La longitud pesa más que la variedad
La fuerza depende mucho más de cuántos caracteres usas que de cuántos tipos mezclas. Añadir un tipo sube un poco lo que carga cada posición; añadir posiciones multiplica esa carga entera.
La entropía lo deja claro. Doce caracteres con mayúsculas, minúsculas y dígitos dan 71 bits, mientras que veinte caracteres de solo minúsculas dan 94. Si un sitio no admite símbolos, compensa con longitud.
Qué cifra buscar
La entropía es el número de intentos que haría falta para acertar, escrito en bits. Cada bit de más duplica ese número.
Sesenta y pico basta para una cuenta que vas a tirar enseguida. Lo que pienses conservar conviene dejarlo por encima de 80 bits, y una contraseña maestra o una clave de cifrado, por encima de 100. El valor por defecto de esta herramienta, dieciséis caracteres con los cuatro tipos activados, sale a 102 bits.
Cuándo evitar los caracteres que se confunden
El cero y la O mayúscula, o el uno frente a la l minúscula y la I mayúscula, no se distinguen en muchas tipografías. Si la contraseña se va a apuntar en papel o teclear a mano en otro dispositivo, quitarlos ahorra disgustos. Cuesta cinco caracteres del conjunto y algo de entropía, así que añade una o dos posiciones para compensar.
Cuando el sitio rechaza símbolos
Hay servicios que exigen símbolos y luego rechazan algunos en concreto. Esta herramienta deja fuera desde el principio las comillas y los signos de mayor y menor, porque suelen necesitar escape allí donde se pega la contraseña. Si aun así te la rechazan, desactiva los símbolos y sube la longitud.
Después de generarla
El valor se produce dentro de tu navegador y no se guarda en ningún sitio. Desaparece al cerrar la pestaña, así que cópialo directamente a un gestor de contraseñas.
Más importante que alargarla es no repetir nunca la misma contraseña. Una sola filtración abriría el resto de tus cuentas, y una contraseña reutilizada solo es tan segura como el servicio más descuidado que la guarde, por larga que sea.