Empecemos por el final, porque la respuesta es corta y casi nadie la da entera: cuando haya un motivo. No cada noventa días.
La costumbre de cambiarla por calendario está tan metida en el cuerpo que suena casi a higiene, como lavarse los dientes. Pero es una recomendación con fecha de caducidad y ya caducó: el NIST estadounidense la escribió en 2003, la retiró en 2017 y el autor de aquel documento se disculpó en público el mismo año. Esa historia la contamos entera en qué es una contraseña; aquí interesa lo otro, que es lo que casi nunca se explica: qué haces tú, hoy, con tus contraseñas.
El calendario no sabe si te han robado nada
El problema de rotar por fecha es que la fecha no tiene ninguna información.
Si alguien se hizo con tu contraseña un martes de febrero, cambiarla el 1 de abril porque toca le regala mes y medio largo de acceso. Y si nadie la ha tocado, cambiarla no ha protegido de nada: has sustituido una contraseña buena por otra que probablemente sea peor, porque las contraseñas que se escriben por obligación se escriben con desgana.
Ahí está el mecanismo entero del fracaso. La rotación forzada no produce
contraseñas nuevas, produce variaciones. Verano2026! se convierte en
Otoño2026! y en Invierno2026!, y quien te ataca lo sabe, porque esa serie es
tan predecible como un calendario de pared. El sistema queda contento —la
contraseña «ha cambiado»— y la seguridad real ha bajado, no subido.
Por eso el NIST, en el SP 800-63B, dice las dos cosas juntas: nada de cambiarla arbitrariamente por tiempo, y obligar a cambiarla en cuanto haya indicio de compromiso. No es que dé igual cambiarla. Es que el disparador tiene que ser un hecho, no una fecha.
Los motivos que sí cuentan
Esta es la lista. Si te pasa cualquiera de estas cosas, la contraseña se cambia hoy, no el mes que viene:
- Ha aparecido en una filtración. Del servicio en cuestión o de cualquier otro donde usaras la misma.
- La reutilizaste. Si
Xse filtró y la tienes puesta en otros cuatro sitios, hay cinco contraseñas que cambiar, no una. - La escribiste en una web que resultó no ser la web. Un correo con prisa, un enlace, un formulario que se parecía. Da igual que te dieras cuenta a los dos segundos: ya la enviaste.
- La compartiste. Con tu pareja, con un compañero, en un chat de trabajo, en un papel. Una contraseña que ha estado en un canal donde no controlas quién lee ya no es tuya.
- Ves movimiento raro. Un inicio de sesión desde un sitio donde no has estado, correos de restablecimiento que no pediste, un mensaje enviado que no escribiste.
- El dispositivo estuvo comprometido. Un ordenador con malware, un móvil perdido, un portátil que pasó por un servicio técnico desconocido.
- El servicio te avisa. Cuando una empresa manda ese correo, hazle caso el mismo día. Es literalmente el caso que el SP 800-63B contempla.
- Se acabó una convivencia. Una expareja, un piso compartido, un socio. Cuentas que erais dos y ahora sois uno.
Fíjate en lo que tienen en común: todos son hechos. Ninguno es «han pasado noventa días».
Para el primero hay herramienta. Si quieres saber si una contraseña concreta está en las listas de las que ya circulan, y de paso cuánto aguantaría, pásala por el comprobador: se analiza en tu navegador y no sale de ahí.
Cuando hay motivo, el orden importa
Cambiar la contraseña es el paso obvio y muchas veces no es el primero. Este es el orden que evita hacer el trabajo dos veces:
Primero, el dispositivo. Si sospechas que hay algo instalado leyendo lo que tecleas, cambiar la contraseña desde ese mismo equipo consiste en entregarle la nueva. Limpia o usa otro dispositivo antes.
Después, el correo. Tu cuenta de correo no es una cuenta más: es la que recibe los enlaces de «he olvidado mi contraseña» de todas las demás. Quien controla el correo controla el resto por la puerta principal. Si hay una sola contraseña que empieces por cambiar, es esa.
Luego, cerrar las sesiones abiertas. Cambiar la contraseña no siempre expulsa a quien ya está dentro. Busca en la configuración de la cuenta la opción de cerrar sesión en todos los dispositivos y úsala: si no, el intruso sigue conectado con una sesión que ya no necesita tu contraseña para nada.
Y por último, revisa lo que dejó puesto. Este es el paso que más gente se salta. Quien entra en una cuenta no se limita a mirar: cambia el correo de recuperación, añade un teléfono, activa un segundo factor propio, conecta una aplicación, mete una regla de reenvío en el buzón. Si cambias la contraseña y no revisas eso, vuelve a entrar mañana con toda la puerta abierta. Repasa métodos de recuperación, dispositivos autorizados, aplicaciones conectadas y reglas de reenvío.
Una cosa más, obvia y por eso mismo la que más se incumple: cuando cambies, la nueva tiene que ser nueva. No la de siempre con otro número. Genérala en el generador y guárdala donde no dependa de tu memoria.
Qué haces los otros trescientos sesenta días
Si el disparador es un hecho y los hechos son raros, la pregunta pasa a ser otra: ¿entonces no hay que hacer nada? Al contrario. Lo que la rotación pretendía resolver mal se resuelve bien con cuatro cosas, y todas son de una sola vez.
Que sean largas. El SP 800-63B pone la longitud por delante de la retorcedura: una contraseña larga vale más que una corta llena de símbolos. Ahí está la mayor parte del trabajo.
Que sean distintas en cada sitio. Esta es la que convierte una filtración ajena en un incidente pequeño en vez de en un incendio. Si cada cuenta tiene la suya, que se filtre una no toca a las demás; si compartes contraseña, un servicio que ni recuerdas haber usado decide la seguridad de tu banco.
Que estén cotejadas contra las listas de filtradas. Es la sustitución exacta que hizo el NIST: en vez de exigirte un símbolo, comprobar que tu contraseña no está ya en circulación. Esa comprobación sí caduca —una contraseña que hoy no está en las listas puede estar el año que viene—, y por eso los gestores buenos la repiten solos y te avisan.
Que haya segundo factor donde se pueda. Con un segundo factor puesto, una contraseña robada deja de ser una llave y pasa a ser media.
Las cuatro juntas hacen algo que la rotación nunca hizo: cambian la contraseña justo cuando hay motivo, porque te enteras de que lo hay. Un gestor que vigila las listas es un sistema de aviso; el calendario no avisa de nada, solo pasa.
Y si en tu empresa te obligan cada noventa días
Pasa, y pasa mucho, porque hay políticas escritas hace quince años que nadie ha vuelto a mirar. Dos cosas.
La primera, práctica: si te toca cambiarla, cambia de verdad. Genera una nueva entera y guárdala en el gestor. La variación estacional es lo único peor que no cambiarla, porque da la sensación de haber hecho algo.
La segunda, para quien pueda mover la política: el argumento ya no hay que inventarlo. Está en el SP 800-63B, es la guía oficial del NIST, y dice literalmente que no se debe exigir el cambio periódico de contraseñas y sí forzarlo cuando hay indicio de compromiso. Quien mantenga la norma de los noventa días hoy está siguiendo un documento que el propio organismo que lo publicó sustituyó hace años.
La respuesta corta, otra vez
¿Cada cuánto hay que cambiar la contraseña? Cuando pase algo.
Y como «cuando pase algo» solo funciona si te enteras de que ha pasado, la respuesta larga es: haz que cada contraseña sea larga, distinta y esté vigilada, y así el día que haya que cambiar una lo sabrás, será una sola, y te llevará dos minutos.
Lo demás es marcar una casilla en un calendario para sentirte a salvo.
Fuentes: NIST SP 800-63, «Electronic Authentication Guideline» (2003), donde aparecen las reglas de composición y el cambio periódico · NIST SP 800-63B, «Digital Identity Guidelines: Authentication and Lifecycle Management» (2017): longitud por delante de la complejidad, sin cambio periódico arbitrario, cambio obligado ante indicio de compromiso y cotejo contra listas de contraseñas comprometidas · declaraciones de Bill Burr, autor de la guía de 2003, al Wall Street Journal en agosto de 2017.
Foto de Hatice Baran · Pexels