# Cada canto hai que cambiar o contrasinal: só cando haxa motivo

> A resposta que case ninguén dá é que non hai que cambialo nunca por calendario. Hai que cambialo cando pasa algo. Aquí está a lista do que conta como «algo», e que facer o resto do tempo, que é case sempre.

2026-09-02 · David Carrero · password.es
Original: https://password.es/gl/blog/cada-canto-hai-que-cambiar-o-contrasinal/

---

Empecemos polo final, porque a resposta é curta e case ninguén a dá enteira:
**cando haxa un motivo. Non cada noventa días.**

O costume de cambialo por calendario está tan metido no corpo que soa case a
hixiene, coma lavar os dentes. Pero era unha recomendación con data de caducidade
e xa caducou: o NIST estadounidense escribiuna en 2003, retirouna en 2017 e o
autor daquel documento desculpouse en público o mesmo ano. Esa historia
contámola enteira en [que é un contrasinal](/gl/blog/que-e-un-contrasinal/); aquí
interesa o outro, que é o que case nunca se explica: **que fas ti, hoxe, cos teus
contrasinais.**

## O calendario non sabe se che roubaron nada

O problema de rotar por data é que a data non ten información ningunha.

Se alguén se fixo co teu contrasinal un martes de febreiro, cambialo o 1 de abril
porque toca regálalle mes e medio longo de acceso. E se ninguén o tocou, cambialo
non protexeu de nada: substituíches un contrasinal bo por outro que probablemente
sexa peor, porque os contrasinais que se escriben por obriga escríbense con
desgana.

Aí está o mecanismo enteiro do fracaso. **A rotación forzada non produce
contrasinais novos, produce variacións.** `Verán2026!` convértese en `Outono2026!`
e despois en `Inverno2026!`, e quen te ataca sábeo, porque esa serie é tan
previsible coma o calendario de parede de onde sae. O sistema queda contento —o
contrasinal «cambiou»— e a seguridade real baixou, non subiu.

Por iso o NIST, no **SP 800-63B**, di as dúas cousas xuntas: nada de cambialo
arbitrariamente por tempo, e **obrigar a cambialo en canto haxa indicio de
compromiso**. Non é que dea igual cambialo. É que o disparador ten que ser un
feito, non unha data.

## Os motivos que si contan

Esta é a lista. Se che pasa calquera destas cousas, o contrasinal cámbiase hoxe,
non o mes que vén:

- **Apareceu nunha filtración.** Do servizo en cuestión ou de calquera outro onde
  usases o mesmo.
- **Reutilizáchelo.** Se `X` se filtrou e o tes posto noutros catro sitios, hai
  cinco contrasinais que cambiar, non un.
- **Escribíchelo nunha web que resultou non ser a web.** Un correo con présa, unha
  ligazón, un formulario que se parecía. Dá igual que te decatases dous segundos
  despois: xa o enviaras.
- **Compartíchelo.** Coa parella, cun compañeiro, nunha conversa de traballo,
  nun papel. Un contrasinal que pasou por unha canle onde non controlas quen le xa
  non é teu.
- **Ves movemento raro.** Un inicio de sesión desde un sitio onde non estiveches,
  correos de restablecemento que non pediches, unha mensaxe enviada que non
  escribiches.
- **O dispositivo estivo comprometido.** Un ordenador con software malicioso, un
  móbil perdido, un portátil que pasou por un servizo técnico descoñecido.
- **O servizo avísate.** Cando unha empresa manda ese correo, faille caso o mesmo
  día. É literalmente o caso que o SP 800-63B contempla.
- **Acabou unha convivencia.** Unha exparella, un piso compartido, un socio.
  Contas que erades dous e agora sodes un.

Fíxate no que teñen en común: **todos son feitos**. Ningún é «pasaron noventa
días».

Para o primeiro hai ferramenta. Se queres saber se un contrasinal concreto está
nas listas dos que xa circulan, e de paso canto aguantaría, pásao polo
[comprobador](/gl/comprobador/): analízase no teu navegador e de aí non sae.

## Cando hai motivo, a orde importa

Cambiar o contrasinal é o paso obvio e moitas veces non é o primeiro. Esta é a
orde que evita facer o traballo dúas veces:

**Primeiro, o dispositivo.** Se sospeitas que hai algo instalado lendo o que
tecleas, cambiar o contrasinal desde ese mesmo equipo consiste en entregarlle o
novo. Limpa ou usa outro dispositivo antes.

**Despois, o correo.** A túa conta de correo non é unha conta máis: é a que recibe
as ligazóns de «esquecín o contrasinal» de todas as demais. Quen controla o correo
controla o resto pola porta principal. Se hai un só contrasinal polo que empezar,
é ese.

**Logo, pechar as sesións abertas.** Cambiar o contrasinal non sempre expulsa a
quen xa está dentro. Busca na configuración da conta a opción de pechar sesión en
todos os dispositivos e úsaa: se non, o intruso segue conectado cunha sesión que
xa non necesita o teu contrasinal para nada.

**E por último, revisa o que deixou posto.** Este é o paso que máis xente salta.
Quen entra nunha conta non se limita a mirar: cambia o correo de recuperación,
engade un teléfono, activa un segundo factor propio, conecta unha aplicación, mete
unha regra de reenvío na caixa. **Se cambias o contrasinal e non revisas iso,
volve entrar mañá coa porta ben aberta.** Repasa métodos de recuperación,
dispositivos autorizados, aplicacións conectadas e regras de reenvío.

Unha cousa máis, obvia e por iso mesmo a que máis se incumpre: cando cambies, o
novo ten que ser **novo**. Non o de sempre con outro número. Xérao no
[xerador](/gl/) e gárdao onde non dependa da túa memoria.

## Que fas os outros trescentos sesenta días

Se o disparador é un feito e os feitos son raros, a pregunta pasa a ser outra:
entón non hai que facer nada? Ao contrario. O que a rotación pretendía resolver
mal resólvese ben con catro cousas, e todas son dunha soa vez.

**Que sexan longos.** O SP 800-63B pon a lonxitude por diante do retorcemento: un
contrasinal longo vale máis ca un curto cheo de símbolos. Aí está a maior parte do
traballo.

**Que sexan distintos en cada sitio.** Este é o que converte unha filtración allea
nun incidente pequeno en vez de nun incendio. Se cada conta ten o seu, que se
filtre un non toca os demais; se compartes contrasinal, un servizo que nin lembras
ter usado decide a seguridade do teu banco.

**Que estean cotexados coas listas de filtrados.** É a substitución exacta que
fixo o NIST: en vez de esixirche un símbolo, comprobar que o teu contrasinal non
está xa en circulación. Esa comprobación si que caduca —un contrasinal que hoxe
non está nas listas pode estar o ano que vén— e por iso os xestores bos repítena
sós e avísante.

**Que haxa segundo factor onde se poida.** Cun segundo factor posto, un
contrasinal roubado deixa de ser unha chave e pasa a ser media.

As catro xuntas fan algo que a rotación nunca fixo: **cambian o contrasinal xusto
cando hai motivo, porque te enteras de que o hai.** Un xestor que vixía as listas
é un sistema de aviso; o calendario non avisa de nada, só pasa.

## E se na túa empresa che obrigan cada noventa días

Pasa, e pasa moito, porque hai políticas escritas hai quince anos que ninguén
volveu mirar. Dúas cousas.

A primeira, práctica: se che toca cambialo, **cambia de verdade**. Xera un novo
enteiro e gárdao no xestor. A variación estacional é o único peor que non
cambialo, porque dá a sensación de ter feito algo.

A segunda, para quen poida mover a política: o argumento xa non hai que
inventalo. Está no **SP 800-63B**, é a guía oficial do NIST, e di literalmente que
non se debe esixir o cambio periódico de contrasinais e si forzalo cando hai
indicio de compromiso. Quen manteña hoxe a norma dos noventa días está seguindo un
documento que o propio organismo que o publicou substituíu hai anos.

## A resposta curta, outra vez

Cada canto hai que cambiar o contrasinal? **Cando pase algo.**

E como «cando pase algo» só funciona se te enteras de que pasou, a resposta longa
é: fai que cada contrasinal sexa longo, distinto e vixiado, e así o día que haxa
que cambiar un saberalo, será un só e levarache dous minutos.

O demais é marcar unha caixa nun calendario para sentirte a salvo.

---

*Fontes: NIST SP 800-63, «Electronic Authentication Guideline» (2003), onde
aparecen as regras de composición e o cambio periódico · NIST SP 800-63B,
«Digital Identity Guidelines: Authentication and Lifecycle Management» (2017):
lonxitude por diante da complexidade, sen cambio periódico arbitrario, cambio
obrigado ante indicio de compromiso e cotexo con listas de contrasinais
comprometidos · declaracións de Bill Burr, autor da guía de 2003, ao Wall Street
Journal en agosto de 2017.*