Durante años, la receta para una contraseña fuerte parecía clara: al menos ocho caracteres, una mayúscula, un número, un símbolo y cambiarla cada cierto tiempo. Esa receta está desactualizada. El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) publicó requisitos que priorizan la longitud, la unicidad y la comprobación contra listas de contraseñas comprometidas, y que desaconsejan las reglas de composición y la rotación periódica. Entender por qué cambió la evidencia ayuda a elegir mejores claves.

Qué cambió en las recomendaciones

La lógica anterior suponía que una contraseña con mayúsculas, números y símbolos era más difícil de adivinar. En la práctica, esas reglas empujan a las personas a patrones predecibles: «Password1!», «Enero2026!», la misma clave con un número al final. Un atacante que conoce el patrón no necesita adivinar cada combinación posible; prueba las variantes más comunes.

El NIST ahora exige que las contraseñas usadas como único factor de autenticación tengan un mínimo de 15 caracteres. Si la contraseña se usa como parte de una autenticación multifactor, el mínimo puede ser de ocho. También recomienda permitir al menos 64 caracteres, aceptar caracteres ASCII imprimibles, espacios y Unicode, y no imponer otras reglas de composición.

La longitud pesa más que la complejidad

Cada carácter adicional multiplica las combinaciones posibles. Una frase de varias palabras puede ser más fácil de recordar y más difícil de adivinar que una clave corta con símbolos. La CISA recomienda al menos 16 caracteres y sugiere usar una «frase de paso»: varias palabras unidas, fáciles de recordar para la persona y difíciles de predecir para una máquina.

La clave no es que la frase tenga sentido literario, sino que no sea un patrón común. Una cita famosa, una canción popular o una secuencia de palabras predecible puede estar en los diccionarios que usan los atacantes. La longitud protege mejor cuando se combina con aleatoriedad.

Qué no ayuda tanto como se creía

  • Cambiar la contraseña cada 90 días. El NIST ya no lo exige y solo pide forzar un cambio si hay evidencia de compromiso. La rotación frecuente lleva a variaciones mínimas y predecibles.
  • Exigir mayúsculas, números y símbolos. Las reglas de composición producen claves más difíciles de recordar y no necesariamente más seguras.
  • Preguntas de seguridad. El NIST desaconseja los recordatorios y las preguntas de conocimiento, porque muchas respuestas se pueden encontrar en redes sociales o adivinar.
  • Guardar pistas visibles. Una pista accesible para quien intenta entrar reduce la seguridad de la cuenta.

Esto no significa que los símbolos sean malos. Significa que no deberían ser obligatorios ni sustituir a la longitud y a la unicidad.

Lo que sí funciona

La recomendación central es usar una contraseña distinta para cada servicio. La reutilización es el multiplicador de daño: si una filtración expone tu clave en un sitio, los atacantes la prueban en todos los demás. Un gestor de contraseñas resuelve el problema práctico de recordar decenas de claves únicas: genera, almacena y completa credenciales, y solo exige memorizar una contraseña maestra larga.

El NIST pide a los servicios que permitan el uso de gestores y la función de pegar, que ofrezcan la opción de mostrar la contraseña mientras se escribe y que comparen la clave elegida contra una lista de contraseñas comunes, esperadas o filtradas. También exigen limitar los intentos fallidos y almacenar las contraseñas con sal y un esquema de hash adecuado, no en texto plano.

La verificación en dos pasos o multifactor añade otra capa: aunque alguien obtenga tu contraseña, necesita un segundo factor. Para las cuentas importantes —correo, banca, redes sociales— conviene activarla siempre que se pueda, preferiblemente con una aplicación de autenticación o una llave física antes que con mensajes de texto.

Cómo construir una frase de paso

Un método práctico es elegir cuatro o cinco palabras poco relacionadas entre sí y unirlas con un separador. Por ejemplo, una secuencia de palabras cotidianas que solo tú asociarías a una imagen mental. Evita datos personales, nombres de familiares, fechas y frases de canciones. Si el servicio lo permite, incluye espacios; si no, usa un separador consistente.

No necesitas memorizar una clave distinta para cada sitio: para eso está el gestor. Lo que sí conviene memorizar es la contraseña maestra del gestor y la de tu correo principal, porque son las llaves de recuperación de casi todo lo demás.

Qué hacer si una contraseña se filtra

Cambia la clave del servicio afectado y de cualquier otro sitio donde la hayas reutilizado. Cierra las sesiones abiertas, revisa los dispositivos conectados y activa la verificación en dos pasos si aún no la tienes. Si el servicio ofrece notificaciones de inicio de sesión, actívalas. Y no reutilices la clave antigua con una variación mínima: el cambio debe ser real.

La evidencia actual no promete una contraseña invulnerable. Lo que ofrece es una estrategia más realista: claves largas y únicas, guardadas en un gestor, protegidas por un segundo factor. Es menos vistoso que la receta de símbolos, pero se ajusta mejor a cómo atacan las cuentas hoy.