# Cada cuánto hay que cambiar la contraseña: solo cuando haya motivo

> La respuesta que casi nadie da es que no toca cambiarla nunca por calendario. Toca cambiarla cuando pasa algo. Aquí está la lista de qué cuenta como «algo», y qué hacer el resto del tiempo, que es casi todo el tiempo.

Publicado el 2026-09-02 por David Carrero · password.es
Original: https://password.es/blog/cada-cuanto-cambiar-la-contrasena/

---

Empecemos por el final, porque la respuesta es corta y casi nadie la da entera:
**cuando haya un motivo. No cada noventa días.**

La costumbre de cambiarla por calendario está tan metida en el cuerpo que suena
casi a higiene, como lavarse los dientes. Pero es una recomendación con fecha de
caducidad y ya caducó: el NIST estadounidense la escribió en 2003, la retiró en
2017 y el autor de aquel documento se disculpó en público el mismo año. Esa
historia la contamos entera en
[qué es una contraseña](/blog/que-es-una-contrasena/); aquí interesa lo otro, que
es lo que casi nunca se explica: **qué haces tú, hoy, con tus contraseñas.**

## El calendario no sabe si te han robado nada

El problema de rotar por fecha es que la fecha no tiene ninguna información.

Si alguien se hizo con tu contraseña un martes de febrero, cambiarla el 1 de
abril porque toca le regala mes y medio largo de acceso. Y si nadie la ha tocado,
cambiarla no ha protegido de nada: has sustituido una contraseña buena por otra
que probablemente sea peor, porque las contraseñas que se escriben por obligación
se escriben con desgana.

Ahí está el mecanismo entero del fracaso. **La rotación forzada no produce
contraseñas nuevas, produce variaciones.** `Verano2026!` se convierte en
`Otoño2026!` y en `Invierno2026!`, y quien te ataca lo sabe, porque esa serie es
tan predecible como un calendario de pared. El sistema queda contento —la
contraseña «ha cambiado»— y la seguridad real ha bajado, no subido.

Por eso el NIST, en el **SP 800-63B**, dice las dos cosas juntas: nada de
cambiarla arbitrariamente por tiempo, y **obligar a cambiarla en cuanto haya
indicio de compromiso**. No es que dé igual cambiarla. Es que el disparador tiene
que ser un hecho, no una fecha.

## Los motivos que sí cuentan

Esta es la lista. Si te pasa cualquiera de estas cosas, la contraseña se cambia
hoy, no el mes que viene:

- **Ha aparecido en una filtración.** Del servicio en cuestión o de cualquier
  otro donde usaras la misma.
- **La reutilizaste.** Si `X` se filtró y la tienes puesta en otros cuatro
  sitios, hay cinco contraseñas que cambiar, no una.
- **La escribiste en una web que resultó no ser la web.** Un correo con prisa, un
  enlace, un formulario que se parecía. Da igual que te dieras cuenta a los dos
  segundos: ya la enviaste.
- **La compartiste.** Con tu pareja, con un compañero, en un chat de trabajo, en
  un papel. Una contraseña que ha estado en un canal donde no controlas quién lee
  ya no es tuya.
- **Ves movimiento raro.** Un inicio de sesión desde un sitio donde no has
  estado, correos de restablecimiento que no pediste, un mensaje enviado que no
  escribiste.
- **El dispositivo estuvo comprometido.** Un ordenador con malware, un móvil
  perdido, un portátil que pasó por un servicio técnico desconocido.
- **El servicio te avisa.** Cuando una empresa manda ese correo, hazle caso el
  mismo día. Es literalmente el caso que el SP 800-63B contempla.
- **Se acabó una convivencia.** Una expareja, un piso compartido, un socio.
  Cuentas que erais dos y ahora sois uno.

Fíjate en lo que tienen en común: **todos son hechos**. Ninguno es «han pasado
noventa días».

Para el primero hay herramienta. Si quieres saber si una contraseña concreta está
en las listas de las que ya circulan, y de paso cuánto aguantaría, pásala por el
[comprobador](/comprobador/): se analiza en tu navegador y no sale de ahí.

## Cuando hay motivo, el orden importa

Cambiar la contraseña es el paso obvio y muchas veces no es el primero. Este es
el orden que evita hacer el trabajo dos veces:

**Primero, el dispositivo.** Si sospechas que hay algo instalado leyendo lo que
tecleas, cambiar la contraseña desde ese mismo equipo consiste en entregarle la
nueva. Limpia o usa otro dispositivo antes.

**Después, el correo.** Tu cuenta de correo no es una cuenta más: es la que
recibe los enlaces de «he olvidado mi contraseña» de todas las demás. Quien
controla el correo controla el resto por la puerta principal. Si hay una sola
contraseña que empieces por cambiar, es esa.

**Luego, cerrar las sesiones abiertas.** Cambiar la contraseña no siempre expulsa
a quien ya está dentro. Busca en la configuración de la cuenta la opción de
cerrar sesión en todos los dispositivos y úsala: si no, el intruso sigue conectado
con una sesión que ya no necesita tu contraseña para nada.

**Y por último, revisa lo que dejó puesto.** Este es el paso que más gente se
salta. Quien entra en una cuenta no se limita a mirar: cambia el correo de
recuperación, añade un teléfono, activa un segundo factor propio, conecta una
aplicación, mete una regla de reenvío en el buzón. **Si cambias la contraseña y no
revisas eso, vuelve a entrar mañana con toda la puerta abierta.** Repasa métodos
de recuperación, dispositivos autorizados, aplicaciones conectadas y reglas de
reenvío.

Una cosa más, obvia y por eso mismo la que más se incumple: cuando cambies, la
nueva tiene que ser **nueva**. No la de siempre con otro número. Genérala en el
[generador](/) y guárdala donde no dependa de tu memoria.

## Qué haces los otros trescientos sesenta días

Si el disparador es un hecho y los hechos son raros, la pregunta pasa a ser otra:
¿entonces no hay que hacer nada? Al contrario. Lo que la rotación pretendía
resolver mal se resuelve bien con cuatro cosas, y todas son de una sola vez.

**Que sean largas.** El SP 800-63B pone la longitud por delante de la
retorcedura: una contraseña larga vale más que una corta llena de símbolos. Ahí
está la mayor parte del trabajo.

**Que sean distintas en cada sitio.** Esta es la que convierte una filtración
ajena en un incidente pequeño en vez de en un incendio. Si cada cuenta tiene la
suya, que se filtre una no toca a las demás; si compartes contraseña, un servicio
que ni recuerdas haber usado decide la seguridad de tu banco.

**Que estén cotejadas contra las listas de filtradas.** Es la sustitución exacta
que hizo el NIST: en vez de exigirte un símbolo, comprobar que tu contraseña no
está ya en circulación. Esa comprobación sí caduca —una contraseña que hoy no
está en las listas puede estar el año que viene—, y por eso los gestores buenos la
repiten solos y te avisan.

**Que haya segundo factor donde se pueda.** Con un segundo factor puesto, una
contraseña robada deja de ser una llave y pasa a ser media.

Las cuatro juntas hacen algo que la rotación nunca hizo: **cambian la contraseña
justo cuando hay motivo, porque te enteras de que lo hay.** Un gestor que vigila
las listas es un sistema de aviso; el calendario no avisa de nada, solo pasa.

## Y si en tu empresa te obligan cada noventa días

Pasa, y pasa mucho, porque hay políticas escritas hace quince años que nadie ha
vuelto a mirar. Dos cosas.

La primera, práctica: si te toca cambiarla, **cambia de verdad**. Genera una
nueva entera y guárdala en el gestor. La variación estacional es lo único peor
que no cambiarla, porque da la sensación de haber hecho algo.

La segunda, para quien pueda mover la política: el argumento ya no hay que
inventarlo. Está en el **SP 800-63B**, es la guía oficial del NIST, y dice
literalmente que no se debe exigir el cambio periódico de contraseñas y sí
forzarlo cuando hay indicio de compromiso. Quien mantenga la norma de los noventa
días hoy está siguiendo un documento que el propio organismo que lo publicó
sustituyó hace años.

## La respuesta corta, otra vez

¿Cada cuánto hay que cambiar la contraseña? **Cuando pase algo.**

Y como «cuando pase algo» solo funciona si te enteras de que ha pasado, la
respuesta larga es: haz que cada contraseña sea larga, distinta y esté vigilada,
y así el día que haya que cambiar una lo sabrás, será una sola, y te llevará dos
minutos.

Lo demás es marcar una casilla en un calendario para sentirte a salvo.

---

*Fuentes: NIST SP 800-63, «Electronic Authentication Guideline» (2003), donde
aparecen las reglas de composición y el cambio periódico · NIST SP 800-63B,
«Digital Identity Guidelines: Authentication and Lifecycle Management» (2017):
longitud por delante de la complejidad, sin cambio periódico arbitrario, cambio
obligado ante indicio de compromiso y cotejo contra listas de contraseñas
comprometidas · declaraciones de Bill Burr, autor de la guía de 2003, al Wall
Street Journal en agosto de 2017.*