¿Es seguro un generador de contraseñas online?

Hay algo paradójico en buscar "generador de contraseñas" en internet: vas a pedirle un secreto a una página web. Si esa página lo fabrica en su servidor, tu nueva contraseña existió primero en una máquina ajena. ¿Significa eso que todos los generadores online son peligrosos? No — pero la seguridad depende de dos cosas que casi nadie comprueba: dónde se genera la contraseña y con qué aleatoriedad. Aquí te explico ambas y cómo verificarlas en un minuto.

Riesgo 1: dónde se genera la contraseña

Un generador puede funcionar de dos maneras. En el modelo server-side, pulsas el botón, el servidor crea la contraseña y te la envía; ha pasado por su memoria, posiblemente por sus logs, y ha viajado por la red hasta ti. En el modelo local o client-side, el código JavaScript de la página la genera dentro de tu navegador: nunca sale de tu dispositivo y el servidor no llega a conocerla.

No se trata de desconfiar por sistema de todos los sitios server-side; la mayoría no guardan nada. Se trata de que una contraseña es el único dato que, por definición, no debería conocer nadie más que tú — y la arquitectura local garantiza eso sin tener que creerle a nadie.

Riesgo 2: la calidad del azar

Una contraseña generada es tan fuerte como el azar que la produjo. Los lenguajes de programación tienen dos tipos de generadores de números aleatorios: los "normales", pensados para juegos y animaciones (en JavaScript, Math.random), que son predecibles si alguien conoce su estado; y los criptográficamente seguros (en el navegador, crypto.getRandomValues, la Web Crypto API), diseñados precisamente para claves y secretos. Un generador que use el primero puede producir contraseñas que parecen aleatorias y no lo son del todo.

Esto no se ve a simple vista: la contraseña luce igual de rara en ambos casos. Por eso cuenta lo que el servicio declara y, si es posible, que su código sea visible.

La comprobación de un minuto

El test del modo avión. Carga la página, desconecta internet y genera una contraseña nueva. Si funciona, la generación es local: es físicamente imposible que la esté enviando a ningún sitio.
¿Pide cuenta o guarda "historial"? Un generador que te muestra tus contraseñas anteriores las está almacenando en algún sitio. Un generador serio no recuerda nada.
¿Dice con qué genera el azar? Busca la mención a crypto.getRandomValues o "criptográficamente seguro". Si solo promete "contraseñas superseguras" sin explicar cómo, es publicidad, no información.
¿Cuántos scripts externos carga? Una página de generador llena de publicidad de terceros ejecuta código de muchos dominios junto a tu contraseña recién creada. Cuanto más limpia, mejor.

La longitud importa más que los símbolos

La fortaleza de una contraseña aleatoria se mide en bits de entropía, y crece más rápido con la longitud que con la variedad de caracteres. Con el conjunto completo de 94 caracteres imprimibles, la cuenta es aproximadamente esta:

Longitud	Entropía aproximada	Uso típico
12 caracteres	~79 bits	Mínimo razonable para cuentas personales
16 caracteres	~105 bits	Recomendado para correo, banca y gestores
20 caracteres	~131 bits	Cuentas de administración, Wi-Fi
32 o más	~210 bits o más	Claves de API, secretos de servidor, tokens

La consecuencia práctica: si la contraseña va a guardarla un gestor y nunca vas a teclearla, no hay razón para quedarse en 12. Ponle 20 o más y olvídate.

Cuándo tiene sentido un generador online

Honestamente, para tus cuentas del día a día la mejor opción es el generador integrado de un gestor de contraseñas: crea y guarda en el mismo paso. El generador online brilla en los casos que el gestor no cubre bien:

Secretos técnicos: claves de sesión, tokens, variables de entorno (un SESSION_SECRET de 64 caracteres o más, por ejemplo), contraseñas de bases de datos.
Contraseñas que vas a compartir físicamente: la del Wi-Fi de casa o del negocio — que después puedes convertir en un QR de Wi-Fi para que los invitados se conecten sin teclearla.
Cuando no tienes el gestor a mano: en el ordenador de otra persona o configurando un dispositivo nuevo.
Cuentas compartidas o temporales que no quieres mezclar con tu bóveda personal.

Pruébalo ahora: nuestro generador usa la Web Crypto API del navegador, admite hasta 128 caracteres y no guarda nada. Haz el test: desconecta internet y sigue generando.

Abrir generador de contraseñas →

Señales de alarma

Te envía la contraseña generada por correo o te ofrece "guardarla en la nube" sin que lo hayas pedido.
Muestra un historial de contraseñas generadas.
Deja de funcionar sin conexión: la genera en el servidor.
No explica la fuente de aleatoriedad y la página está cargada de scripts de terceros.
Limita la longitud a 16 o 20 caracteres: insuficiente para secretos técnicos.

Cómo lo hace EzzyApps (y cómo comprobarlo)

Nuestro generador de contraseñas funciona íntegramente en tu navegador con crypto.getRandomValues, el generador criptográficamente seguro del propio navegador; admite entre 8 y 128 caracteres; no tiene cuenta, historial ni servidor que conozca el resultado. No hace falta creernos: desconecta internet y genera otra. Es el mismo principio con el que está construida toda la suite, que explicamos en procesamiento local y privacidad.

Preguntas frecuentes

¿Puede el generador "recordar" mi contraseña y usarla después?

Un generador local no puede: la contraseña existe solo en la memoria de tu pestaña hasta que la copias, y desaparece al cerrarla. En uno server-side depende de su política y de sus logs, y no tienes forma de verificarlo desde fuera.

¿Es mejor una frase de contraseña que una aleatoria?

Para contraseñas que tienes que memorizar, una frase larga de varias palabras es excelente y mucho más fácil de recordar. Para las que guarda un gestor o un archivo de configuración, la aleatoria larga gana. Comparamos los dos métodos a fondo en cómo crear contraseñas seguras y recordarlas.

¿Cuántos caracteres necesita una clave de servidor o de API?

Como regla general, 32 caracteres aleatorios ya superan con holgura cualquier ataque de fuerza bruta realista; muchos frameworks piden 64 para secretos de firma de sesiones. Como nadie va a teclearla, no hay motivo para quedarse corto.

Conclusión

Un generador de contraseñas online es seguro cuando cumple dos condiciones verificables: genera en tu navegador (test del modo avión) y usa aleatoriedad criptográfica (lo declara y, mejor aún, lo puedes leer en su código). Si no cumple la primera, has compartido tu secreto antes de usarlo; si no cumple la segunda, puede ser menos aleatorio de lo que parece. Para generar una ahora mismo con ambas garantías, abre el generador de contraseñas de EzzyApps: gratis, hasta 128 caracteres y sin que nada salga de tu equipo.

There's something paradoxical about searching for "password generator" online: you're asking a website for a secret. If that site builds it on its server, your new password existed on someone else's machine first. Does that mean all online generators are dangerous? No — but their safety depends on two things almost nobody checks: where the password is generated and with what randomness. Here's what both mean and how to verify them in a minute.

Risk 1: where the password is generated

A generator can work in two ways. In the server-side model, you click the button, the server creates the password and sends it to you; it has passed through its memory, possibly its logs, and traveled across the network to reach you. In the local or client-side model, the page's JavaScript generates it inside your browser: it never leaves your device and the server never knows it.

This isn't about distrusting every server-side site on principle; most store nothing. It's that a password is the one piece of data that, by definition, nobody but you should know — and the local architecture guarantees that without having to trust anyone.

Risk 2: the quality of the randomness

A generated password is only as strong as the randomness that produced it. Programming languages have two kinds of random number generators: the "regular" ones, meant for games and animations (in JavaScript, Math.random), which are predictable if someone knows their state; and the cryptographically secure ones (in the browser, crypto.getRandomValues, the Web Crypto API), designed precisely for keys and secrets. A generator using the former can produce passwords that look random and aren't entirely so.

You can't see this with the naked eye: the password looks just as scrambled either way. That's why what the service declares matters and, where possible, whether its code is visible.

The one-minute check

The airplane-mode test. Load the page, disconnect from the internet and generate a new password. If it works, generation is local: it's physically impossible for it to be sending it anywhere.
Does it ask for an account or keep a "history"? A generator that shows you your previous passwords is storing them somewhere. A serious generator remembers nothing.
Does it say how it generates randomness? Look for a mention of crypto.getRandomValues or "cryptographically secure". If it only promises "super secure passwords" without explaining how, that's advertising, not information.
How many third-party scripts does it load? A generator page stuffed with third-party ads runs code from many domains right next to your freshly created password. The cleaner, the better.

Length matters more than symbols

The strength of a random password is measured in bits of entropy, and it grows faster with length than with character variety. With the full set of 94 printable characters, the math is roughly this:

Length	Approximate entropy	Typical use
12 characters	~79 bits	Reasonable minimum for personal accounts
16 characters	~105 bits	Recommended for email, banking and managers
20 characters	~131 bits	Admin accounts, Wi-Fi
32 or more	~210 bits or more	API keys, server secrets, tokens

The practical consequence: if a password manager will store it and you'll never type it, there's no reason to stop at 12. Make it 20 or more and forget about it.

When an online generator makes sense

Honestly, for your everyday accounts the best option is the built-in generator of a password manager: it creates and saves in the same step. The online generator shines in the cases the manager doesn't cover well:

Technical secrets: session keys, tokens, environment variables (a 64+ character SESSION_SECRET, for example), database passwords.
Passwords you'll share physically: your home or business Wi-Fi — which you can then turn into a Wi-Fi QR code so guests connect without typing it.
When your manager isn't at hand: on someone else's computer or while setting up a new device.
Shared or temporary accounts you don't want mixed into your personal vault.

Try it now: our generator uses the browser's Web Crypto API, supports up to 128 characters and stores nothing. Run the test: disconnect from the internet and keep generating.

Open the password generator →

Red flags

It sends the generated password by email or offers to "save it to the cloud" without you asking.
It shows a history of generated passwords.
It stops working offline: it generates on the server.
It doesn't explain its source of randomness and the page is loaded with third-party scripts.
It caps length at 16 or 20 characters: not enough for technical secrets.

How EzzyApps does it (and how to check)

Our password generator runs entirely in your browser with crypto.getRandomValues, the browser's own cryptographically secure generator; it supports 8 to 128 characters; it has no account, no history and no server that ever learns the result. No need to take our word for it: disconnect from the internet and generate another one. It's the same principle the whole suite is built on, explained in local processing and privacy.

Frequently asked questions

Can the generator "remember" my password and use it later?

A local generator can't: the password exists only in your tab's memory until you copy it, and disappears when you close it. With a server-side one it depends on their policy and logs, and you have no way to verify it from the outside.

Is a passphrase better than a random password?

For passwords you have to memorize, a long multi-word passphrase is excellent and far easier to remember. For those stored by a manager or a config file, the long random one wins. We compare both methods in depth in how to create secure passwords and remember them.

How many characters does a server or API key need?

As a rule of thumb, 32 random characters already exceed any realistic brute-force attack by a wide margin; many frameworks ask for 64 for session-signing secrets. Since nobody will ever type it, there's no reason to go short.

Conclusion

An online password generator is safe when it meets two verifiable conditions: it generates in your browser (airplane-mode test) and it uses cryptographic randomness (it says so and, better still, you can read it in its code). If it fails the first, you've shared your secret before using it; if it fails the second, it may be less random than it looks. To generate one right now with both guarantees, open the EzzyApps password generator: free, up to 128 characters, and nothing ever leaves your device.