Empecemos polo final, porque a resposta é curta e case ninguén a dá enteira: cando haxa un motivo. Non cada noventa días.
O costume de cambialo por calendario está tan metido no corpo que soa case a hixiene, coma lavar os dentes. Pero era unha recomendación con data de caducidade e xa caducou: o NIST estadounidense escribiuna en 2003, retirouna en 2017 e o autor daquel documento desculpouse en público o mesmo ano. Esa historia contámola enteira en que é un contrasinal; aquí interesa o outro, que é o que case nunca se explica: que fas ti, hoxe, cos teus contrasinais.
O calendario non sabe se che roubaron nada
O problema de rotar por data é que a data non ten información ningunha.
Se alguén se fixo co teu contrasinal un martes de febreiro, cambialo o 1 de abril porque toca regálalle mes e medio longo de acceso. E se ninguén o tocou, cambialo non protexeu de nada: substituíches un contrasinal bo por outro que probablemente sexa peor, porque os contrasinais que se escriben por obriga escríbense con desgana.
Aí está o mecanismo enteiro do fracaso. A rotación forzada non produce
contrasinais novos, produce variacións. Verán2026! convértese en Outono2026!
e despois en Inverno2026!, e quen te ataca sábeo, porque esa serie é tan
previsible coma o calendario de parede de onde sae. O sistema queda contento —o
contrasinal «cambiou»— e a seguridade real baixou, non subiu.
Por iso o NIST, no SP 800-63B, di as dúas cousas xuntas: nada de cambialo arbitrariamente por tempo, e obrigar a cambialo en canto haxa indicio de compromiso. Non é que dea igual cambialo. É que o disparador ten que ser un feito, non unha data.
Os motivos que si contan
Esta é a lista. Se che pasa calquera destas cousas, o contrasinal cámbiase hoxe, non o mes que vén:
- Apareceu nunha filtración. Do servizo en cuestión ou de calquera outro onde usases o mesmo.
- Reutilizáchelo. Se
Xse filtrou e o tes posto noutros catro sitios, hai cinco contrasinais que cambiar, non un. - Escribíchelo nunha web que resultou non ser a web. Un correo con présa, unha ligazón, un formulario que se parecía. Dá igual que te decatases dous segundos despois: xa o enviaras.
- Compartíchelo. Coa parella, cun compañeiro, nunha conversa de traballo, nun papel. Un contrasinal que pasou por unha canle onde non controlas quen le xa non é teu.
- Ves movemento raro. Un inicio de sesión desde un sitio onde non estiveches, correos de restablecemento que non pediches, unha mensaxe enviada que non escribiches.
- O dispositivo estivo comprometido. Un ordenador con software malicioso, un móbil perdido, un portátil que pasou por un servizo técnico descoñecido.
- O servizo avísate. Cando unha empresa manda ese correo, faille caso o mesmo día. É literalmente o caso que o SP 800-63B contempla.
- Acabou unha convivencia. Unha exparella, un piso compartido, un socio. Contas que erades dous e agora sodes un.
Fíxate no que teñen en común: todos son feitos. Ningún é «pasaron noventa días».
Para o primeiro hai ferramenta. Se queres saber se un contrasinal concreto está nas listas dos que xa circulan, e de paso canto aguantaría, pásao polo comprobador: analízase no teu navegador e de aí non sae.
Cando hai motivo, a orde importa
Cambiar o contrasinal é o paso obvio e moitas veces non é o primeiro. Esta é a orde que evita facer o traballo dúas veces:
Primeiro, o dispositivo. Se sospeitas que hai algo instalado lendo o que tecleas, cambiar o contrasinal desde ese mesmo equipo consiste en entregarlle o novo. Limpa ou usa outro dispositivo antes.
Despois, o correo. A túa conta de correo non é unha conta máis: é a que recibe as ligazóns de «esquecín o contrasinal» de todas as demais. Quen controla o correo controla o resto pola porta principal. Se hai un só contrasinal polo que empezar, é ese.
Logo, pechar as sesións abertas. Cambiar o contrasinal non sempre expulsa a quen xa está dentro. Busca na configuración da conta a opción de pechar sesión en todos os dispositivos e úsaa: se non, o intruso segue conectado cunha sesión que xa non necesita o teu contrasinal para nada.
E por último, revisa o que deixou posto. Este é o paso que máis xente salta. Quen entra nunha conta non se limita a mirar: cambia o correo de recuperación, engade un teléfono, activa un segundo factor propio, conecta unha aplicación, mete unha regra de reenvío na caixa. Se cambias o contrasinal e non revisas iso, volve entrar mañá coa porta ben aberta. Repasa métodos de recuperación, dispositivos autorizados, aplicacións conectadas e regras de reenvío.
Unha cousa máis, obvia e por iso mesmo a que máis se incumpre: cando cambies, o novo ten que ser novo. Non o de sempre con outro número. Xérao no xerador e gárdao onde non dependa da túa memoria.
Que fas os outros trescentos sesenta días
Se o disparador é un feito e os feitos son raros, a pregunta pasa a ser outra: entón non hai que facer nada? Ao contrario. O que a rotación pretendía resolver mal resólvese ben con catro cousas, e todas son dunha soa vez.
Que sexan longos. O SP 800-63B pon a lonxitude por diante do retorcemento: un contrasinal longo vale máis ca un curto cheo de símbolos. Aí está a maior parte do traballo.
Que sexan distintos en cada sitio. Este é o que converte unha filtración allea nun incidente pequeno en vez de nun incendio. Se cada conta ten o seu, que se filtre un non toca os demais; se compartes contrasinal, un servizo que nin lembras ter usado decide a seguridade do teu banco.
Que estean cotexados coas listas de filtrados. É a substitución exacta que fixo o NIST: en vez de esixirche un símbolo, comprobar que o teu contrasinal non está xa en circulación. Esa comprobación si que caduca —un contrasinal que hoxe non está nas listas pode estar o ano que vén— e por iso os xestores bos repítena sós e avísante.
Que haxa segundo factor onde se poida. Cun segundo factor posto, un contrasinal roubado deixa de ser unha chave e pasa a ser media.
As catro xuntas fan algo que a rotación nunca fixo: cambian o contrasinal xusto cando hai motivo, porque te enteras de que o hai. Un xestor que vixía as listas é un sistema de aviso; o calendario non avisa de nada, só pasa.
E se na túa empresa che obrigan cada noventa días
Pasa, e pasa moito, porque hai políticas escritas hai quince anos que ninguén volveu mirar. Dúas cousas.
A primeira, práctica: se che toca cambialo, cambia de verdade. Xera un novo enteiro e gárdao no xestor. A variación estacional é o único peor que non cambialo, porque dá a sensación de ter feito algo.
A segunda, para quen poida mover a política: o argumento xa non hai que inventalo. Está no SP 800-63B, é a guía oficial do NIST, e di literalmente que non se debe esixir o cambio periódico de contrasinais e si forzalo cando hai indicio de compromiso. Quen manteña hoxe a norma dos noventa días está seguindo un documento que o propio organismo que o publicou substituíu hai anos.
A resposta curta, outra vez
Cada canto hai que cambiar o contrasinal? Cando pase algo.
E como «cando pase algo» só funciona se te enteras de que pasou, a resposta longa é: fai que cada contrasinal sexa longo, distinto e vixiado, e así o día que haxa que cambiar un saberalo, será un só e levarache dous minutos.
O demais é marcar unha caixa nun calendario para sentirte a salvo.
Fontes: NIST SP 800-63, «Electronic Authentication Guideline» (2003), onde aparecen as regras de composición e o cambio periódico · NIST SP 800-63B, «Digital Identity Guidelines: Authentication and Lifecycle Management» (2017): lonxitude por diante da complexidade, sen cambio periódico arbitrario, cambio obrigado ante indicio de compromiso e cotexo con listas de contrasinais comprometidos · declaracións de Bill Burr, autor da guía de 2003, ao Wall Street Journal en agosto de 2017.
Foto de Hatice Baran · Pexels