No obligar a cambiarla cada tanto
«No se debe exigir a los usuarios que cambien las contraseñas periódicamente.»
Solo se cambia cuando hay indicio de que se filtró. La caducidad automática se eliminó de la guía.
La política que todos conocemos, y que ya no se recomienda
Casi todas las empresas aplican la misma receta: mínimo ocho caracteres, una mayúscula, un número, un símbolo, y a cambiarla cada 30 o 90 días. Es tan común que parece la definición misma de «seguridad».
La guía técnica que sirve de referencia en el mundo entero prohíbe hoy dos de esas tres cosas. No las desaconseja: dice expresamente que no se deben exigir.
Hablamos del documento NIST SP 800-63B, del instituto de normas técnicas de Estados Unidos. Es la referencia que siguen bancos, gobiernos y auditorías en buena parte del mundo, y la que citan las certificaciones de seguridad. Lo que sigue son sus exigencias literales, de la sección 3.1.1.2.
Cuatro reglas que contradicen la costumbre
No exigir mayúscula, número y símbolo
«No se deben imponer reglas de composición -por ejemplo, exigir mezclas de distintos tipos de carácter-.»
Producen siempre el mismo resultado predecible y no aportan seguridad real.
Mínimo 15 caracteres, no 8
Cuando la contraseña es lo único que protege la cuenta, el mínimo debe ser de 15 caracteres. Puede bajar a 8 solo si hay un segundo factor detrás.
El largo es lo que de verdad cuesta romper.
Nada de preguntas de seguridad
«No se debe pedir a los usuarios usar preguntas de seguridad -por ejemplo, ¿cómo se llamaba tu primera mascota?-.»
Esa respuesta suele estar publicada en las redes sociales del propio usuario.
Por qué el cambio obligatorio empeora las cosas: nadie
inventa una contraseña nueva de verdad cada mes. Lo que hace la gente es
Monarca2026* → Monarca2027*, o apuntarla en un papel bajo
el teclado. Se obtiene una contraseña más previsible y peor guardada que la
anterior, a cambio de la sensación de estar haciendo algo.
Entonces, ¿qué sí funciona?
Dos cosas, y las dos son más fáciles que la receta antigua: que sea larga y que sea distinta en cada sitio. En ese orden.
Larga no significa complicada. Una frase de cuatro o cinco palabras corrientes
supera de lejos a P@ssw0rd!, se escribe más rápido y se recuerda sin
esfuerzo. La guía pide además que los sistemas acepten al menos 64
caracteres y permitan espacios, precisamente para que se puedan usar
frases.
Una frase de paso, en tres pasos
Escoge cuatro o cinco palabras que no formen una frase famosa
caja verde martes ventilador. No sirve el primer verso de una canción ni un refrán: eso está en las listas.Únelas como te resulte cómodo escribirlas
Con espacios si el sitio los acepta, o con guiones. Da igual: lo que la hace fuerte es el largo, no el adorno.
Compruébala contra las listas de filtradas
La guía exige que el propio sistema compare la contraseña nueva contra una lista de contraseñas comprometidas conocidas. Si el suyo no lo hace, existen servicios públicos que dicen si una contraseña aparece en fugas conocidas.
Distinta en cada sitio: el gestor
Aquí llega la objeción de siempre: «¿y cómo recuerdo una contraseña distinta para cuarenta sitios?». No las recuerdas. Las recuerda un gestor de contraseñas: un programa que las guarda cifradas y las escribe por ti. Tú memorizas una sola, la del gestor, y esa sí que es una frase larga.
Los navegadores traen uno incorporado y hay programas dedicados. Lo importante no es cuál: es que dejes de tener la misma llave para todas las puertas, que es lo que convirtió aquella fuga de una tienda en línea en un problema del correo del trabajo.
Las tres objeciones que siempre salen
«¿Y si alguien entra al gestor? Pierdo todo de una vez»
Es el temor razonable, y la respuesta es que se compara con la alternativa real. Hoy la alternativa no es «cada contraseña en su cabeza»: es la misma contraseña repetida en cuarenta sitios, de los cuales varios ya tuvieron fugas.
El gestor concentra el riesgo en un punto que puedes proteger bien -frase larga y segundo factor, que es la lección siguiente- en vez de repartirlo entre cuarenta sitios cuya seguridad no controlas.
«Prefiero anotarlas en un cuaderno»
Es mejor que repetir la misma en todos lados, y bastante peor que un gestor. Un cuaderno no avisa de que un sitio se filtró, no escribe la contraseña por ti -así que acabas eligiendo cortas para no cansarte- y no distingue entre la página real y una copia falsa.
Si va a ser un cuaderno, que no viva junto al computador.
«En mi empresa el sistema me obliga a cambiarla cada mes»
Pasa constantemente, porque la política se escribió hace años. Lo que sirve para cambiarla no es la opinión de nadie, es la cita: la guía de referencia dice hoy que no se debe exigir el cambio periódico, y las auditorías serias ya evalúan contra esa versión.
Mientras tanto, si el sistema obliga, que el cambio sea a otra frase larga y no a la misma con el número siguiente.
Empareja cada práctica con lo que realmente consigue
Arrastra cada respuesta a su casilla, o toca una respuesta y luego su espacio.
- Es lo único que encarece de verdad un intento de adivinarla por fuerza bruta.
- Evita que la fuga de un sitio cualquiera abra la cuenta del correo del trabajo.
- No aporta seguridad y empuja a variaciones previsibles o a apuntarla en un papel.
- Su respuesta suele estar publicada en las redes sociales del propio usuario.
Compruébalo tú mismo
Según la guía de referencia actual, ¿cuál de estas prácticas no se debe exigir?
El cambio periódico obligatorio está prohibido expresamente, igual que exigir mezclas de mayúsculas, números y símbolos. Las otras tres opciones sí son exigencias vigentes.
¿Cuál de estas dos contraseñas es mejor, y por qué?
El largo es lo que encarece el ataque. Además,
P@ssw0rd! es exactamente el patrón que producen las reglas de
composición, así que aparece en las listas de contraseñas probadas primero.
El argumento más fuerte a favor de usar un gestor de contraseñas es:
Ningún gestor es inviolable, y no sustituye al segundo factor. Lo que resuelve es el problema real: dejar de repetir la misma llave en cuarenta puertas cuya seguridad no controlas.
En la próxima lección
Una contraseña, por larga que sea, sigue siendo una sola cosa que puede perderse. La lección 3 trata del segundo factor: cuál de todos los que existen es el más débil -y es justamente el más usado en Colombia-, y cuál resiste incluso cuando el usuario cae en el engaño.
Siguiente: El segundo factor: cuál sirve y cuál no
Continuar ← Cómo entran de verdad