Pautas de contraseña NIST: lo que realmente requiere SP 800-63B

Durante dos décadas, las políticas de contraseñas fueron las mismas en todas partes: ocho caracteres, una letra mayúscula, un dígito, un símbolo y un cambio forzado cada 90 días. El Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST) lleva años desmantelando ese modelo. Sus Lineamientos de Identidad Digital, SP 800-63B, ahora dicen que la mayoría de esas reglas hacen más daño que bien.

Esta guía traduce la revisión actual (Revisión 4, finalizada en 2025) a un lenguaje sencillo: qué se requiere, qué solo se recomienda y cómo implementarla sin sorprender a sus auditores.

Las reglas de un vistazo

• 15 caracteres mínimo cuando la contraseña es el único factor, 8 cuando se usa con MFA.
• Aceptar al menos 64 caracteres, incluidos espacios y Unicode, y nunca truncar.
• Examinar cada nueva contraseña contra listas filtradas, comunes y específicas del contexto.
• Bienvenidos gestores de contraseñas: permite autocompletar y pegar.
• Limitar intentos fallidos a 100 fallos consecutivos como máximo.
• Sin reglas de composición, como "debe contener un símbolo".
• Sin vencimiento programado. Cambie las contraseñas sólo cuando haya evidencia de compromiso.
• Sin pistas ni preguntas de seguridad.

DEBE versus DEBE: cómo leer NIST

NIST escribe "DEBE" para requisitos, "DEBE" para recomendaciones sólidas y "MAY" para opciones. Si lo auditan según SP 800-63B, como lo son las agencias federales de EE. UU. y muchos de sus proveedores, las declaraciones DEBE ser obligatorias. Todos los demás pueden tratar el documento como el mejor manual gratuito y basado en evidencia disponible.

1. La longitud es el principal requisito

La revisión 4 plantea la cuestión. Una contraseña que es el único factor de autenticación tendrá al menos 15 caracteres largo. Cuando la contraseña es parte de la autenticación multifactor, el mínimo es 8. Los sistemas deben aceptar al menos 64 caracteres y deben verificar la contraseña completa en lugar de acortarla silenciosamente.

La razón es simple aritmética. como nuestro tabla de tiempos de descifrado Como muestra, una contraseña aleatoria de 8 caracteres que utiliza cada carácter imprimible cae a un clúster de GPU en menos de una hora, mientras que 15 o más caracteres impulsan el mismo ataque más allá de la edad del universo.

2. Las reglas de composición ya no existen

Verificadores no impondrá reglas de composición, como requerir una combinación de mayúsculas, dígitos y símbolos. La gente responde a esas reglas de manera predecible: una mayúscula al principio, un dígito y un signo de exclamación al final. Password1! Satisface la mayoría de las políticas heredadas y es una de las primeras conjeturas en cualquier herramienta de descifrado.

En cambio, los sistemas deberían aceptar todos los caracteres ASCII imprimibles, espacios y caracteres Unicode, como emoji o letras acentuadas. Más opciones para el usuario significa más imprevisibilidad para el atacante.

3. No más cambios de contraseña cada 90 días

NIST dice verificadores no requerirá cambios periódicos de contraseña. Forzarán un cambio cuando haya evidencia de compromiso, por ejemplo, una aviso de filtración o una comparación con una lista de contraseñas filtrada.

La rotación forzada parece segura pero resulta contraproducente. Los usuarios que deben cambiar contraseñas según un cronograma realizan ediciones pequeñas y predecibles: Spring2026! se convierte Summer2026!. Un conocido estudio de la Universidad de Carolina del Norte encontró que, dada una contraseña antigua, los atacantes podían adivinar la siguiente contraseña de muchos usuarios en unos pocos intentos.

4. Las listas de bloqueo son obligatorias

Cada nueva contraseña se comparará con una lista de bloqueo de valores comúnmente utilizados, esperados o comprometidos. Esa lista debería incluir:

• Contraseñas de corpus de violaciones anteriores.
• Palabras del diccionario.
• Caracteres repetitivos o secuenciales, como aaaaaa o 1234abcd.
• Palabras específicas del contexto: el nombre del servicio, el nombre de usuario y derivados obvios.

Si se rechaza una contraseña, dígale al usuario por qué, para que pueda elegir una mejor en lugar de agregar un dígito al final. Nuestro comprobador de filtraciones utiliza los mismos datos Pwned Passwords en los que confían muchos proveedores de identidad. En Active Directory, Microsoft Entra Password Protection cumple esta función.

5. Da la bienvenida a los gestores de contraseñas

Verificadores permitirá gestores de contraseñas y autocompletary debería permitir pegar en los campos de contraseña. Bloquear el pegado suena como una medida de seguridad, pero empuja a las personas a utilizar contraseñas cortas que pueden escribir de memoria, que es lo opuesto a lo que usted desea.

6. Dejar pistas y preguntas de seguridad.

Los sistemas no almacenarán sugerencias de contraseñas que cualquiera pueda leer y no pedirán a los usuarios que establezcan respuestas basadas en conocimientos como "el nombre de su primera mascota". Esas respuestas suelen ser públicas en las redes sociales y se convierten en una segunda contraseña más débil que nunca caduca.

7. Limitar las conjeturas sin castigar a los usuarios

Verificadores limitará los intentos fallidos consecutivos en una sola cuenta a no más de 100. Ese es un límite, no un objetivo: muchas organizaciones eligen 10. Combínelo con retrasos progresivos, detección de bots y señales de riesgo para que los usuarios legítimos rara vez queden bloqueados mientras que las conjeturas en línea se vuelven inútiles.

8. Almacene las contraseñas como si fueran importantes

Las contraseñas se almacenarán salado y hash con una función de hash de contraseña adecuada, utilizando una sal de al menos 32 bits. En la práctica, eso significa Argon2id, scrypt, bcrypt o PBKDF2 con un alto factor de trabajo. NIST también recomienda mantener un "pimiento" secreto adicional separado de la base de datos, por lo que una base de datos robada por sí sola no es suficiente para comenzar a descifrar.

Cómo se compara NIST con PCI DSS y CIS

Si lo auditan según varios marcos, notará que no coinciden completamente:

El movimiento más útil es hacer cumplir MFA. Reduce el mínimo de NIST a 8 caracteres y elimina el requisito de rotación de 90 días de PCI DSS, lo que deja la composición como el principal conflicto. El creador de políticas muestra, regla por regla, qué marcos satisface una configuración.

Implementarlo en una semana

1. Encienda MFA primero, comenzando con cuentas de correo electrónico, VPN y administrador.
2. Eleve la longitud mínima a 15 para cuentas de solo contraseña y acepte 64 o más.
3. Implementar una lista de bloqueo: Ingrese la protección con contraseña para Active Directory, pwquality verificaciones de diccionario en Linux, la API Pwned Passwords en sus propias aplicaciones.
4. Eliminar reglas de composición y vencimiento programadoy anunciarlo. A los usuarios les encanta esta parte.
5. Permitir administradores de pegado y contraseñasy retirar las preguntas de seguridad.
6. Escríbelo: genera el documento de política y los scripts con el Preestablecido NIST.

Preguntas frecuentes

¿NIST todavía permite contraseñas de 8 caracteres?

Sólo cuando la contraseña se utiliza junto con otro factor de autenticación. Por sí sola, una contraseña debe tener al menos 15 caracteres.

¿Es obligatorio el NIST SP 800-63B para mi empresa?

Es obligatorio que las agencias y organizaciones federales de EE. UU. contratadas lo sigan. Para todos los demás es voluntario, pero en general se lo considera una mejor práctica y los auditores esperan cada vez más que las políticas estén alineadas con él.

¿Deberíamos eliminar por completo la caducidad de la contraseña?

Sí, a menos que otro marco contra el que esté auditado todavía lo requiera, como PCI DSS para cuentas de solo contraseña. Mantenga siempre los cambios forzados después de un compromiso sospechoso.

¿Dónde encajan las claves de acceso?

NIST agregó orientación para autenticadores sincronizables, como claves de acceso, en 2024. Son resistentes al phishing y eliminan la contraseña de la ecuación por completo, así que instálelos dondequiera que sus sistemas los admitan. Leer claves de acceso versus contraseñas.