Comencem pel final, perquè la resposta és curta i gairebé ningú no la dona sencera: quan hi hagi un motiu. No cada noranta dies.
El costum de canviar-la per calendari està tan arrelat que sona gairebé a higiene, com rentar-se les dents. Però era una recomanació amb data de caducitat i ja ha caducat: el NIST nord-americà la va escriure el 2003, la va retirar el 2017 i l’autor d’aquell document es va disculpar en públic el mateix any. Aquesta història l’expliquem sencera a què és una contrasenya; aquí interessa l’altra part, la que gairebé mai no s’explica: què fas tu, avui, amb les teves contrasenyes.
El calendari no sap si t’han robat res
El problema de rotar per data és que la data no conté cap informació.
Si algú es va fer amb la teva contrasenya un dimarts de febrer, canviar-la l’1 d’abril perquè toca li regala un mes i mig llarg d’accés. I si ningú no l’ha tocada, canviar-la no t’ha protegit de res: has substituït una contrasenya bona per una altra que probablement sigui pitjor, perquè les contrasenyes que s’escriuen per obligació s’escriuen amb desgana.
Aquí hi ha tot el mecanisme del fracàs. La rotació forçada no produeix
contrasenyes noves, produeix variacions. Estiu2026! es converteix en
Tardor2026! i després en Hivern2026!, i qui t’ataca ho sap, perquè aquesta
sèrie és tan previsible com el calendari de paret d’on surt. El sistema queda
content —la contrasenya «ha canviat»— i la seguretat real ha baixat, no pujat.
Per això el NIST, al SP 800-63B, diu les dues coses juntes: res de canviar-la arbitràriament per temps, i obligar a canviar-la tan bon punt hi hagi indici de compromís. No és que tant se val canviar-la. És que el desencadenant ha de ser un fet, no una data.
Els motius que sí que compten
Aquesta és la llista. Si et passa qualsevol d’aquestes coses, la contrasenya es canvia avui, no el mes que ve:
- Ha aparegut en una filtració. Del servei en qüestió o de qualsevol altre on fessis servir la mateixa.
- La vas reutilitzar. Si
Xs’ha filtrat i la tens posada en quatre llocs més, hi ha cinc contrasenyes per canviar, no una. - La vas escriure en un web que resultava no ser el web. Un correu amb presses, un enllaç, un formulari que s’hi assemblava. Tant se val que te n’hagis adonat dos segons després: ja l’havies enviada.
- La vas compartir. Amb la parella, amb un company, en un xat de feina, en un paper. Una contrasenya que ha passat per un canal on no controles qui llegeix ja no és teva.
- Veus moviment estrany. Un inici de sessió des d’un lloc on no has estat mai, correus de restabliment que no has demanat, un missatge enviat que no has escrit.
- El dispositiu ha estat compromès. Un ordinador amb programari maliciós, un mòbil perdut, un portàtil que ha passat per un servei tècnic desconegut.
- El servei t’avisa. Quan una empresa envia aquell correu, fes-ne cas el mateix dia. És literalment el cas que el SP 800-63B contempla.
- S’ha acabat una convivència. Una exparella, un pis compartit, un soci. Comptes que èreu dos i ara sou un.
Fixa’t en què tenen en comú: tots són fets. Cap no és «han passat noranta dies».
Per al primer hi ha eina. Si vols saber si una contrasenya concreta és a les llistes de les que ja circulen, i de passada quant aguantaria, passa-la pel comprovador: s’analitza al teu navegador i d’allà no surt.
Quan hi ha motiu, l’ordre importa
Canviar la contrasenya és el pas obvi i moltes vegades no és el primer. Aquest és l’ordre que evita fer la feina dues vegades:
Primer, el dispositiu. Si sospites que hi ha alguna cosa instal·lada llegint el que teclejes, canviar la contrasenya des d’aquest mateix equip consisteix a lliurar-li la nova. Neteja’l o fes servir un altre dispositiu abans.
Després, el correu. El teu compte de correu no és un compte més: és el que rep els enllaços de «he oblidat la contrasenya» de tots els altres. Qui controla el correu controla la resta per la porta principal. Si hi ha una sola contrasenya per on començar, és aquesta.
Tot seguit, tancar les sessions obertes. Canviar la contrasenya no sempre expulsa qui ja és a dins. Busca a la configuració del compte l’opció de tancar la sessió a tots els dispositius i fes-la servir: si no, l’intrús continua connectat amb una sessió que ja no necessita la teva contrasenya per a res.
I finalment, revisa què hi ha deixat posat. Aquest és el pas que més gent s’estalvia. Qui entra en un compte no es limita a mirar: canvia el correu de recuperació, hi afegeix un telèfon, activa un segon factor propi, hi connecta una aplicació, hi posa una regla de reenviament a la bústia. Si canvies la contrasenya i no revises això, torna a entrar demà amb la porta ben oberta. Repassa mètodes de recuperació, dispositius autoritzats, aplicacions connectades i regles de reenviament.
Una cosa més, òbvia i per això mateix la que més s’incompleix: quan canviïs, la nova ha de ser nova. No la de sempre amb un altre número. Genera-la al generador i desa-la on no depengui de la teva memòria.
Què fas els altres tres-cents seixanta dies
Si el desencadenant és un fet i els fets són rars, la pregunta passa a ser una altra: llavors no cal fer res? Al contrari. El que la rotació pretenia resoldre malament es resol bé amb quatre coses, i totes són d’una sola vegada.
Que siguin llargues. El SP 800-63B posa la longitud per davant de la recargolada: una contrasenya llarga val més que una de curta plena de símbols. Hi ha la major part de la feina.
Que siguin diferents a cada lloc. Aquesta és la que converteix una filtració aliena en un incident petit en comptes d’un incendi. Si cada compte té la seva, que se’n filtri una no toca les altres; si comparteixes contrasenya, un servei que ni recordes haver fet servir decideix la seguretat del teu banc.
Que estiguin comparades amb les llistes de filtrades. És la substitució exacta que va fer el NIST: en comptes d’exigir-te un símbol, comprovar que la teva contrasenya no circula ja. Aquesta comprovació sí que caduca —una contrasenya que avui no és a les llistes hi pot ser l’any vinent— i per això els bons gestors la repeteixen sols i t’avisen.
Que hi hagi segon factor allà on es pugui. Amb un segon factor posat, una contrasenya robada deixa de ser una clau i passa a ser mitja.
Les quatre juntes fan una cosa que la rotació no va fer mai: canvien la contrasenya justament quan hi ha motiu, perquè te n’assabentes. Un gestor que vigila les llistes és un sistema d’avís; el calendari no avisa de res, només passa.
I si a la teva empresa t’hi obliguen cada noranta dies
Passa, i passa molt, perquè hi ha polítiques escrites fa quinze anys que ningú no ha tornat a mirar. Dues coses.
La primera, pràctica: si et toca canviar-la, canvia de debò. Genera’n una de nova sencera i desa-la al gestor. La variació estacional és l’única cosa pitjor que no canviar-la, perquè dona la sensació d’haver fet alguna cosa.
La segona, per a qui pugui moure la política: l’argument ja no cal inventar-lo. És al SP 800-63B, és la guia oficial del NIST, i diu literalment que no s’ha d’exigir el canvi periòdic de contrasenyes i sí forçar-lo quan hi ha indici de compromís. Qui manté avui la norma dels noranta dies està seguint un document que el mateix organisme que el va publicar va substituir fa anys.
La resposta curta, un altre cop
Cada quant cal canviar la contrasenya? Quan passi alguna cosa.
I com que «quan passi alguna cosa» només funciona si te n’assabentes, la resposta llarga és: fes que cada contrasenya sigui llarga, diferent i vigilada, i així el dia que n’hagis de canviar una ho sabràs, serà una de sola i et durà dos minuts.
La resta és marcar una casella en un calendari per sentir-te fora de perill.
Fonts: NIST SP 800-63, «Electronic Authentication Guideline» (2003), on apareixen les regles de composició i el canvi periòdic · NIST SP 800-63B, «Digital Identity Guidelines: Authentication and Lifecycle Management» (2017): longitud per davant de la complexitat, sense canvi periòdic arbitrari, canvi obligat davant d’indici de compromís i comparació amb llistes de contrasenyes compromeses · declaracions de Bill Burr, autor de la guia del 2003, al Wall Street Journal l’agost del 2017.
Foto de Hatice Baran · Pexels