Generador de contraseñas

No. La generación ocurre por completo en tu navegador usando la Web Crypto API. No hay ningún componente de servidor, ninguna llamada de analítica que lleve una contraseña, ni ninguna función de enlace compartible: una contraseña generada no tiene forma de salir de tu dispositivo salvo que tú mismo la copies y la pegues en algún sitio.

Math.random() es un generador pseudoaleatorio rápido y de propósito general, sin ninguna garantía de que su salida no pueda predecirse a partir de unas pocas muestras — nunca se diseñó para ser impredecible frente a un atacante. crypto.getRandomValues() es un generador de números aleatorios criptográficamente seguro, respaldado por el CSPRNG del navegador (y en última instancia del sistema operativo) — el mismo tipo de fuente que se usa para generar claves de cifrado. Esa es la única fuente adecuada para algo como una contraseña.

Si conviertes un byte aleatorio (0-255) en un carácter con byte % longitudDelConjunto, y 256 no es divisible exactamente entre esa longitud, los valores bajos del conjunto se eligen ligeramente más a menudo que los altos — un sesgo real y medible, no teórico. Esta herramienta usa en su lugar muestreo por rechazo: calcula el mayor múltiplo del tamaño del conjunto que cabe por debajo de 256, y cualquier byte que caiga en ese umbral o por encima se descarta y se vuelve a extraer, en lugar de reducirse con el módulo. Cada carácter que sobrevive a este proceso tiene exactamente la misma probabilidad.

La contraseña completa se genera primero mediante la extracción aleatoria sin sesgo descrita arriba. Después, si algún conjunto que activaste (por ejemplo, símbolos) termina sin ningún representante en el resultado —algo que se vuelve probable en una contraseña corta con varios conjuntos activados—, se sobrescribe una posición elegida al azar con un carácter aleatorio de ese conjunto, extraído también con la misma fuente criptográfica. Por eso activar los cuatro conjuntos produce de forma fiable una contraseña que los contiene todos, en lugar de dejar alguno fuera por azar de vez en cuando.

Un medidor de fortaleza con colores es un recurso subjetivo y a menudo engañoso. La entropía en bits —longitud × log2(tamaño efectivo del conjunto de caracteres)— es un número sencillo y verificable: indica exactamente cuántos intentos uniformemente aleatorios (en términos de log2) harían falta para recorrer todo el espacio del que se extrajo esta contraseña. Qué hagas con ese número —compararlo con los requisitos de un servicio, decidir si es suficiente— depende de ti.

No, deliberadamente. No se escribe nada en localStorage ni en ningún otro almacenamiento del dispositivo. En cuanto sales de la página o la recargas, cualquier contraseña generada ahí desaparece salvo que la hayas copiado — el comportamiento correcto por defecto para algo tan sensible.

Algunos caracteres son fáciles de confundir o de escribir mal, sobre todo en ciertas tipografías o al leerlos en voz alta: el dígito 0 frente a la letra O, y el dígito 1 frente a la ele minúscula y la i mayúscula. Activar "excluir caracteres ambiguos" elimina exactamente esos cinco caracteres del conjunto, a cambio de un pequeño coste en el tamaño del conjunto (y por tanto en la entropía para una misma longitud).

Sí. Es una PWA. Tras la primera visita queda guardada en la caché, de modo que funciona sin conexión a la red — algo natural para una herramienta que en realidad nunca necesitó la red para hacer su trabajo. También puedes instalarla en tu pantalla de inicio.