Las normas sobre contraseñas se escribieron cuando un programa probaba mil candidatas por segundo y la amenaza principal era un disquete de manos ajenas. Desde entonces ha cambiado casi todo; los consejos, no. Y algunos ya hacen daño.
Mito 1. Hay que cambiarlas cada mes
Hay que cambiarlas cada mes
El único consejo reconocido oficialmente como perjudicial. Quien está obligado a cambiar la contraseña por calendario no inventa una nueva: le añade un número a la anterior.
La creencia más persistente y la única reconocida oficialmente como perjudicial. Quien está obligado a cambiar la contraseña por calendario no inventa una nueva: le añade un número a la anterior.
No obligues a los usuarios a cambiar la contraseña de forma programada. Los cambios programados llevan a elegir modificaciones predecibles de contraseñas ya conocidas.
NIST SP 800-63B, guía de identidad digital
En su lugar: cambiar por un hecho concreto — una filtración, la salida de alguien con acceso, una sospecha de compromiso. Más en política de contraseñas.
Mito 2. Los símbolos son obligatorios
Los símbolos son obligatorios
La exigencia de «mayúscula, cifra y símbolo» produce «Contraseña1!»: formalmente correcta, en realidad pésima. La longitud decide más que el conjunto de caracteres.
La exigencia de «mayúscula, cifra y símbolo» produce «Contraseña1!»: formalmente correcta, en realidad pésima. La gente coloca los símbolos de forma previsible: mayúscula al principio, cifra y signo de exclamación al final.
En su lugar: longitud. Veinte letras y cifras superan a doce con símbolos, y se teclean el doble de fácil.
Mito 3. Nunca las anotes
Un consejo de la época en que la amenaza era un compañero mirando tu cajón. Hoy tu contraseña se prueba desde otra ciudad con una base filtrada, y un papel en un cajón queda fuera de su alcance.
En su lugar: anotarlas, pero con cabeza. Un gestor de contraseñas para todo, papel para la contraseña maestra junto a tus documentos. Lo peligroso no es anotarla, sino el pósit en el monitor de una oficina abierta.
Mito 4. Mi contraseña no le interesa a nadie
No te eligen. Se coge una base de un millón de pares y se prueba en cientos de sitios automáticamente. Cae quien repitió la contraseña, sin distinción de quién sea.
Mito 5. El candado significa que el sitio es auténtico
Solo significa que el canal está cifrado. Un certificado para un dominio falso es gratis y se obtiene en cinco minutos, y la mayoría de las páginas de phishing usan HTTPS. Ver las señales del phishing.
Mito 6. El doble factor es incómodo
Una objeción de cuando el código llegaba solo por SMS y se perdía en itinerancia. Hoy una aplicación muestra el código sin red, y los dispositivos de confianza no lo piden cada vez.
La realidad: tres segundos extra una vez al mes, frente a la única medida que sigue funcionando cuando la contraseña ya se ha filtrado.
Mito 7. Una frase es más débil que una contraseña al azar
Depende del número de palabras. Siete palabras al azar dan unos 77 bits, más o menos como doce caracteres aleatorios. Lo importante es que las elija un generador: una frase inventada por una persona es notablemente más débil. Comparación completa.
Mito 8. El navegador guarda bien las contraseñas
Mejor que un archivo de texto, pero el baúl del navegador tiene dos debilidades: las contraseñas están al alcance de quien se siente ante un equipo desbloqueado y están atadas a un solo navegador. Además las ve una extensión maliciosa.
Mito 9. Un acceso ajeno se nota enseguida
Al contrario: quien ha entrado quiere silencio. Cuanto más tardes en notarlo, más consigue. Por eso las señales de intrusión hay que buscarlas a propósito.