Durante años, muchos especialistas consideraron la caducidad de contraseñas una buena práctica indiscutible. Las organizaciones obligaban a los usuarios a cambiar la contraseña cada 30, 60 o 90 días, convencidas de que así aumentaba la seguridad. Hoy, las recomendaciones internacionales han cambiado de forma significativa, y las entidades de referencia han dejado de aconsejar la caducidad periódica obligatoria como regla general.
En este artículo, explicamos qué son los procedimientos de caducidad de contraseñas, por qué han cambiado las recomendaciones, en qué situaciones la caducidad sigue teniendo sentido y qué alternativas ofrecen más seguridad. Además, presentamos un ejemplo práctico, una lista de comprobación y respuestas a preguntas frecuentes.
Qué es la caducidad de contraseñas
La caducidad de contraseñas es una regla que obliga al usuario a cambiar la contraseña al cabo de un periodo determinado o tras ciertos acontecimientos. El objetivo original era limitar el tiempo durante el cual un atacante podía usar una contraseña robada.
En teoría, la idea tiene sentido. Sin embargo, en la práctica, la experiencia ha demostrado que los cambios frecuentes y obligatorios tienen efectos secundarios que reducen la seguridad en lugar de aumentarla.
Por qué han cambiado las recomendaciones
Las directrices del NIST, en Estados Unidos, dejaron de recomendar el cambio periódico obligatorio de contraseñas, y las versiones más recientes indican que las organizaciones no deben exigirlo sin indicios de compromiso. Otras entidades de referencia en ciberseguridad han seguido la misma línea. Las razones son esencialmente tres:
- Contraseñas previsibles: cuando se les obliga a cambiarlas con frecuencia, los usuarios hacen pequeñas modificaciones, como cambiar un número al final, que los atacantes pueden prever.
- Anotaciones inseguras: los cambios frecuentes llevan a muchas personas a escribir las contraseñas en papel o en archivos sin protección.
- Protección limitada: un atacante que roba una contraseña suele utilizarla en poco tiempo, mucho antes de la fecha de caducidad.
Así, la caducidad periódica impone un coste real a los usuarios sin una mejora de la seguridad proporcional.
Cuándo sigue teniendo sentido la caducidad
Abandonar la caducidad periódica no significa que los usuarios nunca deban cambiar sus contraseñas. Al contrario, hay situaciones en las que el cambio debe ser inmediato u obligatorio:
| Situación | Procedimiento recomendado |
|---|---|
| Sospecha o prueba de compromiso | Cambio inmediato y análisis de la actividad de la cuenta |
| Contraseña encontrada en una filtración de datos | Cambio obligatorio en el próximo inicio de sesión |
| Contraseña temporal o inicial | Caducidad corta y cambio en el primer acceso |
| Cuentas privilegiadas y de servicio | Rotación gestionada por un almacén de credenciales |
| Salida de un empleado con acceso a cuentas compartidas | Cambio de las credenciales compartidas |
Estos procedimientos de caducidad se basan en el riesgo y, por ello, son mucho más eficaces que una regla ciega aplicada a todos los usuarios.
Las alternativas que realmente aumentan la seguridad
Autenticación multifactor
Es la medida con mayor impacto. Aunque un atacante descubra la contraseña, todavía necesita un segundo factor para entrar. Siempre que sea posible, conviene optar por aplicaciones de autenticación, llaves físicas o claves de acceso (passkeys), más resistentes al phishing que los códigos por SMS.
Contraseñas largas y verificadas
En lugar de reglas de composición complejas, las recomendaciones actuales priorizan la longitud. Además, la plataforma debe rechazar las contraseñas que figuren en listas de credenciales comprometidas o que sean demasiado obvias.
Gestores de contraseñas
Un gestor de contraseñas permite utilizar credenciales largas y distintas en cada servicio, sin depender de la memoria. Por ello, es una de las herramientas más útiles para los empleados. De hecho, muchas organizaciones ofrecen un gestor corporativo, que permite compartir credenciales de forma controlada cuando realmente es necesario.
Supervisión y respuesta
Los sistemas deben detectar los intentos de acceso sospechosos y alertar al equipo de seguridad. Así, cuando hay señales de compromiso, el sistema exige el cambio de contraseña en el momento adecuado.
¿Y el RGPD?
El RGPD no impone el cambio periódico de contraseñas. Lo que sí exige son medidas técnicas y organizativas adecuadas al riesgo, conforme al artículo 32. En la práctica, la autenticación multifactor, el control de accesos y la supervisión son medidas más eficaces y más fáciles de justificar ante una auditoría que la caducidad periódica.
Usuarios externos y plataformas compartidas
En las plataformas de gestión documental que utilizan los contratistas, muchos usuarios no pertenecen a la organización. Son administrativos de pequeñas empresas, que acceden de forma esporádica y, a veces, comparten cuentas entre compañeros. En este contexto, la caducidad periódica es aún menos eficaz: los usuarios olvidan la contraseña, solicitan constantemente el restablecimiento y acaban anotándola en lugares inseguros.
Por ello, el mejor enfoque es asignar cuentas individuales, prohibir el uso compartido de credenciales y activar la autenticación multifactor. Además, cuando termina la relación con un contratista, la organización debe desactivar de inmediato las cuentas asociadas. De este modo, el control de accesos depende del ciclo de vida de las cuentas y no de fechas de caducidad arbitrarias.
Cómo comunicar el cambio de política
Muchos usuarios y auditores todavía asocian la caducidad periódica a las buenas prácticas. Por ello, al eliminarla, conviene explicar con claridad los motivos y las nuevas medidas que la sustituyen. Por ejemplo, una nota interna puede indicar que la organización sigue las recomendaciones internacionales actuales, que la autenticación multifactor pasa a ser obligatoria y que las contraseñas se verifican frente a filtraciones de datos conocidas. Del mismo modo, conviene actualizar la política de seguridad escrita, para que la decisión quede documentada y justificada ante las auditorías.
Indicadores que conviene seguir
Para evaluar el impacto de la nueva política, la organización puede seguir el porcentaje de cuentas con autenticación multifactor, el número de solicitudes de restablecimiento de contraseña, las contraseñas bloqueadas por figurar en filtraciones de datos y las alertas de accesos sospechosos. En general, tras el cambio, las solicitudes de restablecimiento disminuyen y la cobertura de la autenticación multifactor aumenta, lo que demuestra una mejora real de la seguridad y de la productividad.
Ejemplo práctico: Revisar la política de contraseñas
Imagine una empresa que obligaba a todos los usuarios de la plataforma de gestión documental a cambiar la contraseña cada 60 días. Las solicitudes de restablecimiento de acceso eran constantes y muchos usuarios tenían contraseñas como «Empresa2025!» seguidas de números secuenciales.
La empresa decide revisar la política: elimina la caducidad periódica, exige contraseñas de al menos 12 caracteres, activa la autenticación multifactor y empieza a verificar las contraseñas frente a listas de filtraciones conocidas. Como resultado, las solicitudes de restablecimiento disminuyen de forma significativa y aumenta la seguridad de las cuentas.
Lista de comprobación para la caducidad de contraseñas
- Caducidad periódica obligatoria eliminada para los usuarios habituales.
- Cambio inmediato en caso de sospecha de compromiso.
- Verificación frente a listas de contraseñas comprometidas.
- Contraseñas temporales con caducidad corta.
- Rotación gestionada de las cuentas privilegiadas y de servicio.
- Autenticación multifactor para todos los usuarios.
Errores comunes que conviene evitar
Un error frecuente es eliminar la caducidad periódica sin activar la autenticación multifactor, de modo que las cuentas quedan protegidas solo por la contraseña. Otro error es mantener reglas de complejidad exageradas, que dan lugar a contraseñas difíciles de recordar y fáciles de adivinar por patrones. Por último, muchas organizaciones olvidan las cuentas de servicio, cuyas credenciales nunca se cambian ni se guardan de forma segura.
Preguntas frecuentes
¿Debo eliminar ya la caducidad periódica?
Sí, siempre que, al mismo tiempo, la organización active la autenticación multifactor y la verificación de contraseñas comprometidas. Sin estas medidas, el cambio debe ir acompañado de un plan de refuerzo.
¿Las cuentas de administrador también dejan de caducar?
Las cuentas privilegiadas requieren un tratamiento especial. En muchos casos, los almacenes de credenciales gestionan estas cuentas y realizan la rotación automática, sin que las personas tengan que memorizarlas.
¿Y si un auditor exige el cambio periódico?
Conviene presentar la política actualizada y las referencias internacionales que la fundamentan, así como las medidas compensatorias adoptadas, como la autenticación multifactor y la supervisión. En la mayoría de los casos, los auditores aceptan esta justificación, porque demuestra un enfoque basado en el riesgo.
¿Cuál es la longitud mínima recomendada?
Las directrices actuales apuntan a un mínimo de 8 caracteres cuando hay autenticación multifactor y, preferiblemente, 15 o más cuando la contraseña es el único factor. En la práctica, las frases de contraseña largas son más seguras y más fáciles de memorizar.
Conclusión
Durante mucho tiempo, la caducidad periódica y obligatoria de contraseñas fue una práctica habitual. Hoy se sabe que tiende a generar contraseñas más débiles y más frustración, sin una mejora de la seguridad proporcional.
Por ello, las organizaciones deben adoptar procedimientos de caducidad orientados al riesgo, combinados con autenticación multifactor, contraseñas largas, gestores de contraseñas y supervisión. De este modo, protegen mejor las cuentas, facilitan la vida de los usuarios y reducen los costes de soporte asociados al restablecimiento de accesos.
Lea también: Ataques de fuerza bruta a plataformas digitales y Distribución de credenciales personalizadas a trabajadores homologados.
Para más recomendaciones sobre la gestión segura de credenciales, consulte el Centro Nacional de Cibersegurança (CNCS) de Portugal.