El mito de la rotación forzada de contraseñas cada 90 días
Durante décadas, los departamentos de TI de todo el mundo han implementado una regla sagrada: obligar a todos los usuarios a cambiar sus contraseñas cada 90 días (o incluso menos). Si bien esto parecía una excelente medida preventiva en la era analógica o en sistemas antiguos, la realidad moderna de la ciberseguridad y la psicología humana demuestran todo lo contrario.
¿Por qué la rotación frecuente daña la seguridad?
Obligar a los usuarios a inventar contraseñas complejas frecuentemente produce un fenómeno llamado fatiga de contraseñas. Al no poder recordar tantas combinaciones aleatorias, los usuarios recurren a patrones predecibles.
Por ejemplo, si la clave actual de un usuario es Septiembre2026!, cuando el sistema lo obligue a cambiarla, lo más probable es que elija Octubre2026! o Septiembre2026?. Los atacantes conocen perfectamente este comportamiento y ajustan sus algoritmos de fuerza bruta para probar estas variaciones predecibles en primer lugar.
Las nuevas directrices del NIST
Organizaciones líderes como el NIST (Instituto Nacional de Estándares y Tecnología) en su publicación especial SP 800-63B han modificado oficialmente estas recomendaciones. Ahora aconsejan explícitamente:
- No forzar la rotación periódica a menos que exista evidencia real de que la credencial ha sido comprometida.
- Priorizar la longitud y la entropía por encima de la complejidad forzada.
- Comprobar las contraseñas contra listas de claves previamente filtradas.
La solución
En lugar de forzar cambios constantes, es mucho mejor crear contraseñas extremadamente largas y únicas desde el principio y guardarlas en un gestor seguro.
No dejes que tus usuarios inventen sus claves bajo presión; utiliza nuestro Generador de Contraseñas para asegurar tus cuentas con alta entropía desde el primer día.