El NIST ya no recomienda cambiar a menudo las contraseñas: apuesta por frases de paso largas y únicas
Durante años, muchas organizaciones han obligado a sus usuarios a cambiar la contraseña cada pocas semanas o meses. Ahora, las recomendaciones actualizadas del National Institute of Standards and Technology (NIST) ponen el foco en una protección más efectiva: utilizar contraseñas largas, únicas y difíciles de predecir, y cambiarlas cuando haya indicios de que se han comprometido.
¿Por qué el cambio periódico puede ser contraproducente?
El NIST indica que no deberían exigirse cambios arbitrarios o periódicos de las contraseñas. Cuando una persona sabe que tendrá que sustituirla pronto, es habitual que elija opciones más sencillas o que haga variaciones previsibles, como añadir un número o un símbolo al final de la anterior.
Este comportamiento puede dar una falsa sensación de seguridad y facilitar el trabajo a los atacantes, que conocen estas pautas.
¿Qué recomienda el NIST?
Las directrices actuales priorizan estos principios:
- Contraseñas largas: las frases de paso memorables ofrecen una protección superior a las claves cortas y artificialmente complicadas.
- Una contraseña diferente para cada servicio: si una credencial se filtra, no debe permitir acceder a otros sistemas.
- Cambio cuando existe compromiso: hay que forzar la sustitución si existen evidencias de una filtración, un acceso fraudulento o cualquier otro incidente.
- Bloqueo de contraseñas comunes o filtradas: los sistemas deberían impedir el uso de credenciales demasiado habituales o presentes en filtraciones conocidas.
- Gestores de contraseñas y doble factor: son herramientas recomendables para generar y proteger credenciales únicas, especialmente cuando se combinan con la autenticación multifactor.
¿Qué implica para una organización?
Empresas, administraciones y entidades pueden revisar sus políticas de acceso y sustituir la obligación de cambiar contraseñas cada cierto tiempo por controles más útiles: autenticación multifactor, gestión segura de credenciales, bloqueo de contraseñas comprometidas, limitación de intentos y monitorización de actividad sospechosa.
Esto no significa dejar las contraseñas sin supervisión. Una credencial comprometida debe cambiarse inmediatamente, y las cuentas con privilegios elevados deberían disponer de controles adicionales y revisiones periódicas.
Una política más segura y más fácil de cumplir
La recomendación del NIST ayuda a avanzar hacia políticas de seguridad más realistas: menos cambios mecánicos y más protección basada en el riesgo. Una frase de paso larga, única y guardada en un gestor de confianza es, en muchos casos, una opción más segura y fácil de recordar que una contraseña corta llena de símbolos.
Revisar estas políticas es una buena oportunidad para reforzar la seguridad de toda la organización y reducir los hábitos previsibles que los ciberdelincuentes aprovechan.
Fuente: NIST, SP 800-63B y preguntas frecuentes sobre la expiración y la composición de contraseñas.
