No cambies tu contraseña periódicamente: es una idea terrible

Incluir mayúsculas y minúsculas, caracteres, especiales, números o información que no esté relacionada con tu vida privada, es algo muy a tener en cuenta a la hora de crear una contraseña segura. Además, cambiar la clave de acceso periódicamente es, por lo general, primordial para mantener seguras nuestras cuentas. Sobre todo, teniendo en cuenta la gran cantidad de filtraciones de datos que ocurren en diferentes portales web o, incluso, en entidades bancarias. Pero, ¿y si realmente esto último no es una buena idea?

De hecho, es lo que sugiere el Instituto Nacional de Estándares y Tecnología (NIST, por sus siglas en inglés), un organismo dedicado a los estándares tecnológicos en agencias gubernamentales y otras organizaciones privadas. Esta quiere poner fin a algunas de las normas sin especial sentido que portales y plataformas web imponen a sus usuarios con el objetivo de mejorar la seguridad de su cuenta. Incluyendo la obligación de establecer caracteres especiales o las preguntas de seguridad que sirven como método de recuperación de la cuenta en el caso de que el usuario se olvide de la contraseña.

En un reciente borrador, el NIST también dice que la obligación de algunos portales de cambiar la contraseña de la cuenta periódicamente, tampoco es una buena idea. Si bien esto puede evitar que los atacantes accedan a una cuenta en el caso de que esta haya aparecido en alguna filtración de datos, cambiarla cada cierto tiempo puede hacer que el usuario se canse y opte por usar contraseñas más débiles que sean más fáciles de escribir y memorizar.

“Cuando las credenciales se eligen correctamente, el requisito de cambiarlas periódicamente, normalmente cada uno o tres meses, puede en realidad reducir la seguridad, porque la carga adicional incentiva el uso de contraseñas más débiles, que son más fáciles de configurar y recordar para las personas”.

Borrador SP 800-63-4 del NIST.

La solución que propone la NIST sobre el cambio de contraseñas

En el borrador, la NIST ofrece una solución complementaria al cambio de contraseñas periódicas. Afirman que los verificadores y diferentes proveedores de servicios de comunicaciones deben obligar o forzar a un cambio únicamente si esta ha sido comprometida. Actualmente, existen diferentes métodos para saber si una clave de acceso ha aparecido en una filtración de datos. Incluso, navegadores como Safari, que almacenan las contraseñas para un inicio de sesión más rápido, puede alertar al usuario de esto mismo.

Hay, además, una serie de recomendaciones que podemos seguir con tal de crear una contraseña segura. Una de ellas es que esta cuente con una extensión de caracteres algo larga: de unos ocho, como mínimo. Por supuesto, lo mejor es evitar claves con información personal, como fechas de aniversario, el nombre de algún familiar o mascota, etc. También se recomienda establecer una contraseña diferente para cada tipo de plataforma: por ejemplo, una para el banco, otra para redes sociales, otra para el acceso a tu dispositivo, etc.

La autentificación de doble factor es otro método imprescindible para proteger tu cuenta, pues añade un extra de seguridad que evita que atacantes puedan acceder a ella fácilmente en el caso de que esta ha aparecido en una filtración de datos.