Puede que su política de contraseñas siga exigiendo una mayúscula, un símbolo y un cambio cada 90 días. El Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST) ha abandonado las tres cosas. Su guía actual, SP 800-63B-4, se cerró en 2025 y sustituye a la edición de 2020 de SP 800-63B.
El NIST redacta estas directrices para los sistemas federales de EE. UU., pero son una referencia útil para cualquier organización. Esto es lo que dicen y cómo aplicarlas.
Las reglas sobre contraseñas de SP 800-63B-4
El apartado 3.1.1.2 fija los requisitos para los sistemas que comprueban contraseñas. El NIST usa SHALL para los requisitos y SHOULD para las recomendaciones; en la tabla los traducimos como DEBE y DEBERÍA.
| Tema | Qué dice el NIST |
|---|---|
| Longitud mínima, solo con contraseña | DEBE ser de al menos 15 caracteres |
| Longitud mínima, contraseña como parte de la MFA | DEBE ser de al menos 8 caracteres |
| Longitud máxima | DEBERÍA permitir al menos 64 caracteres |
| Caracteres | DEBERÍA aceptar todos los caracteres ASCII imprimibles, los espacios y Unicode |
| Reglas de composición | NO DEBE imponerlas, por ejemplo «una mayúscula, una cifra, un símbolo» |
| Cambios periódicos | NO DEBE exigirlos |
| Compromiso conocido | DEBE forzar un cambio cuando haya indicios de que la contraseña está comprometida |
| Lista de bloqueo | DEBE comprobar las contraseñas nuevas frente a valores comunes, previsibles o comprometidos conocidos |
| Pistas y preguntas de seguridad | NO DEBE guardar pistas ni pedir respuestas a preguntas de conocimiento |
| Gestores de contraseñas | DEBE permitirlos y permitir el autorrelleno; DEBERÍA permitir pegar |
| Intentos fallidos | DEBE limitar su frecuencia |
| Truncamiento | DEBE comprobar la contraseña completa tal como se introdujo |
Por qué han desaparecido las reglas antiguas
Las reglas de composición y los cambios forzosos parecen estrictos, pero empujan a la gente hacia patrones previsibles. Un usuario obligado a cambiar Autumn2026! («otoño» en inglés) bien puede elegir Winter2026! («invierno»), y un atacante que tenga la contraseña antigua puede adivinar la nueva.
En su lugar, el NIST se apoya en la longitud y en una lista de bloqueo. Una frase de contraseña larga es más fácil de recordar que una cadena aleatoria corta. Cambiar una contraseña solo sirve de algo cuando se ha filtrado, así que el NIST vincula los cambios a los indicios de compromiso y no al calendario.
La lista de bloqueo sustituye a las reglas de composición como filtro real. Rechaza las contraseñas que los atacantes prueban primero: las elecciones comunes, las palabras relacionadas con su organización y las contraseñas que ya han aparecido en filtraciones.
Comprobar las contraseñas filtradas
El servicio «Pwned Passwords» de Have I Been Pwned le permite comprobar una contraseña frente a datos de filtraciones sin enviarla. Su sistema calcula el hash SHA-1 de la contraseña y envía solo los cinco primeros caracteres del hash. El servicio devuelve todos los sufijos de hash que empiezan por esos cinco caracteres, con un recuento, y usted hace la comparación en local.
# SHA-1 of "password" is 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8
curl -s -H "Add-Padding: true" https://api.pwnedpasswords.com/range/5BAA6Este método, llamado k-anonimato, hace que el servicio nunca sepa qué contraseña ha comprobado. Una respuesta típica contiene varios cientos de sufijos, y la cabecera Add-Padding oculta el tamaño real de la respuesta a quien observe el tráfico. Para la búsqueda por rango de contraseñas no hace falta clave de API.
Integre esta comprobación en las pantallas de creación y cambio de contraseña. En entornos de Active Directory, busque herramientas que apliquen una lista de contraseñas filtradas a los cambios de contraseña del dominio.
Deje que la gente use gestores de contraseñas
El NIST exige que los verificadores permitan los gestores de contraseñas y el autorrelleno. Tiene sentido: un gestor hace viables las contraseñas largas y únicas, y solo las rellena en el dominio donde se guardaron. Bloquear la opción de pegar en los formularios de inicio de sesión va en contra de esto.
Para el personal, proporcione un gestor de contraseñas corporativo en lugar de dejar que cada uno elija el suyo. Proteja el propio gestor con una frase de contraseña maestra robusta y una MFA resistente al phishing.
No toda la MFA es igual
Con un segundo factor, una contraseña robada ya no basta por sí sola, pero algunos métodos se pueden seguir suplantando con phishing. La página de inicio de sesión falsa de un atacante puede pedir un código y reenviarlo en tiempo real. El NIST define la resistencia al phishing como la capacidad del protocolo para impedir que se revelen secretos sin depender de la atención del usuario.
| Método | ¿Resistente al phishing? | Observaciones del NIST |
|---|---|---|
| Código por SMS o por voz | No | Un autenticador «restringido»; los verificadores deben ofrecer alternativas y deberían vigilar los duplicados de SIM y las portabilidades de número |
| Código de una aplicación de autenticación (TOTP) | No | Los códigos se escriben a mano, así que pueden reenviarse |
| Aprobación push o aplicación fuera de banda | No | Los métodos fuera de banda no son resistentes al phishing |
| Código o enlace por correo electrónico | No se permite como método fuera de banda | El correo electrónico NO DEBE usarse para la autenticación fuera de banda |
| Llave de seguridad FIDO2 / WebAuthn o llave de acceso | Sí | La respuesta está vinculada al nombre del sitio verificado |
En el nivel de garantía intermedio del NIST, AAL2, los verificadores DEBEN ofrecer al menos una opción resistente al phishing. En el nivel más alto, AAL3, el autenticador debe ofrecer resistencia al phishing y usar una clave privada que no se pueda exportar.
Llaves de acceso (passkeys)
Una llave de acceso es una credencial FIDO basada en WebAuthn. Su dispositivo crea un par de claves para cada sitio. El sitio solo guarda la clave pública, y la clave privada se queda con usted. La desbloquea con el mismo método con el que desbloquea su dispositivo, como la huella dactilar, la cara o un PIN. La FIDO Alliance señala que los datos biométricos se quedan en el dispositivo y nunca se envían al sitio.
Como cada llave de acceso está vinculada a un sitio, sencillamente no funciona en un dominio de phishing que lo imite. Tampoco hay en el servidor un secreto compartido que robar.
Las llaves de acceso son de dos tipos:
- Las llaves de acceso sincronizadas se copian entre sus dispositivos mediante el servicio de sincronización de un proveedor. El NIST las llama autenticadores sincronizables y las permite en AAL2. Como la clave puede exportarse, NO DEBEN usarse en AAL3.
- Las llaves de acceso vinculadas al dispositivo permanecen en un solo dispositivo, como una llave de seguridad física. Son adecuadas para administradores y otras cuentas de alto riesgo.
Piense también en la recuperación de cuentas. Si alguien puede restablecer una cuenta con llave de acceso mediante un enlace por correo o una llamada al servicio de asistencia, los atacantes se limitarán a atacar esa vía. Haga que la recuperación sea al menos tan sólida como el inicio de sesión al que sustituye.
Una política que puede adoptar
- Un mínimo de 15 caracteres cuando la contraseña sea el único factor, y permitir al menos 64.
- Sin reglas de composición y sin caducidad programada.
- Comprobar cada contraseña nueva frente a una lista de contraseñas filtradas y comunes.
- Forzar un cambio solo cuando haya indicios de compromiso.
- Proporcionar un gestor de contraseñas y permitir pegar y autorrellenar.
- Exigir MFA en todos los lugares donde esté disponible, y MFA resistente al phishing para los administradores, el correo electrónico y el acceso remoto.
- Implantar llaves de acceso donde sus sistemas lo admitan, empezando por las cuentas de alto riesgo.
- Limitar la frecuencia de los inicios de sesión fallidos y hacer que la recuperación de cuentas sea tan sólida como el inicio de sesión.
Por dónde empezar
Compruebe si una contraseña ya aparece en datos de filtraciones con nuestro comprobador de contraseñas filtradas, y pruebe qué longitud necesita una frase de contraseña con nuestro generador y comprobador de contraseñas.
Si está revisando su política de identidad o planificando la implantación de llaves de acceso, nuestro equipo de consultoría puede ayudarle a planificarlo.
