Contraseñas en 2026: lo que recomiendan hoy los expertos y las reglas que ya no sirven

Durante años, la política de contraseñas de casi cualquier empresa decía lo mismo: mínimo ocho caracteres, una mayúscula, un número, un símbolo y cambio obligatorio cada noventa días. El resultado también era el mismo: claves como «Verano2026!» que el personal anotaba en un papel pegado al monitor y que, al vencer, pasaban a «Otoño2026!».

Las guías de seguridad más consultadas del mundo ya no recomiendan esas reglas. La más influyente es la del NIST, el instituto de normas técnicas de Estados Unidos, cuya versión final de la guía de autenticación (SP 800-63B-4) se publicó el 31 de julio de 2025.

Lo que recomienda hoy el NIST

• Largo antes que complejidad. Mínimo 15 caracteres cuando la contraseña es la única protección de la cuenta, y mínimo 8 cuando se usa junto con un segundo factor. Los sistemas deberían aceptar contraseñas de al menos 64 caracteres.
• Sin reglas de composición. La guía prohíbe exigir combinaciones de mayúsculas, números o símbolos. Obligan a la gente a crear claves previsibles y no las hacen más seguras.
• Sin cambios periódicos obligatorios. La contraseña se cambia cuando hay indicios de que fue comprometida, no por calendario.
• Revisión contra listas de claves filtradas. Cada contraseña nueva se compara con listas de contraseñas comunes, previsibles o que ya aparecieron en filtraciones, y se rechaza si está en ellas.
• Gestores de contraseñas permitidos. Los sistemas deben dejar que el navegador o el gestor completen la clave, y deberían permitir pegarla y mostrarla mientras se escribe.
• Nada de pistas ni preguntas de seguridad. El nombre de la primera mascota se averigua en las redes sociales en un par de minutos.

El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) va en la misma línea: no exigir complejidad ni caducidad, usar gestores de contraseñas y, para recordar una clave sin anotarla, juntar tres palabras al azar. CISA, la agencia de ciberseguridad de Estados Unidos, recomienda claves de al menos 16 caracteres, aleatorias y distintas para cada cuenta, guardadas en un gestor.

No todas las guías se actualizaron al mismo ritmo. Algunas alertas oficiales en el Perú todavía recomiendan cambiar las contraseñas de forma periódica. Si tu organización tiene una política interna o una norma sectorial que lo exige, hay que cumplirla mientras se revisa; lo que no conviene es adoptar esa regla hoy por costumbre.

La contraseña sola ya no alcanza

La misma guía del NIST reconoce un límite: las contraseñas, los códigos de un solo uso y las aprobaciones por otro canal no resisten el phishing. Una página falsa bien hecha puede pedirle a la persona su clave y el código que acaba de recibir, y usarlos en ese mismo momento. Lo único que el NIST considera resistente al phishing es la autenticación criptográfica, como la que usan las llaves de seguridad y las llaves de acceso (passkeys).

Eso no le quita valor a la doble verificación: con un segundo factor, una contraseña robada en una filtración deja de servir por sí sola, y esa es una de las formas más comunes de entrar a una cuenta ajena. El NCSC lo resume en una recomendación práctica para 2026: usar llaves de acceso donde el servicio las ofrezca y verificación en dos pasos donde no.

Qué cambiar en la política de tu organización

1. Sube el largo mínimo y quita las reglas de composición. Una frase de cuatro palabras es más fácil de recordar y más difícil de adivinar que «P@ssw0rd».
2. Elimina el cambio obligatorio cada 90 días, salvo que una norma te lo exija, y fuerza el cambio cuando haya un incidente o una filtración.
3. Bloquea las contraseñas conocidas. Varios sistemas de directorio y servicios de correo permiten rechazar claves que figuran en listas de filtraciones.
4. Entrega un gestor de contraseñas al personal, con una cuenta corporativa, para que nadie tenga que reutilizar la misma clave en todos lados.
5. Activa la doble verificación en el correo, el acceso remoto y las cuentas de administración, y empieza a ofrecer llaves de acceso en los servicios que ya las admiten.
6. Prepara la recuperación de cuentas. Si alguien olvida su clave o pierde su celular, el proceso para devolverle el acceso debe verificar su identidad de verdad. Es la puerta que los atacantes prueban cuando las demás están cerradas.

Y para cada persona

Usa una contraseña distinta para cada servicio, guárdalas en un gestor y protege ese gestor con una frase larga que solo tú conozcas. Activa la verificación en dos pasos en tu correo, tu banco y tu WhatsApp. Si un servicio te ofrece crear una llave de acceso, acéptala: entrarás con la huella o el rostro, y no habrá una clave que alguien pueda pedirte en una página falsa.

Las fuentes de esta nota son la guía NIST SP 800-63B-4 y las recomendaciones del NCSC del Reino Unido.