Redactar el apartado de contraseñas de una política de seguridad
Genera el resumen de reglas para la política de seguridad de la información o la normativa interna de tu organización y reformúlalo después para los usuarios finales.
Generador de política de contraseñas
Parte de una plantilla Equilibrada, Estricta o Frase de contraseña alineada con las recomendaciones NIST actuales. Ajusta la longitud mínima, el bloqueo de contraseñas comunes, el historial, la caducidad, el límite de intentos y, si hace falta, reglas de compatibilidad; después copia el resumen y la configuración JSON. Todo ocurre en tu navegador.
- Portapapeles
Plantilla
Nivel estimado
Resumen de reglas
Configuración JSON
¿Te ha resultado útil esta herramienta?
¿Cómo funciona esta herramienta?
Esta herramienta te ayuda a redactar una política de contraseñas coherente a partir de tres plantillas y una decena de ajustes. Está pensada para administradores, responsables de seguridad y desarrolladores que deben documentar o implementar reglas, y genera un resumen legible y una configuración JSON.
La referencia actual es NIST SP 800-63B-4, publicada en julio de 2025: al menos 15 caracteres cuando la contraseña es el único factor de autenticación, 8 cuando se exige un segundo factor, aceptación de al menos 64 caracteres, sin reglas de composición por clases de caracteres y sin cambios periódicos rutinarios. También exige rechazar contraseñas comunes, comprometidas o ligadas al contexto y limitar a 100 como máximo los fallos consecutivos. Las plantillas siguen ahora estos principios: Equilibrada usa 15 caracteres sin regla de composición, sin caducidad forzada y con un umbral de 10 fallos; Estricta sube a 20 caracteres y un umbral de 5; Frase de contraseña usa 24 caracteres sin regla de composición. El historial sigue disponible para organizaciones que lo necesiten, pero no se considera un requisito NIST.
Los valores se limitan a los rangos de la herramienta: longitud mínima de 6 a 128, historial de 0 a 50, caducidad de 0 a 3650 días y umbral de fallos de 0 a 100. El nivel estimado es orientativo, no un certificado de conformidad NIST: premia un mínimo de 15 caracteres, añade puntuación desde 20, valora bloquear contraseñas comunes y datos personales evidentes, mantener desactivada la caducidad periódica, configurar un límite de intentos y permitir frases de contraseña. Los requisitos de mayúsculas, minúsculas, números o símbolos reducen la puntuación porque NIST los prohíbe; el historial es neutro. Se muestran avisos ante cualquier caducidad forzada, una longitud inferior a 15 caracteres, reglas de composición o la ausencia de bloqueo de contraseñas comunes.
Cómo utilizar esta herramienta
Elige una plantilla
Selecciona Equilibrada, Estricta o Frase de contraseña: todos los campos e interruptores se rellenan y la política se muestra al instante.
Ajusta las reglas
Cambia la longitud mínima, el número de contraseñas anteriores prohibidas, la caducidad y los intentos antes del bloqueo, activa o no los requisitos de caracteres y los bloqueos, y pulsa Generar la política.
Revisa y copia
Comprueba el nivel estimado y los avisos, y copia el resumen de reglas o la configuración JSON. El botón de restablecer vuelve a la plantilla Equilibrada.
Casos de uso
Entregar una especificación a desarrollo
Pega el JSON normalizado en un ticket o repositorio para que el equipo implemente exactamente la longitud mínima, el historial y el bloqueo acordados.
Modernizar una política heredada
Sustituye una regla antigua del tipo 8 caracteres, 4 tipos y cambio cada 90 días por una política alineada con NIST SP 800-63B-4, guiándote por los avisos de caducidad y longitud.
Ejemplos
Política de contraseñas equilibrada
Entrada
Plantilla: Equilibrada; Longitud mínima: 15; Bloquear contraseñas comunes o comprometidas: sí; Prohibir datos personales evidentes: sí; Caducidad forzada (días, 0 = desactivada): 0; Fallos antes de limitar o bloquear (0 = desactivado): 10; Permitir y fomentar frases de contraseña: sí; Exigir minúsculas, mayúsculas, números o símbolos: noResultado
Nivel estimado: Fuerte (puntuación 12); Resumen de reglas: longitud mínima de 15 caracteres, contraseñas comunes o comprometidas bloqueadas, datos personales prohibidos, sin caducidad forzada, bloqueo tras 10 fallos, frases de contraseña permitidasConsejos y buenas prácticas
- Deja la caducidad forzada en 0: NIST SP 800-63B-4 desaconseja el cambio periódico, que empuja a variantes previsibles como Primavera2026! y luego Verano2026!. Fuerza el cambio cuando se detecte un compromiso.
- Un umbral de bloqueo demasiado bajo, como 3 intentos, permite a cualquiera bloquear a propósito las cuentas de otros; es mejor un bloqueo temporal o progresivo a partir de 5 a 10 fallos.
- La herramienta fija una longitud mínima; al implementarla, no impongas un máximo bajo y admite al menos 64 caracteres y los espacios para permitir frases de contraseña.
Fuentes y referencias
- NIST, SP 800-63B — Digital Identity Guidelines: Authentication and Authenticator Management (se abre en una pestaña nueva)Página en inglés
- OWASP, Password Storage Cheat Sheet (se abre en una pestaña nueva)Página en inglés
Preguntas frecuentes
¿Qué longitud mínima recomienda el NIST en 2026?
NIST SP 800-63B-4 (julio de 2025) exige al menos 15 caracteres cuando la contraseña es el único factor de autenticación y 8 caracteres cuando se combina con un segundo factor. El sistema también debe aceptar contraseñas de al menos 64 caracteres.
¿Hay que exigir mayúsculas, números y caracteres especiales?
Según NIST SP 800-63B-4, no: las reglas de composición quedan prohibidas porque los usuarios las cumplen de forma previsible (mayúscula al principio, número y ! al final). La longitud y el bloqueo de contraseñas comunes o comprometidas son mucho más eficaces, aunque algunos marcos sectoriales aún pueden exigirlas.
¿Hay que cambiar las contraseñas cada 90 días?
No. NIST SP 800-63B-4 prohíbe los cambios periódicos rutinarios y exige forzar un cambio cuando existan indicios de compromiso. Por eso la herramienta avisa siempre que se configura una caducidad forzada.
¿Cuántos intentos permitir antes de bloquear una cuenta?
NIST exige limitar los intentos y fija un máximo de 100 fallos consecutivos. Un servicio puede elegir un umbral menor según su nivel de riesgo, pero la limitación temporal o los retrasos progresivos suelen ser preferibles a un bloqueo permanente que pueda utilizarse para provocar una denegación de servicio.
¿La política se aplica automáticamente?
No. La herramienta genera una especificación, en forma de resumen y JSON, para documentarla o implementarla en tu directorio, tu aplicación o tu proveedor de identidad. No se envía ni se guarda nada: la política se calcula en tu navegador.
¿Qué contiene el JSON generado?
Recoge los ajustes de forma normalizada: minimumLength, characterRequirements (lowercase, uppercase, numbers, symbols), disallowCommonPasswords, disallowPersonalData, preventReuse, expirationDays, lockoutAttempts y allowPassphrases. Los valores fuera de rango se ajustan a los límites de la herramienta.
Herramientas relacionadas
Continúa con estas herramientas
Herramientas similares o complementarias a esta.
Herramientas similares
Comprueba la seguridad de una contraseña: entropía, patrones débiles, tiempo para descubrir la contraseña y consejos.
Seguridad y privacidadDestacadaUsar esta herramienta
Genera contraseñas seguras y aleatorias de 8 a 128 caracteres, con la entropía indicada.
Seguridad y privacidadDestacadaUsar esta herramienta
Deriva un hash PBKDF2-SHA-256 o SHA-512 con sal de una contraseña, o verifica una contraseña contra un valor codificado.
Seguridad y privacidadUsar esta herramienta
También te puede interesar
GuíaBuenas prácticasPrincipiante
Contraseñas: generación, robustez y políticas útiles
Comprende por qué importan longitud y unicidad, cómo gestores, MFA y passkeys complementan las contraseñas y cómo almacenarlas en servidor.
29 de agosto de 20262 min