La preocupación es legítima. Si usas una herramienta online para generar una contraseña y esa herramienta envía el resultado a un servidor externo, acabas de transmitir tu nueva credencial a hardware que no controlas. Por eso la arquitectura de un generador de contraseñas importa tanto como su interfaz. La buena noticia es que no todos los generadores online funcionan de esta manera — y puedes verificar cuál tipo estás usando en menos de un minuto antes de confiarle tu seguridad.
El Riesgo Central: Generación en Servidor vs. Generación en Navegador
Los generadores del lado del servidor reciben tu solicitud, calculan la contraseña en el servidor y te la devuelven a través de la red. Aunque HTTPS cifre la transmisión, la contraseña existe en hardware que no controlas — en un proceso que puede registrarse, almacenarse en caché o al que puede acceder el operador. Cualquier incidente de seguridad futuro en ese proveedor podría exponer las contraseñas generadas.
Los generadores del lado del navegador se ejecutan completamente dentro de tu pestaña usando JavaScript y la Web Cryptography API. La contraseña se genera localmente en tu propio hardware, dentro del proceso del navegador, y nunca se transmite a ningún servidor. Abrir las herramientas de desarrollador de tu navegador y revisar la pestaña Red durante la generación mostrará cero solicitudes HTTP salientes. No hay operador de servidor en quien confiar, ninguna superficie de registro y nada que interceptar.
La distinción es arquitectural y absoluta, no cuestión de grado. Un generador del lado del servidor que afirma usar HTTPS y no guardar registros te pide que confíes en un tercero con una credencial. Un generador del lado del navegador que usa la Web Crypto API elimina por completo la necesidad de esa confianza. La arquitectura es verificable por cualquiera — no es una afirmación que debas aceptar por fe.
Qué Significa Realmente "Criptográficamente Seguro"
No todos los generadores basados en navegador son iguales. La fuente de aleatoriedad importa. La función Math.random() de JavaScript genera números pseudoaleatorios a partir de un algoritmo con semilla — no es adecuada para operaciones sensibles a la seguridad. Un atacante que puede inferir la semilla, u obtener suficiente salida secuencial, puede predecir valores futuros y reconstruir las contraseñas generadas.
La Web Cryptography API proporciona window.crypto.getRandomValues(), que obtiene entropía directamente del generador de números pseudoaleatorios criptográficamente seguro (CSPRNG) del sistema operativo. Esta es la misma fuente de entropía que se usa para generar certificados TLS y claves SSH. Su salida es computacionalmente imposible de predecir o reproducir — un generador construido sobre esta API es seguro por construcción, no solo por afirmación.
Verificar qué método usa un generador es sencillo: inspecciona el código fuente de la página y busca la función de generación. Un generador confiable usará explícitamente window.crypto.getRandomValues() o la SubtleCrypto API. Si el código fuente es opaco, no está documentado o referencia Math.random() para la generación de contraseñas, trata el resultado como no apto para uso de seguridad independientemente de lo profesional que parezca la interfaz.
Cómo Verificar un Generador Antes de Usarlo
Comprueba la actividad de red primero. Abre las herramientas de desarrollador de tu navegador, ve a la pestaña Red y genera una contraseña. Un generador basado en navegador confiable mostrará cero solicitudes HTTP salientes durante o después de la generación. Si ves llamadas a APIs, solicitudes a servidores o eventos de análisis que incluyen el valor generado, el generador no es seguro.
Busca transparencia del código fuente. Las herramientas reputadas son de código abierto o documentan explícitamente su implementación de aleatoriedad. Los generadores de código cerrado sin divulgación técnica requieren confianza incondicional — una postura de seguridad deficiente para una herramienta que maneja credenciales. El código abierto puede ser auditado de forma independiente por cualquiera.
Después de la generación, tu manejo de la contraseña importa tanto como la arquitectura del generador. No la pegues en un correo electrónico, una aplicación de notas o un archivo de texto. Evita escribirla en cualquier formulario con autocompletado activo, que podría sugerirla a otros sitios. Guárdala inmediatamente en un gestor de contraseñas reputado y borra el valor generado de la interfaz de la herramienta antes de cerrar la pestaña.
Este generador se ejecuta completamente en tu navegador usando window.crypto.getRandomValues() — ningún dato se envía a ningún servidor. Verifícalo en tu pestaña de red.
Abrir el Generador de Contraseñas →La mayoría de los generadores de contraseñas online legítimos son seguros precisamente porque operan del lado del navegador. La preocupación no es infundada — es una razón sólida para verificar la arquitectura de cualquier herramienta específica antes de confiar en ella. Comprueba la pestaña de red durante la generación, busca documentación sobre la fuente de aleatoriedad y prefiere las implementaciones de código abierto o claramente documentadas. Una vez confirmado que un generador opera localmente usando un CSPRNG, la contraseña generada es tan segura como el gestor de contraseñas que uses para almacenarla.