Contraseñas y llaves de acceso

Desde julio de 2025, el estándar estadounidense NIST SP 800-63B-4 establece que una contraseña usada sola debe tener al menos 15 caracteres y que los servicios no deben obligarte a cambiarla periódicamente.

«Summer2024!» cumple todos los requisitos. Entonces, ¿por qué es débil?

Mucha gente sigue creyendo que una contraseña segura necesita una mayúscula, un dígito y un símbolo, y que cambiarla cada 90 días la mantiene a salvo. Los formularios de registro enseñaron exactamente eso durante años. Mira lo que produjeron esas reglas. «Summer2024!» las cumple todas. Noventa días después se convierte en «Autumn2024!», y quien haya visto la primera puede adivinar la segunda. Las reglas hicieron las contraseñas más difíciles de recordar sin hacerlas mucho más difíciles de adivinar.

Lo que pide en cambio el estándar estadounidense de 2025

La guía estadounidense vigente, NIST Special Publication 800-63B-4, publicada en su versión final en julio de 2025, da la vuelta a esos hábitos. Una contraseña usada sola debe tener al menos 15 caracteres. Si es solo una parte de un inicio de sesión multifactor, el mínimo es 8. Los servicios deberían permitir al menos 64 caracteres y aceptar espacios y todos los caracteres imprimibles, y no deben imponer otras reglas de composición como «un símbolo». Tampoco deben obligar a cambios periódicos. Solo se exige un cambio cuando hay pruebas de que la contraseña se ha filtrado. El NIST también pide a los servicios que comparen cada contraseña nueva con una lista de bloqueo de contraseñas comunes, previsibles o ya filtradas, porque una contraseña que ha aparecido en una filtración ya no es secreta, por larga que sea.

Contar lo que tiene que probar quien adivina

¿Por qué gana la longitud? Cada carácter extra multiplica el número de contraseñas posibles. Ocho letras minúsculas dan 26 elevado a 8, unos 209 mil millones de combinaciones. Una computadora que prueba un archivo de contraseñas robado las recorre rápido. Cuatro palabras elegidas al azar de una lista de 7776 dan unos 3.66 × 10¹⁵. La tabla muestra lo rápido que crecen las cifras, y el ejercicio de código más abajo te deja calcular dos de ellas.

Por qué una filtración se extiende a otras cuentas

La CISA, la agencia de ciberseguridad de EE. UU., resume una contraseña segura en tres palabras: larga (al menos 16 caracteres), aleatoria y única para cada cuenta. Aleatoria puede significar una cadena de caracteres variados o una frase de contraseña de cuatro a siete palabras sin relación. Lo más importante es que sea única. Cuando un sitio sufre una filtración, los delincuentes prueban el mismo correo y la misma contraseña en otros sitios, así que una contraseña reutilizada convierte una filtración en muchas. Nadie puede recordar decenas de contraseñas largas y aleatorias. Por eso tanto la CISA como el NIST apoyan los gestores de contraseñas, programas que generan, guardan y rellenan contraseñas para que solo tengas que recordar una. El NIST dice que los servicios deben permitir los gestores de contraseñas y el autocompletado, y deberían permitir pegar.

Una llave de acceso no deja nada que escribir ni nada que robar

Una llave de acceso (passkey) sustituye el secreto compartido por criptografía de clave pública. MDN la describe como un par de claves vinculado a tu cuenta en un sitio web. La clave privada se queda en un autenticador que está en tu dispositivo o conectado a él, y la abres con el PIN, la huella o la cara. La clave pública está en el servidor del sitio. Para iniciar sesión, el sitio envía un desafío y tu dispositivo lo firma. No se escribe nada secreto. Tampoco se guarda nada secreto en el servidor, así que una filtración del servidor no expone nada reutilizable. Cada llave de acceso está además ligada al dominio del sitio, lo que significa que una página de phishing que lo imita no puede usarla. El NIST considera este tipo de inicio de sesión criptográfico resistente al phishing y las contraseñas no, y admite llaves de acceso que se sincronizan entre tus dispositivos.

¿Por dónde empezar? Primero pon una frase de contraseña larga a tu cuenta de correo, porque desde el correo se pueden restablecer las demás. Si usas un gestor de contraseñas, esa frase será la única contraseña que memorices. Luego cambia todas las contraseñas que sabes que has reutilizado, empezando por las cuentas del banco y de compras. Cuando un sitio te ofrezca crear una llave de acceso, aceptar suele ser la mejora más rápida. Puedes conservar la contraseña como respaldo.