Las contraseñas cambian: más longitud y menos símbolos obligatorios

La vieja receta de una mayúscula, una minúscula, un número y ese signo de exclamación colocado al final casi por obligación empieza a quedarse atrás. Las recomendaciones vigentes del Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) ponen el peso de la seguridad en otro lugar: contraseñas más largas, difíciles de adivinar, únicas y alejadas de combinaciones conocidas o filtradas.

El cambio importante no significa que los símbolos sean malos ni que haya que borrarlos de las claves. Significa algo bastante distinto: ya no tiene sentido imponerlos como condición automática para considerar segura una contraseña. En la guía SP 800-63B-4, publicada en julio de 2025 y vigente en 2026, el NIST establece que los servicios no deben exigir mezclas obligatorias de mayúsculas, minúsculas, números y caracteres especiales. Para una contraseña utilizada como único factor de autenticación, fija además un mínimo de 15 caracteres; cuando forma parte de un sistema multifactor, permite bajar hasta ocho.

La longitud pesa más que llenar la contraseña de símbolos

Durante años se enseñó a los usuarios a fabricar claves parecidas a pequeños jeroglíficos: una palabra, una letra cambiada por un número, una mayúscula estratégica y un símbolo al final. Sobre el papel parecía complicado. Para los programas que prueban millones de combinaciones, bastante menos. El problema es que las personas reaccionamos de manera previsible cuando una web nos obliga a cumplir una colección de requisitos.

Una contraseña sencilla puede acabar convertida en algo parecido a Casa2026! porque el formulario reclama una mayúscula, un número y un carácter especial. Cumple las casillas, sí. Pero el patrón sigue siendo previsible y los atacantes conocen de sobra estas sustituciones.

El NIST considera que estas reglas de composición pueden provocar modificaciones fáciles de anticipar. Por eso coloca la longitud de la contraseña entre los factores fundamentales para aumentar su resistencia y contempla también las frases de contraseña, extensas y relativamente cómodas de recordar.

Una secuencia larga de varias palabras sin relación evidente puede resultar más sólida que una palabra corta maquillada con signos. No porque exista magia en los espacios, sino porque aumenta enormemente el terreno que debe recorrer un atacante para acertarla mediante intentos automatizados.

Los símbolos siguen siendo útiles, pero dejan de ser el tótem

Aquí está el matiz que se pierde con facilidad. NIST no recomienda eliminar los caracteres especiales. Los sistemas deberían permitirlos, igual que deberían admitir espacios y un conjunto suficientemente amplio de caracteres. Lo que cambia es su condición de requisito obligatorio.

Una contraseña generada aleatoriamente por un gestor puede contener letras, números y símbolos y ser extraordinariamente resistente. Una frase suficientemente larga también puede ofrecer una buena protección sin necesidad de sembrarla de arrobas, almohadillas y admiraciones. El símbolo deja así de funcionar como sello burocrático de seguridad: un signo de exclamación al final no convierte una clave débil en una fortaleza.

El nuevo mínimo que cambia bastante las cosas

La revisión del estándar endurece, en cambio, la longitud. Cuando una contraseña constituye por sí sola el método de autenticación, el NIST establece para los sistemas sujetos a sus recomendaciones un mínimo de 15 caracteres. En accesos protegidos además mediante autenticación multifactor, el mínimo puede quedarse en ocho.

También recomienda que los servicios permitan contraseñas de al menos 64 caracteres como longitud máxima admitida. No significa que todo el mundo deba escribir claves kilométricas, sino que los sistemas no deberían impedir el uso de frases largas simplemente porque sus formularios fueron diseñados en otra época.

Esto tampoco significa que todas las cuentas de correo, bancos o redes sociales vayan a exigir inmediatamente 15 caracteres. El documento del NIST es un estándar técnico estadounidense de enorme influencia internacional, no una ley universal que obligue a cada servicio de Internet a modificar sus formularios de un día para otro. Cada empresa mantiene sus propias políticas y los cambios suelen llegar a ritmos distintos.

También cae la obsesión por cambiar la clave cada pocos meses

Hay otro clásico de la seguridad digital que sale bastante tocado. El NIST desaconseja obligar a cambiar periódicamente una contraseña simplemente porque hayan pasado 30, 60 o 90 días. La renovación debe producirse cuando exista evidencia de compromiso o motivos razonables para sospechar que la clave ha quedado expuesta.

La explicación vuelve a tener mucho de comportamiento humano. Quien debe inventar una contraseña nueva constantemente suele recurrir a pequeñas variaciones: cambia 2025 por 2026, añade otro signo o desplaza una letra. La ceremonia se renueva; la seguridad, no necesariamente.

El enfoque moderno prefiere atacar el problema real: detectar contraseñas comprometidas y rechazar combinaciones demasiado comunes, previsibles o incluidas en grandes filtraciones de credenciales.

Una contraseña larga tampoco sirve si está reutilizada

Hay una trampa importante. Longitud no significa inmunidad. Una contraseña de veinte caracteres utilizada en diez servicios diferentes puede convertirse en un problema enorme si uno de ellos sufre una brecha de seguridad.

Los delincuentes prueban automáticamente credenciales robadas en otras plataformas mediante ataques conocidos como credential stuffing. La contraseña filtrada en una tienda puede terminar abriendo el correo electrónico, una red social o cualquier otra cuenta en la que se haya repetido.

Por eso las recomendaciones modernas convergen en una idea menos llamativa, pero mucho más eficaz: una contraseña diferente para cada cuenta. Recordar decenas de claves largas y distintas es poco realista y ahí entran los gestores de contraseñas, que almacenan las credenciales cifradas y permiten generar combinaciones aleatorias sin tener que memorizarlas una por una.

Las contraseñas filtradas importan más que una arroba

Otro cambio de enfoque está en las listas de bloqueo. Cuando una persona crea una contraseña, los sistemas pueden comprobar si coincide con claves muy utilizadas, fácilmente predecibles o aparecidas anteriormente en filtraciones conocidas.

Una contraseña puede ser relativamente larga y seguir siendo pésima si coincide con algo que un atacante probará entre sus primeros intentos. Nombres del propio servicio, secuencias populares, palabras extremadamente comunes o credenciales expuestas en bases de datos robadas son ejemplos evidentes.

La seguridad deja así de juzgar una contraseña únicamente por su aspecto. Una clave puede parecer feísima y sofisticada ante nuestros ojos, repleta de signos y números, y encontrarse al mismo tiempo entre millones de credenciales comprometidas. Complejidad visual y resistencia real no son sinónimos.

Ni siquiera una buena contraseña detiene el phishing

Existe otra frontera que conviene no perder de vista. Las contraseñas no son resistentes al phishing. Pueden tener 15, 30 o 60 caracteres: si el usuario las escribe voluntariamente en una página falsa que imita a su banco, su correo o una plataforma conocida, el atacante acaba de recibirlas completas.

Por eso la seguridad se está desplazando hacia sistemas complementarios. La autenticación de dos factores añade una segunda barrera y las passkeys permiten acceder mediante credenciales criptográficas vinculadas al dispositivo, evitando buena parte de los problemas inherentes a una contraseña tradicional.

Las claves de acceso o passkeys representan un cambio mucho más profundo que sustituir una letra por una arroba. Intentan sacar al usuario del viejo juego de recordar secretos que después pueden ser reutilizados, interceptados o entregados accidentalmente en una página fraudulenta.

Eso no convierte de golpe las contraseñas en piezas de museo. Miles de millones de cuentas seguirán dependiendo de ellas durante años. Pero su papel empieza a convivir con métodos diseñados específicamente para resistir ataques que una contraseña convencional, por muy larga que sea, no puede resolver sola.

La contraseña imposible de recordar pierde la batalla

Durante mucho tiempo se confundió complejidad visual con seguridad. Una cadena llena de símbolos parecía formidable precisamente porque costaba leerla. El problema era que también costaba recordarla, escribirla y manejarla sin cometer errores.

De ahí nacieron notas pegadas debajo de teclados, documentos con credenciales, contraseñas repetidas y pequeñas modificaciones de una misma clave. Una política creada para proteger al usuario podía terminar empujándolo hacia atajos bastante menos seguros.

Las recomendaciones modernas intentan salir de ese círculo: una contraseña larga, única y no comprometida, un gestor cuando existen muchas cuentas y un segundo factor de autenticación siempre que sea posible. Menos liturgia con símbolos, más resistencia frente a los ataques que realmente se utilizan.

El cambio parece pequeño porque afecta al humilde signo de exclamación que durante años se añadió casi automáticamente al final de las claves. En realidad toca una idea bastante más grande: una contraseña segura no es la que parece complicada, sino la que resulta difícil de adivinar, robar y reutilizar.