que ese filtro hace el sorteo un poco menos uniforme: contra un atacante que sabe que el filtro está activo, tres intentos pasan de un 0.0300 % a un 0.0308 %. Callarlo habría sido más fácil, y deshonesto.

Si una fuente no se ha podido leer y verificar, no se cita, aunque viniera exactamente al caso.

Lo que no hace a propósito

• Guardar nada. Ni cuentas, ni historial, ni valores guardados. Una herramienta que pudiera enseñarte la contraseña de la semana pasada sería una herramienta que la guardó.
• Calcular el hash de tus archivos. Tu sistema operativo lo hace mejor, sin conexión y sin una página web de por medio.
• Ofrecer un gestor de contraseñas. Generar una contraseña fuerte es la mitad fácil. Guardarla es otro producto y una responsabilidad mucho mayor.
• Publicar una API. Una API implica un servidor, y un servidor implica que tus valores viajen a algún sitio. No compensa.
• Mostrar anuncios o inventar valoraciones. Sin publicidad, y sin puntuaciones con estrellas inventadas en los datos estructurados, una práctica tan común en este tipo de sitios que merece la pena nombrarla.

Quién lo hace

Es un proyecto independiente que se publica sin firma. Es a propósito: un nombre en una firma no es algo que puedas verificar, y la credibilidad de este sitio quiere apoyarse en cosas que sí puedes verificar: la aritmética se puede reproducir, las fuentes se nombran y se citan, y el código que produce cada cifra se puede leer en la propia página.

Cuando una cifra viene de otro sitio, la página nombra la especificación, el artículo o el conjunto de datos del que sale. Cuando se ha calculado aquí, la página también lo dice, y una prueba unitaria la mantiene en ese valor.

OnePassword.net es un conjunto independiente y gratuito de generadores en línea. No está afiliado a 1Password ni a AgileBits, Inc., ni cuenta con su respaldo ni tiene relación con ellos.

Cuando algo está mal

Algo lo estará. Si una cifra es incorrecta, una fuente ya no respalda lo que se dice o una página falla en tu dispositivo, merece un correo: consulta Contacto. Las correcciones se hacen en la página, y la fecha de arriba cambia con ellas.