Aleatoria de verdad
Las contraseñas se generan con crypto.getRandomValues, el
generador criptográfico del navegador, no con Math.random() —
que es rápido, predecible y no sirve para esto. Además se descartan los
valores que caerían fuera de un múltiplo exacto del alfabeto, para que todos
los caracteres tengan exactamente la misma probabilidad y no haya unos
ligeramente más frecuentes que otros.
Los bits de entropía
La cifra de la derecha es lo único que mide de verdad la fuerza de una contraseña: cuántas veces habría que duplicar el esfuerzo para adivinarla. Por debajo de 60 bits es poca cosa, 80 está bien y por encima de 100 sobra para casi todo. Una contraseña larga con pocos tipos de carácter suele batir a una corta llena de símbolos.
Nunca sale de tu navegador
Se genera en tu ordenador, no se envía a ningún sitio, no se guarda y no queda en ningún registro. Puedes desconectar la red y seguirá funcionando. Aun así, la costumbre sana es generarla aquí y guardarla en un gestor de contraseñas, no en un papel ni en un correo.