# Cada quant cal canviar la contrasenya: només quan hi hagi motiu

> La resposta que gairebé ningú dona és que no cal canviar-la mai per calendari. Cal canviar-la quan passa alguna cosa. Aquí tens la llista del que compta com a «alguna cosa», i què fer la resta del temps, que és gairebé sempre.

2026-09-02 · David Carrero · password.es
Original: https://password.es/ca/blog/cada-quant-cal-canviar-la-contrasenya/

---

Comencem pel final, perquè la resposta és curta i gairebé ningú no la dona
sencera: **quan hi hagi un motiu. No cada noranta dies.**

El costum de canviar-la per calendari està tan arrelat que sona gairebé a
higiene, com rentar-se les dents. Però era una recomanació amb data de caducitat
i ja ha caducat: el NIST nord-americà la va escriure el 2003, la va retirar el
2017 i l’autor d’aquell document es va disculpar en públic el mateix any. Aquesta
història l’expliquem sencera a
[què és una contrasenya](/ca/blog/que-es-una-contrasenya/); aquí interessa l’altra
part, la que gairebé mai no s’explica: **què fas tu, avui, amb les teves
contrasenyes.**

## El calendari no sap si t’han robat res

El problema de rotar per data és que la data no conté cap informació.

Si algú es va fer amb la teva contrasenya un dimarts de febrer, canviar-la l’1
d’abril perquè toca li regala un mes i mig llarg d’accés. I si ningú no l’ha
tocada, canviar-la no t’ha protegit de res: has substituït una contrasenya bona
per una altra que probablement sigui pitjor, perquè les contrasenyes que
s’escriuen per obligació s’escriuen amb desgana.

Aquí hi ha tot el mecanisme del fracàs. **La rotació forçada no produeix
contrasenyes noves, produeix variacions.** `Estiu2026!` es converteix en
`Tardor2026!` i després en `Hivern2026!`, i qui t’ataca ho sap, perquè aquesta
sèrie és tan previsible com el calendari de paret d’on surt. El sistema queda
content —la contrasenya «ha canviat»— i la seguretat real ha baixat, no pujat.

Per això el NIST, al **SP 800-63B**, diu les dues coses juntes: res de canviar-la
arbitràriament per temps, i **obligar a canviar-la tan bon punt hi hagi indici de
compromís**. No és que tant se val canviar-la. És que el desencadenant ha de ser
un fet, no una data.

## Els motius que sí que compten

Aquesta és la llista. Si et passa qualsevol d’aquestes coses, la contrasenya es
canvia avui, no el mes que ve:

- **Ha aparegut en una filtració.** Del servei en qüestió o de qualsevol altre on
  fessis servir la mateixa.
- **La vas reutilitzar.** Si `X` s’ha filtrat i la tens posada en quatre llocs
  més, hi ha cinc contrasenyes per canviar, no una.
- **La vas escriure en un web que resultava no ser el web.** Un correu amb
  presses, un enllaç, un formulari que s’hi assemblava. Tant se val que te n’hagis
  adonat dos segons després: ja l’havies enviada.
- **La vas compartir.** Amb la parella, amb un company, en un xat de feina, en un
  paper. Una contrasenya que ha passat per un canal on no controles qui llegeix ja
  no és teva.
- **Veus moviment estrany.** Un inici de sessió des d’un lloc on no has estat
  mai, correus de restabliment que no has demanat, un missatge enviat que no has
  escrit.
- **El dispositiu ha estat compromès.** Un ordinador amb programari maliciós, un
  mòbil perdut, un portàtil que ha passat per un servei tècnic desconegut.
- **El servei t’avisa.** Quan una empresa envia aquell correu, fes-ne cas el
  mateix dia. És literalment el cas que el SP 800-63B contempla.
- **S’ha acabat una convivència.** Una exparella, un pis compartit, un soci.
  Comptes que èreu dos i ara sou un.

Fixa’t en què tenen en comú: **tots són fets**. Cap no és «han passat noranta
dies».

Per al primer hi ha eina. Si vols saber si una contrasenya concreta és a les
llistes de les que ja circulen, i de passada quant aguantaria, passa-la pel
[comprovador](/ca/comprovador/): s’analitza al teu navegador i d’allà no surt.

## Quan hi ha motiu, l’ordre importa

Canviar la contrasenya és el pas obvi i moltes vegades no és el primer. Aquest és
l’ordre que evita fer la feina dues vegades:

**Primer, el dispositiu.** Si sospites que hi ha alguna cosa instal·lada llegint
el que teclejes, canviar la contrasenya des d’aquest mateix equip consisteix a
lliurar-li la nova. Neteja’l o fes servir un altre dispositiu abans.

**Després, el correu.** El teu compte de correu no és un compte més: és el que rep
els enllaços de «he oblidat la contrasenya» de tots els altres. Qui controla el
correu controla la resta per la porta principal. Si hi ha una sola contrasenya per
on començar, és aquesta.

**Tot seguit, tancar les sessions obertes.** Canviar la contrasenya no sempre
expulsa qui ja és a dins. Busca a la configuració del compte l’opció de tancar la
sessió a tots els dispositius i fes-la servir: si no, l’intrús continua connectat
amb una sessió que ja no necessita la teva contrasenya per a res.

**I finalment, revisa què hi ha deixat posat.** Aquest és el pas que més gent
s’estalvia. Qui entra en un compte no es limita a mirar: canvia el correu de
recuperació, hi afegeix un telèfon, activa un segon factor propi, hi connecta una
aplicació, hi posa una regla de reenviament a la bústia. **Si canvies la
contrasenya i no revises això, torna a entrar demà amb la porta ben oberta.**
Repassa mètodes de recuperació, dispositius autoritzats, aplicacions connectades i
regles de reenviament.

Una cosa més, òbvia i per això mateix la que més s’incompleix: quan canviïs, la
nova ha de ser **nova**. No la de sempre amb un altre número. Genera-la al
[generador](/ca/) i desa-la on no depengui de la teva memòria.

## Què fas els altres tres-cents seixanta dies

Si el desencadenant és un fet i els fets són rars, la pregunta passa a ser una
altra: llavors no cal fer res? Al contrari. El que la rotació pretenia resoldre
malament es resol bé amb quatre coses, i totes són d’una sola vegada.

**Que siguin llargues.** El SP 800-63B posa la longitud per davant de la
recargolada: una contrasenya llarga val més que una de curta plena de símbols. Hi
ha la major part de la feina.

**Que siguin diferents a cada lloc.** Aquesta és la que converteix una filtració
aliena en un incident petit en comptes d’un incendi. Si cada compte té la seva,
que se’n filtri una no toca les altres; si comparteixes contrasenya, un servei que
ni recordes haver fet servir decideix la seguretat del teu banc.

**Que estiguin comparades amb les llistes de filtrades.** És la substitució
exacta que va fer el NIST: en comptes d’exigir-te un símbol, comprovar que la
teva contrasenya no circula ja. Aquesta comprovació sí que caduca —una contrasenya
que avui no és a les llistes hi pot ser l’any vinent— i per això els bons gestors
la repeteixen sols i t’avisen.

**Que hi hagi segon factor allà on es pugui.** Amb un segon factor posat, una
contrasenya robada deixa de ser una clau i passa a ser mitja.

Les quatre juntes fan una cosa que la rotació no va fer mai: **canvien la
contrasenya justament quan hi ha motiu, perquè te n’assabentes.** Un gestor que
vigila les llistes és un sistema d’avís; el calendari no avisa de res, només
passa.

## I si a la teva empresa t’hi obliguen cada noranta dies

Passa, i passa molt, perquè hi ha polítiques escrites fa quinze anys que ningú no
ha tornat a mirar. Dues coses.

La primera, pràctica: si et toca canviar-la, **canvia de debò**. Genera’n una de
nova sencera i desa-la al gestor. La variació estacional és l’única cosa pitjor
que no canviar-la, perquè dona la sensació d’haver fet alguna cosa.

La segona, per a qui pugui moure la política: l’argument ja no cal inventar-lo.
És al **SP 800-63B**, és la guia oficial del NIST, i diu literalment que no s’ha
d’exigir el canvi periòdic de contrasenyes i sí forçar-lo quan hi ha indici de
compromís. Qui manté avui la norma dels noranta dies està seguint un document que
el mateix organisme que el va publicar va substituir fa anys.

## La resposta curta, un altre cop

Cada quant cal canviar la contrasenya? **Quan passi alguna cosa.**

I com que «quan passi alguna cosa» només funciona si te n’assabentes, la resposta
llarga és: fes que cada contrasenya sigui llarga, diferent i vigilada, i així el
dia que n’hagis de canviar una ho sabràs, serà una de sola i et durà dos minuts.

La resta és marcar una casella en un calendari per sentir-te fora de perill.

---

*Fonts: NIST SP 800-63, «Electronic Authentication Guideline» (2003), on
apareixen les regles de composició i el canvi periòdic · NIST SP 800-63B,
«Digital Identity Guidelines: Authentication and Lifecycle Management» (2017):
longitud per davant de la complexitat, sense canvi periòdic arbitrari, canvi
obligat davant d’indici de compromís i comparació amb llistes de contrasenyes
compromeses · declaracions de Bill Burr, autor de la guia del 2003, al Wall
Street Journal l’agost del 2017.*