Generador de cadenas aleatorias
Genera cadenas aleatorias criptográficamente seguras (tokens, claves de API, hexadecimal e identificadores) en tu navegador, con lectura de entropía en directo.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Genera cadenas aleatorias criptográficamente seguras (tokens, claves de API, valores hexadecimales e identificadores) directamente en tu navegador. A diferencia de un generador de contraseñas, se centra en el juego de caracteres y en la generación en bloque: eliges un juego de caracteres (alfanumérico, hexadecimal en minúsculas o mayúsculas, base64url, solo dígitos o tu propio conjunto personalizado), una longitud de 1 a 256 y generas de 1 a 50 cadenas a la vez. Una lectura de entropía en directo muestra los bits exactos de aleatoriedad para tu configuración (entropía = longitud × log₂ del tamaño del juego de caracteres), para que dimensiones un token según un objetivo de seguridad real. La aleatoriedad procede del CSPRNG del navegador (crypto.getRandomValues) con muestreo por rechazo para eliminar el sesgo de módulo, nunca de Math.random, que es predecible e inseguro para secretos. Todo se ejecuta en el lado del cliente: nada de lo que generas se envía a un servidor, se registra ni se guarda. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Elige un juego de caracteres: alfanumérico, hexadecimal, base64url, solo dígitos o uno personalizado.
- Fija la longitud (de 1 a 256) y cuántas cadenas quieres (de 1 a 50).
- Comprueba la lectura de entropía en bits frente a tu objetivo de seguridad (128 bits es el mínimo habitual para secretos).
- Copia una fila o todas y llévalas directamente a tu gestor de secretos o a tu configuración de entorno.
Preguntas frecuentes
¿Para qué sirve un generador de cadenas aleatorias?
Un generador de cadenas aleatorias produce secuencias impredecibles de caracteres para usarlas como claves de API, tokens bearer y de sesión, tokens de restablecimiento de contraseña y de invitación, tokens CSRF, nonces, sales, identificadores de bases de datos u objetos y secretos de firma de webhooks. A diferencia de un generador de contraseñas legibles, se centra en el juego de caracteres: eliges exactamente qué caracteres se permiten (por ejemplo, hexadecimal para la huella de una clave o base64url para un token seguro en URL) y qué longitud tiene la cadena, y luego generas muchas a la vez. La seguridad de todo esto depende por completo de que la aleatoriedad sea impredecible, y por eso esta herramienta usa un generador criptográficamente seguro y no uno corriente.
¿Por qué usar crypto.getRandomValues en lugar de Math.random?
Math.random es un generador de números pseudoaleatorios rápido y no criptográfico. Su estado interno es pequeño y su salida tiene patrones estadísticos, así que un atacante que ve unos pocos valores a menudo puede predecir el resto, y los navegadores nunca prometieron que fuera impredecible. Eso vale para barajar una animación de la interfaz y es catastrófico para un secreto. crypto.getRandomValues es un CSPRNG (generador de números pseudoaleatorios criptográficamente seguro) alimentado con el pool de entropía del sistema operativo; su salida está diseñada para que sea computacionalmente inviable predecirla incluso conociendo salidas anteriores. Todo lo que actúe como credencial (un token, una clave, una sal o un identificador secreto) debe salir de un CSPRNG. Esta herramienta usa exclusivamente crypto.getRandomValues y nunca llama a Math.random.
¿Qué significa la lectura de entropía y qué longitud debe tener mi token?
La entropía mide cuántos valores igual de probables podría haber tomado una cadena, en bits. Para una cadena extraída de forma uniforme de un alfabeto de N símbolos distintos, cada carácter aporta log₂(N) bits, así que una cadena de longitud L tiene L × log₂(N) bits de entropía. Ejemplos: una cadena alfanumérica de 16 caracteres (N = 62) tiene unos 16 × 5,954 ≈ 95 bits; una cadena hexadecimal de 32 caracteres (N = 16) tiene exactamente 32 × 4 = 128 bits; una cadena base64url de 43 caracteres (N = 64) tiene 43 × 6 = 258 bits, suficiente para contener una clave de 256 bits. Como regla general, 128 bits es el mínimo habitual para secretos que deben resistir la fuerza bruta, y 256 bits se usa cuando se quiere un margen de seguridad amplio. La lectura lo calcula exactamente a partir de tu juego de caracteres y tu longitud actuales.
¿Debo usar hexadecimal, base64url o alfanumérico?
Depende de adónde vaya la cadena. El hexadecimal (0–9 a–f, 16 símbolos, 4 bits por carácter) no es ambiguo, no distingue mayúsculas y es ideal para huellas, checksums y cualquier cosa que se copie a mano, pero es el menos denso: un valor de 256 bits necesita 64 caracteres hexadecimales. Base64url (A–Z a–z 0–9 y - _, 64 símbolos, 6 bits por carácter) es la codificación de texto más compacta que sigue siendo segura dentro de URL, nombres de archivo y cabeceras HTTP sin escapar, así que es la elección habitual para tokens: un valor de 256 bits cabe en 43 caracteres. El alfanumérico (62 símbolos, unos 5,95 bits por carácter) evita por completo los símbolos - y _, lo que es útil cuando un sistema posterior trata la puntuación de forma especial o cuando el valor debe seleccionarse con un doble clic. Solo dígitos es para códigos numéricos. Elige el alfabeto seguro más pequeño para el destino y luego fija la longitud para alcanzar tu objetivo de entropía.
¿Se envían a algún sitio las cadenas generadas? ¿Es seguro para secretos de producción?
No se envían. La generación ocurre íntegramente en tu navegador con la Web Crypto API; no se transmite nada a PlayCISO ni a terceros, y no se guarda ni se registra nada en el servidor. Las cadenas solo existen en la página hasta que las copias. Eso hace que la herramienta sea adecuada para generar secretos reales, pero trata el resultado como cualquier otra credencial: genéralo en un dispositivo de confianza, llévalo directamente a tu gestor de secretos o a tu configuración de entorno en lugar de dejarlo en el portapapeles o en el historial del navegador, y nunca pegues un secreto de producción en una página en la que no confíes. Un secreto vale lo que el cuidado con que lo manejas después de generarlo.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.