En resumen: si sigues creando contraseñas como «TuClaveSegura2» y cambiándolas cada pocos meses, esta guía te interesa. La guía SP 800-63B-4 del NIST estadounidense, publicada en julio de 2025, pide longitud* (15 caracteres como mínimo cuando la contraseña es lo único que protege la cuenta), prohíbe a los servicios imponer mezclas obligatorias de mayúsculas, números y símbolos, y les prohíbe también exigir cambios periódicos salvo que haya indicios de que la clave se ha comprometido. INCIBE sigue recomendando otra cosa. Aquí tienes qué dice cada uno y qué hacer con tus cuentas.
¿Qué dice exactamente el NIST sobre las contraseñas?
Dice que lo que cuenta es la longitud y que no se use una contraseña conocida o filtrada; la complejidad forzada y la caducidad salen de la lista. Son reglas para los servicios que verifican contraseñas, pero describen muy bien qué es una buena clave.
La versión vigente de la guía a noviembre de 2026, que según la ficha oficial del NIST sustituye a la SP 800-63B anterior, fija estas obligaciones:
- Mínimo de 15 caracteres si la contraseña se usa como único factor. Si forma parte de una autenticación en varios pasos, se admite más corta, pero nunca por debajo de 8.
- Los servicios deberían permitir contraseñas de al menos 64 caracteres y aceptar caracteres Unicode, espacios incluidos.
- No se pueden imponer otras reglas de composición, como exigir que mezcles distintos tipos de caracteres.
- No se puede obligar a cambiarlas periódicamente, pero sí hay que forzar el cambio si hay pruebas de que la contraseña se ha visto comprometida.
- Cada contraseña nueva debe compararse con una lista de bloqueo de claves habituales, previsibles o filtradas, palabras del diccionario y términos del propio servicio, como su nombre o tu usuario.
- Se acabaron las preguntas de seguridad del tipo «¿cómo se llamaba tu primera mascota?».
- Los servicios deben permitir gestores de contraseñas y el autorrelleno, y deberían dejar pegar la contraseña.
Un matiz de alcance: la guía está pensada para los sistemas de la Administración estadounidense. No obliga a tu banco ni a tu red social. Pero su razonamiento vale para cualquier usuario, y servicios como Have I Been Pwned se presentan precisamente como una forma de cumplirla.
¿Por qué ya no se recomienda mezclar símbolos ni cambiarla cada cierto tiempo?
Porque la gente responde a esas reglas de forma previsible, y los atacantes lo saben. El apéndice de la guía del NIST lo explica con un ejemplo: quien habría elegido «password» acaba eligiendo «Password1» si le exigen una mayúscula y un número, y «Password1!» si además le piden un símbolo.
El documento añade que los análisis de bases de datos de contraseñas robadas muestran que el beneficio de las reglas de composición es menor de lo que se pensaba, mientras que su coste en usabilidad y memoria es grande. Y señala un efecto secundario: las claves muy complejas se olvidan más y se apuntan más, a veces en sitios poco seguros.
Con la caducidad pasa algo parecido. Si cada pocos meses te obligan a cambiar una contraseña que no ha sido robada, lo normal es que añadas un número al final o cambies una letra. El NIST solo pide el cambio cuando hay evidencia de que la clave se ha comprometido, que es cuando de verdad sirve.
Aquí está el choque con lo que se recomienda en España. La página de INCIBE sobre contraseñas seguras sigue aconsejando al menos 8-10 caracteres, combinar mayúsculas, minúsculas, números y caracteres especiales, y cambiarlas al menos cada 6 meses. Su ejemplo de regla mnemotécnica parte de una frase, «tu clave segura», y la convierte en «*TuClaveSegura2».
Creo que esa recomendación ha envejecido mal. El ejemplo de INCIBE es casi una réplica del patrón que el NIST pone como ejemplo de lo que hacen los usuarios bajo reglas de composición: palabras reconocibles, mayúscula inicial, un número al final y un símbolo al principio. INCIBE acierta, en cambio, en lo importante: no reutilizar contraseñas, evitar datos personales, usar un gestor y activar la verificación en dos pasos.
Cómo crear una contraseña buena (y cuándo no necesitas inventarla)
La fórmula práctica que se deduce de la guía del NIST cabe en tres ideas:
- Largo antes que raro. Apunta a 15 caracteres o más. El NIST señala que las frases de contraseña, varias palabras seguidas, suelen ser una forma eficaz de conseguir longitud. Mejor si las palabras no forman una frase hecha ni una cita conocida, porque lo previsible acaba en las listas de los atacantes.
- Única para cada servicio. El NIST insiste en contraseñas distintas para evitar el relleno de credenciales, el ataque que prueba en otras webs la contraseña robada en una.
- Nada que se pueda adivinar sobre ti: ni el nombre del servicio, ni tu usuario, ni fechas o nombres de tu entorno.
La forma realista de tener decenas de contraseñas largas y únicas es no memorizarlas. Un gestor genera y guarda cada clave, y tú solo recuerdas una frase maestra larga; el NIST recoge que los gestores aumentan la probabilidad de elegir contraseñas más fuertes, sobre todo si incluyen generador. Si nunca has usado uno, empieza por nuestra guía de gestores de contraseñas: cuál elegir y cómo empezar.
Y en los servicios que ya lo permiten, la mejor contraseña es la que no existe: las llaves de acceso (passkeys) permiten iniciar sesión sin contraseña. Tienes los pasos en nuestra guía para activar las passkeys en Google, Microsoft y el iPhone.
Un recordatorio honesto que hace el propio NIST: la longitud no te protege del phishing, de los programas que registran lo que tecleas ni de la ingeniería social. Una contraseña de 30 caracteres entregada en una web falsa vale lo mismo que «123456».
¿Cómo sé si mi contraseña está filtrada?
La herramienta más usada es Pwned Passwords, de Have I Been Pwned, gratuita. Introduces una contraseña y te dice si ha aparecido en filtraciones conocidas; si es así, la web es clara: no debería usarse nunca más.
La duda lógica es si es seguro escribir tu contraseña en una web ajena. Según su página oficial, el servicio no recibe ni la contraseña ni su huella completa: la contraseña se convierte en un hash SHA-1 en tu propio dispositivo y solo se envían los 5 primeros caracteres de ese hash, un método llamado anonimato k. La misma página cuenta que, a noviembre de 2026, gestiona más de 18.000 millones de consultas al mes y presenta el servicio como una forma de cumplir el requisito del NIST de comparar contraseñas con datos de filtraciones.
Que una contraseña no aparezca no significa que sea buena; la propia web lo advierte. Y si lo que quieres saber es si tu correo o tus cuentas han salido en una filtración, y qué hacer en ese caso, lo tienes en tus datos están en una filtración: cómo comprobarlo y qué hacer.
Mi postura: la contraseña segura de hoy no es la más difícil de teclear, sino la más larga que no tengas que recordar, distinta en cada sitio y que no aparezca en ninguna filtración. Todo lo demás, los símbolos obligatorios y las caducidades por calendario, es el ritual de una época en la que se pensaba que el usuario era el problema. El NIST ha corregido el tiro; ya va siendo hora de que las guías en castellano lo hagan también.