# Unha API para xerar e comprobar contrasinais · password.es

> api.password.es xa responde: POST /v1/generate devolve contrasinais e a súa análise exacta, cos mesmos números deste sitio. 60 peticións/min, sen rexistro.

password.es · Original: https://password.es/gl/api/

---

# Unha API para xerar e comprobar contrasinais

`api.password.es` xa responde. Unha petición devolve contrasinais e a súa análise cos mesmos números que ves neste sitio: a mesma fórmula de bits, o mesmo modelo de ataque e a mesma escala de nivel có comprobador.

**Sen rexistro e sen chave.** Chámase e listo: 60 peticións por minuto e por IP. Xerar funciona hoxe; comprobar aínda non, e aquí abaixo dise exactamente por que.

## O que responde hoxe

Todo colga de `https://api.password.es`. Tres enderezos responden e un aínda non; a referencia completa —parámetros, campos e erros— está na [documentación](https://password.es/gl/api/docs/).

- POST/v1/generate Xera un ou varios contrasinais e devolve a súa análise.
- GET/openapi.json A descrición da API, en OpenAPI 3.1.
- POST/mcp Servidor MCP para asistentes. Unha ferramenta: `generate_password`.
- POST/v1/check 501 Aínda non existe. O erro explica que falta e onde ir mentres tanto.

## En dez segundos

Sen chave, sen rexistro e sen cabeceiras. A chamada é toda esta:

Un contrasinal, nada máis

```
curl -X POST https://api.password.es/v1/generate
```

Devolve un contrasinal de 16 caracteres e a súa análise: os bits, canto aguantaría un ataque e un nivel de 0 a 4 — os mesmos números que ves na portada deste sitio. Todo o demais son opcións.

## A referencia completa

En [a documentación da API](https://password.es/gl/api/docs/) están os nove parámetros, cada campo da resposta explicado un a un, os códigos de erro, os límites e como se escolle a lingua. É a páxina que se abre ao lado do editor; esta conta de que vai.

## O que aínda non existe

Sen datas, porque non as hai. Cóntase para que se vexa cara a onde vai isto, non como compromiso.

- **`/v1/check`**. A intención é que analice un contrasinal cos mesmos números có comprobador. Hoxe devolve `501` e di por que: esixe o mesmo motor de patróns có web, e iso custa entre 11 ms e 3,6 s de CPU por petición segundo o que se lle mande. Está pendente dunha decisión —onde poñer o teito de lonxitude— que aínda non se tomou.
- **Comprobar por k-anonymity**: mirar se un contrasinal aparece nunha filtración sen chegar a envialo enteiro.
- **O paquete local**: o mesmo motor para executalo na túa máquina e non chamarnos nunca. É a parte cara de todo isto, así que non a dies por feita.
- **Chaves e plans.** Nin data nin compromiso. Hoxe non hai rexistro nin prezos, e por iso non hai unha soa ligazón a eles en toda a API — nin sequera no erro de límite superado.

## O que non imos agochar

Unha API que xera contrasinais é, no fondo, un antipatrón: o contrasinal viaxa pola rede e pasa por unha máquina que non é a túa. É agora, que se pode chamar de verdade, cando este aviso fai falta — non cando esta páxina era unha promesa.

Por iso non vive só aquí: **cada resposta leva o seu propio `notice`** dicindo o mesmo, na lingua que pidas. Para un contrasinal que vaias usar de verdade, [o xerador deste sitio](https://password.es/gl/) corre enteiro no teu navegador e non envía nada; [o comprobador](https://password.es/gl/comprobador/), igual.

A saída de verdade deste antipatrón é o paquete local da lista de arriba: o mesmo motor, na túa máquina, sen nós polo medio. É unha intención, non unha data.