Cómo se usa
- Elija la Longitud del PIN de 4 a 12 dígitos. NIST SP 800-63B exige al menos cuatro y recomienda seis.
- Marque las reglas que quiera: Ningún dígito usado dos veces, Ningún grupo de tres dígitos en orden o Evitar los 20 PIN de cuatro dígitos más comunes.
- Elija Cuántos PIN generar. La página los genera de nuevo cada vez que cambia un ajuste.
- Pulse Copiar o Descargar para conservar la lista. La página no guarda los PIN.
Cómo se generan los PIN
Cada dígito es un sorteo con crypto.getRandomValues, los números aleatorios seguros de su navegador. El sorteo es imparcial: un valor de 32 bits se usa solo cuando cae por debajo del mayor múltiplo del rango, así que cada dígito tiene la misma probabilidad.
Cuando hay una regla, un PIN que la incumple se descarta y se sortea de nuevo. Así, todos los PIN que cumplen las reglas tienen la misma probabilidad, y la entropía es la cifra real para las reglas que eligió.
entropía (bits) = log2(número de PIN que cumplen las reglas)Qué reglas y por qué
NIST SP 800-63B dice que un PIN usado como secreto de activación tiene al menos cuatro dígitos, y que se recomiendan seis o más. También aconseja una lista de bloqueo con los valores de uso común.
Un dígito usado dos veces (1122) y tres dígitos en orden (1234, 321) son patrones que facilitan adivinar un PIN. La lista de los veinte PIN de cuatro dígitos más comunes procede de la lista de frecuencias de SecLists (licencia MIT); 1234 y 0000 encabezan la lista.
- Cuatro dígitos dan 10.000 PIN; seis dan un millón.
- Sin repetir ningún dígito, un PIN puede tener como máximo diez dígitos, porque solo hay diez cifras.
Ejemplo resuelto: cuatro dígitos sin series ni PIN comunes
De los 10.000 PIN de cuatro dígitos, 306 tienen tres dígitos en orden. Quedan 9694, y 18 de ellos son PIN comunes (1234 y 4321 ya estaban fuera). Así, 9676 PIN cumplen las reglas.
Su entropía es log2(9676), que son 13,2 bits. Dos elevado a 13,24 es unos 9676, el número de PIN que cumplen las reglas.
Preguntas frecuentes
¿Se guardan los PIN o se envían a un servidor?
No. Los PIN se generan en su navegador y se muestran en esta página. No se guarda, envía ni registra nada, y al recargar la página desaparecen, así que copie antes los que quiera.
¿Por qué no usar una fecha de nacimiento o un año como PIN?
Las fechas y los años los comparten muchas personas, así que son malos PIN. Un PIN aleatorio de esta página es más difícil de adivinar, pero también más difícil de recordar, así que guárdelo en un gestor de contraseñas si el servicio lo permite.
¿Qué significa la entropía de un PIN?
Es el número de bits de la elección. Cuando se conocen las reglas y el PIN es aleatorio, un atacante necesita de media unos la mitad de 2 elevado al número de bits en intentos, así que cada bit adicional duplica el trabajo.
¿Es suficiente un PIN de cuatro dígitos?
NIST SP 800-63B admite cuatro dígitos como mínimo y recomienda seis. Muchos dispositivos y tarjetas limitan los intentos fallidos, así que compruebe ese límite antes de elegir un PIN corto para algo importante.
¿Por qué la longitud del PIN se limita a diez dígitos sin repetidos?
Sin repetir ningún dígito solo hay diez cifras distintas para elegir, así que un PIN no puede tener más de diez. La página rechaza un PIN más largo con esa regla activa.
¿De dónde sale la lista de PIN comunes?
Es la parte superior de la lista de frecuencias de PIN de cuatro dígitos de SecLists, publicada con licencia MIT. La lista solo cubre los PIN de cuatro dígitos, así que la regla no surte efecto con otras longitudes.
Fuentes
- NIST SP 800-63B, sección 3.2.10, secretos de activación (en inglés)
- SecLists: PIN de cuatro dígitos ordenados por frecuencia, MIT (en inglés)
- MDN: Crypto.getRandomValues() (en inglés)
Cifras y texto revisados por última vez el martes, 10 de noviembre de 2026.