# Zenbatero aldatu behar da pasahitza: motiborik dagoenean bakarrik > Ia inork ematen ez duen erantzuna hau da: ez dago egutegiaren arabera aldatu beharrik. Zerbait gertatzen denean aldatu behar da. Hemen duzu «zerbait» hori zer den, eta gainerako denboran zer egin — hau da, ia beti. 2026-09-02 · David Carrero · password.es Original: https://password.es/eu/blog/zenbatero-aldatu-behar-da-pasahitza/ --- Has gaitezen amaieratik, erantzuna laburra baita eta ia inork ez baitu osorik ematen: **motiboren bat dagoenean. Ez laurogeita hamar egunez behin.** Egutegiaren arabera aldatzeko ohitura hain dago barneratuta, ia higienea ematen duela, hortzak garbitzea bezala. Baina iraungitze-data zuen gomendio bat zen, eta iraungi egin da: AEBetako NISTek 2003an idatzi zuen, 2017an kendu zuen, eta dokumentu haren egileak jendaurrean barkamena eskatu zuen urte berean. Istorio hori osorik kontatzen dugu [zer den pasahitz bat](/eu/blog/zer-da-pasahitz-bat/) artikuluan; hemen bestea interesatzen zaigu, ia inoiz azaltzen ez dena: **zuk, gaur, zure pasahitzekin zer egin behar duzun.** ## Egutegiak ez daki ezer lapurtu dizuten ala ez Datari begira txandakatzearen arazoa da datak ez duela inolako informaziorik. Norbaitek otsaileko astearte batean lortu bazuen zure pasahitza, apirilaren 1ean aldatzeak —tokatzen delako— hilabete eta erdi luze oparitzen dio sarbidean. Eta inork ukitu ez badu, aldatzeak ez zaitu ezertatik babestu: pasahitz on bat beste batengatik ordezkatu duzu, seguru asko okerragoa, betebeharrez idazten diren pasahitzak gogo txarrez idazten baitira. Hor dago porrotaren mekanismo osoa. **Behartutako txandakatzeak ez ditu pasahitz berriak sortzen, aldaerak baizik.** `Uda2026!` `Udazkena2026!` bihurtzen da eta gero `Negua2026!`, eta erasotzaileak badaki, serie hori hormako egutegia bezain aurreikusgarria baita. Sistema pozik geratzen da —pasahitza «aldatu» da— eta benetako segurtasuna jaitsi egin da, ez igo. Horregatik esaten ditu NISTek, **SP 800-63B** dokumentuan, bi gauzak batera: ez aldatu arbitrarioki denboragatik, eta **behartu aldatzera arriskuan egotearen zantzurik dagoen bezain laster**. Ez da aldatzea axola ez zaionik. Abiarazlea gertaera bat izan behar dela baizik, ez data bat. ## Benetan kontatzen duten motiboak Hona zerrenda. Hauetakoren bat gertatzen bazaizu, pasahitza gaur aldatzen da, ez datorren hilean: - **Filtrazio batean agertu da.** Zerbitzu horrena edo pasahitz bera erabiltzen zenuen beste edozeinena. - **Berrerabili duzu.** `X` filtratu bada eta beste lau tokitan jarrita baduzu, bost pasahitz daude aldatzeko, ez bat. - **Web bat ez zen web batean idatzi duzu.** Presa zuen mezu bat, esteka bat, antz handia zuen formulario bat. Berdin dio bi segundo geroago konturatu bazara: bidalita zeneukan jada. - **Partekatu duzu.** Bikotekidearekin, lankide batekin, laneko txat batean, paper batean. Nork irakurtzen duen kontrolatzen ez duzun kanal batetik pasatu den pasahitza ez da jada zurea. - **Mugimendu arraroa ikusten duzu.** Inoiz egon ez zaren toki batetik egindako saio-hasiera, eskatu ez dituzun berrezartze-mezuak, idatzi ez duzun mezu bidali bat. - **Gailua arriskuan egon da.** Malwarea duen ordenagailu bat, galdutako mugikor bat, zerbitzu tekniko ezezagun batetik pasatako eramangarri bat. - **Zerbitzuak abisatzen dizu.** Enpresa batek mezu hori bidaltzen duenean, egin kasu egun berean. Literalki SP 800-63B dokumentuak aurreikusten duen kasua da. - **Elkarbizitza bat amaitu da.** Bikotekide ohi bat, partekatutako etxe bat, bazkide bat. Bi zineten kontuak eta orain bat zarena. Erreparatu zer duten komunean: **denak gertaerak dira**. Bat ere ez da «laurogeita hamar egun pasatu dira». Lehenengorako tresna dago. Pasahitz jakin bat dabiltzan zerrendetan dagoen jakin nahi baduzu, eta bide batez zenbat iraungo lukeen, pasa ezazu [egiaztatzailetik](/eu/egiaztatzailea/): zure nabigatzailean aztertzen da eta handik ez da ateratzen. ## Motiboa dagoenean, ordenak axola du Pasahitza aldatzea urrats agerikoa da, eta askotan ez da lehena. Hau da lana birritan ez egiteko ordena: **Lehenik, gailua.** Idazten duzuna irakurtzen duen zerbait instalatuta dagoela susmatzen baduzu, ekipo horretatik bertatik pasahitza aldatzea berria eskura ematea da. Garbitu, edo erabili beste gailu bat aurretik. **Ondoren, posta.** Zure posta-kontua ez da kontu bat gehiago: gainerako guztien «pasahitza ahaztu dut» estekak jasotzen dituena da. Posta kontrolatzen duenak gainerakoa kontrolatzen du ate nagusitik. Pasahitz bakar batetik hasi behar baduzu, hori da. **Gero, itxi irekita dauden saioak.** Pasahitza aldatzeak ez du beti barruan dagoena kanporatzen. Bilatu kontuaren ezarpenetan gailu guztietan saioa ixteko aukera eta erabili: bestela, sartu denak konektatuta jarraitzen du zure pasahitza jada behar ez duen saio batekin. **Eta azkenik, begiratu zer utzi duen jarrita.** Hau da jende gehienak saltatzen duen urratsa. Kontu batean sartzen denak ez du begiratzera mugatzen: berreskuratze-helbidea aldatzen du, telefono bat gehitzen du, bere bigarren faktorea aktibatzen du, aplikazio bat konektatzen du, birbidaltze-arau bat jartzen du postontzian. **Pasahitza aldatu eta hori berrikusten ez baduzu, bihar berriz sartuko da guztiz zabalik dagoen ate batetik.** Errepasatu berreskuratze-metodoak, baimendutako gailuak, konektatutako aplikazioak eta birbidaltze-arauak. Beste gauza bat, agerikoa eta horregatik gehien hausten dena: aldatzean, berriak **berria** izan behar du. Ez betikoa beste zenbaki batekin. Sortu [sorgailuan](/eu/) eta gorde zure memoriaren mende ez dagoen leku batean. ## Zer egiten duzu beste hirurehun eta hirurogei egunetan Abiarazlea gertaera bat bada eta gertaerak bakanak badira, galdera beste bat bihurtzen da: orduan ez dago ezer egin beharrik? Alderantziz. Txandakatzeak gaizki konpondu nahi zuena lau gauzarekin konpontzen da ondo, eta lauak behin bakarrik egiten dira. **Luzeak izan daitezela.** SP 800-63B dokumentuak luzera jartzen du bihurdura baino lehen: pasahitz luze batek gehiago balio du sinboloz betetako labur batek baino. Hor dago lanaren zatirik handiena. **Toki bakoitzean desberdinak izan daitezela.** Honek bihurtzen du besteren filtrazio bat sute baten ordez gorabehera txiki bat. Kontu bakoitzak berea badu, bat filtratzeak ez ditu besteak ukitzen; pasahitza partekatzen baduzu, erabili zenuenik ere gogoratzen ez duzun zerbitzu batek erabakitzen du zure bankuaren segurtasuna. **Filtratutakoen zerrendekin alderatuta egon daitezela.** Hori da NISTek egin zuen truke zehatza: sinbolo bat eskatu beharrean, egiaztatu zure pasahitza ez dabilela jada zirkulazioan. Egiaztapen horrek bai, iraungitzen du —gaur zerrendetan ez dagoen pasahitz bat datorren urtean egon liteke— eta horregatik kudeatzaile onek beren kabuz errepikatzen dute eta abisatzen dizute. **Bigarren faktorea egon dadila ahal den tokietan.** Bigarren faktorea jarrita, lapurtutako pasahitz bat giltza izateari uzten dio eta erdi giltza bihurtzen da. Laurek batera txandakatzeak inoiz egin ez zuena egiten dute: **pasahitza motiboa dagoen unean bertan aldatzen dute, dagoela jakiten duzulako.** Zerrendak zaintzen dituen kudeatzaile bat abisu-sistema bat da; egutegiak ez du ezertaz abisatzen, pasatu besterik ez du egiten. ## Eta enpresak laurogeita hamar egunez behin behartzen bazaitu Gertatzen da, eta asko gertatzen da, duela hamabost urte idatzitako politikak daudelako, inork berriz begiratu ez dituenak. Bi gauza. Lehena, praktikoa: aldatu behar baduzu, **aldatu benetan**. Sortu berri oso bat eta gorde kudeatzailean. Urtaroaren araberako aldaera da ez aldatzea baino okerrago den gauza bakarra, zerbait egin izanaren sentsazioa ematen duelako. Bigarrena, politika mugitu dezakeenarentzat: argudioa ez dago asmatu beharrik. **SP 800-63B** dokumentuan dago, NISTen gida ofiziala da, eta literalki dio ez dela pasahitzen aldaketa periodikoa eskatu behar eta bai behartu behar dela arriskuan egotearen zantzurik dagoenean. Gaur laurogeita hamar eguneko araua mantentzen duenak argitaratu zuen erakundeak berak duela urte batzuk ordezkatu zuen dokumentu bat jarraitzen ari da. ## Erantzun laburra, berriro Zenbatero aldatu behar da pasahitza? **Zerbait gertatzen denean.** Eta «zerbait gertatzen denean» horrek gertatu dela jakiten baduzu bakarrik funtzionatzen duenez, erantzun luzea hau da: egin ezazu pasahitz bakoitza luzea, desberdina eta zaindua izan dadin, eta horrela bat aldatu behar den egunean jakingo duzu, bakarra izango da, eta bi minutu eramango dizu. Gainerakoa egutegi batean lauki bat markatzea da, seguru sentitzeko. --- *Iturriak: NIST SP 800-63, «Electronic Authentication Guideline» (2003), non konposizio-arauak eta aldaketa periodikoa agertzen diren · NIST SP 800-63B, «Digital Identity Guidelines: Authentication and Lifecycle Management» (2017): luzera konplexutasunaren aurretik, aldaketa periodiko arbitrariorik gabe, aldaketa behartua arriskuan egotearen zantzuen aurrean, eta arriskuan dauden pasahitzen zerrendekin alderatzea · Bill Burr-en adierazpenak, 2003ko gidaren egilearenak, Wall Street Journal egunkarian 2017ko abuztuan.*