¿Cuál es el problema real de las contraseñas en una empresa?
Que se repiten. Cuando una web sufre una filtración, sus contraseñas acaban en listas que se prueban en otros servicios. Si alguien de tu equipo usa la misma en el correo de la empresa, quien tenga esa lista entra sin romper nada. Por eso la regla que más protege es una contraseña distinta por servicio.
Google lo resume en la alerta de contraseña filtrada que envía a los administradores de Google Workspace: las causas comunes del robo de contraseñas son los virus, responder a un correo trampa y usar la misma contraseña en muchas webs, porque basta con que una de ellas sufra un ataque (Google, «Ver detalles de alerta»). Contra la tercera causa solo funciona una cosa: que cada servicio tenga su propia contraseña.
La longitud tampoco lo arregla todo. El apéndice A de la guía del NIST lo dice sin rodeos: los programas que registran lo que tecleas, los correos trampa (phishing) y la ingeniería social, que es engañar a alguien para que la diga, funcionan igual contra una contraseña larga y compleja que contra una sencilla. Por eso la política de abajo lleva doble factor, y por eso conviene saber qué hacer si un correo de la empresa aparece en una filtración.
¿Qué política de contraseñas funciona en una pyme?
Cuatro reglas que caben en una página: larga, mejor una frase de varias palabras; única, una distinta para cada servicio; con doble factor en correo, banca y accesos remotos; y personal, sin cuentas que usen varias personas. Sobran los símbolos obligatorios, la caducidad por calendario y las preguntas de seguridad.
Cada contraseña
- Al menos 15 caracteres si es lo único que protege la cuenta; mejor una frase de varias palabras
- Distinta para cada servicio, sin variantes de una misma base
- Generada y guardada en el gestor de contraseñas de la empresa
- Nunca en un papel, una hoja de cálculo, un correo o un chat
Cada cuenta
- Una persona, una cuenta: nada de usuarios compartidos
- Doble factor en el correo, las cuentas de administrador, la VPN, la banca y los programas en la nube
- Las cuentas de administrador, separadas de las de uso diario
Cuando algo pasa
- Cambio obligatorio si hay indicios de filtración, no por calendario
- Acceso al gestor retirado el mismo día que alguien se va
- Las contraseñas compartidas que conocía, cambiadas ese día
Si necesitas el documento entero, esta lista es el apartado de accesos de la plantilla de política de seguridad. Y si un cliente te la pide en un cuestionario de seguridad, esta página, fechada y aprobada por la dirección, es la respuesta.
¿Cuántos caracteres debe tener una contraseña de empresa?
Según la guía SP 800-63B-4 del NIST, de julio de 2025, al menos 15 si la contraseña es lo único que protege la cuenta y al menos 8 si va acompañada de un segundo factor. Los sistemas deberían aceptar como mínimo 64 caracteres y el espacio, para que quepa una frase entera.
15
caracteres como mínimo para una contraseña que se usa como único factor, según el apartado 3.1.1.2 de NIST SP 800-63B-4 (julio de 2025). Si la cuenta tiene doble factor, el mínimo baja a 8.
El NIST es el instituto de normalización de Estados Unidos, y su guía obliga a la Administración federal de ese país, no a una pyme española. Para ti es una referencia técnica, pública y gratuita, y la versión de 2025 es clara: la longitud es un factor principal de la fuerza de una contraseña (apéndice A.2), y una frase de varias palabras suele ser una forma eficaz de alargarla.
¿Hay que obligar a cambiar las contraseñas cada cierto tiempo?
No. El apartado 3.1.1.2 de NIST SP 800-63B-4 dice que no se debe exigir el cambio periódico y que sí hay que forzarlo cuando hay indicios de que la contraseña está comprometida. En una pyme, esos indicios son una filtración, un correo trampa respondido, un equipo infectado o alguien que la conocía y se va.
| Situación | ¿Cambio obligatorio? | Qué más hacer |
|---|---|---|
| Han pasado tres meses y no ha pasado nada | No | Nada: la caducidad por calendario no se exige |
| La contraseña aparece en una filtración | Sí, donde se usaba y donde se repetía | Revisar las sesiones abiertas y las reglas de reenvío del correo |
| Alguien la escribió en una página de un correo trampa | Sí, en el momento | Revisar los accesos de las últimas horas |
| El antivirus encontró un programa espía en el equipo | Sí, todas las que se usaban en ese equipo | Limpiar el equipo antes de cambiarlas desde él |
| Se va alguien que conocía una contraseña compartida | Sí, esa contraseña | Retirarle el acceso al gestor ese mismo día |
| Google avisa de una contraseña filtrada en Google Workspace | Sí: Google exige restablecerla antes de volver a entrar | Comprobar si la cuenta se llegó a usar |
NIST no da ninguna cifra de caducidad. Lo que sí exige el mismo apartado es comparar cada contraseña nueva con una lista de contraseñas comunes, de diccionario o ya filtradas, y rechazarla si aparece, explicando el motivo. Esa comprobación la hace el sistema, no la persona: es una de las cosas que conviene preguntar a quien te configura el correo o el programa de gestión.
¿Hay que exigir mayúsculas, números y símbolos en las contraseñas?
No como regla. NIST SP 800-63B-4 prohíbe imponer reglas de composición porque la gente responde de forma previsible: quien habría elegido «password» pone «Password1» y un símbolo al final, una variante que ya circula en las filtraciones. Funciona la longitud, y rechazar las contraseñas comunes o filtradas.
| Tema | La costumbre | NIST SP 800-63B-4 | Apartado |
|---|---|---|---|
| Longitud | 8 caracteres | 15 si va sola, 8 con doble factor; aceptar hasta 64 como mínimo | 3.1.1.2 |
| Composición | Mayúscula, número y símbolo obligatorios | No se pueden imponer reglas de composición | 3.1.1.1 y 3.1.1.2 |
| Caducidad | Cambio por calendario | No exigirla; forzar el cambio si hay prueba de compromiso | 3.1.1.2 |
| Lista de bloqueo | No se comprueba | Comparar con contraseñas comunes, de diccionario y filtradas | 3.1.1.2 |
| Pistas y preguntas | «¿Nombre de tu primera mascota?» | Prohibidas | 3.1.1.2 |
| Gestores y pegar | Pegar bloqueado en el formulario | Permitir gestores y autocompletado; conviene permitir pegar | 3.1.1.2 |
El ejemplo de «Password1» es del apéndice A de la guía, que añade que el beneficio de las reglas de composición es menor de lo que se pensaba, y su efecto sobre la facilidad de uso y la memoria, grave. Estas reglas son para quien construye o configura el sistema que pide la contraseña: tu proveedor de correo, tu programa de gestión, tu web. Para tu equipo, la traducción es más corta: frases largas, una por servicio, guardadas en el gestor.
¿Qué es un gestor de contraseñas y qué debe tener uno de empresa?
Es un programa que guarda cifradas todas las contraseñas, genera una distinta para cada servicio y las rellena por ti; tú solo recuerdas una clave maestra, protegida con doble factor. Uno de empresa añade carpetas compartidas por equipos, control de quién ve cada contraseña y la retirada del acceso en un paso.
INCIBE lo define como «una herramienta que facilita el almacenamiento seguro y la organización de las contraseñas» y enumera las funciones que debe tener (INCIBE, 17-09-2024). NIST va más lejos: los sistemas tienen que permitir los gestores y el autocompletado, porque se ha demostrado que los gestores, sobre todo con generador, hacen más probable que se elijan contraseñas fuertes (apartado 3.1.1.2).
| Función | Para qué sirve en una pyme |
|---|---|
| Almacenamiento cifrado | Que la caja de contraseñas no se pueda leer sin la clave maestra |
| Generador de contraseñas | Una distinta y larga para cada servicio, sin pensarla |
| Doble factor para entrar | Que la clave maestra sola no abra la caja |
| Contraseñas de equipo | Compartir una contraseña con un grupo sin mandarla por correo, y retirarla después |
| Autocompletado | Menos tecleo y ninguna copia en papel |
| Sincronización | Las mismas contraseñas en el ordenador y en el móvil |
| Alertas de seguridad | Aviso cuando el gestor detecta un problema |
¿Gestor de contraseñas en la nube o instalado en tu propio servidor?
En la nube, el proveedor guarda la caja cifrada, la mantiene y la sincroniza entre móvil y ordenador; tú no administras nada. En tu servidor, el control es tuyo y el trabajo también: actualizaciones, copias y acceso desde fuera de la oficina. La pregunta útil no es cuál suena más seguro: es quién lo mantiene.
| Situación | En la nube | En tu servidor |
|---|---|---|
| Quién lo actualiza | El proveedor | Tu informático, cada vez que salga un parche |
| Acceso desde el móvil y fuera de la oficina | Incluido | Hay que publicarlo en internet o entrar por VPN |
| Copias de la caja | Las hace el proveedor | Las haces tú, y pruebas que se restauran |
| Si la oficina se queda sin conexión | Sigue accesible desde cualquier otra conexión | Nadie de fuera puede entrar |
| Para quién encaja | Pyme sin informático en plantilla | Empresa con equipo de sistemas que lo pueda mantener |
En los dos casos, pregunta si la caja va cifrada con una clave que el proveedor no conoce. Y si eliges servidor propio, la caja entra en tus copias de seguridad como cualquier otro sistema del que dependa la empresa.
¿Por qué no basta con guardar las contraseñas en el navegador?
Porque el navegador guarda las contraseñas de una persona en su cuenta o en su equipo, y una empresa necesita compartir algunas con control y retirarlas cuando alguien se va. Tampoco deja un registro de quién tiene cada contraseña. Para lo personal puede servir; para las cuentas de la empresa, mejor un gestor de empresa.
| Tarea | Navegador | Gestor de empresa |
|---|---|---|
| Compartir una contraseña con un compañero | Mandarla por otro canal | Carpeta compartida con permiso |
| Quitar el acceso a quien se va | Depende de su cuenta personal | Un paso, desde la administración |
| Saber quién tiene cada contraseña | No | Sí |
| Separar lo personal de lo de la empresa | Todo en la misma cuenta | Caja de la empresa aparte |
Hay un segundo motivo. Google cita los virus entre las causas comunes del robo de contraseñas: un programa malicioso en el equipo puede llevarse lo que encuentre guardado. La defensa está en el equipo, con un antivirus gestionado que vigile lo que hacen los programas, y en el doble factor, que deja sin uso la contraseña robada.
¿Cómo se implanta un gestor de contraseñas en una pyme?
En cuatro pasos: elegir un gestor de empresa con carpetas por equipos; proteger su administración con una clave maestra larga y doble factor; migrar poco a poco, empezando por correo, banca y programas de gestión; y retirar el acceso el mismo día que alguien se va, cambiando las contraseñas compartidas que conocía.
- Elige un gestor de empresa, con carpetas por equipos y control de quién ve qué. Dos personas con permiso de administración, no una.
- Protege la clave maestra: una frase larga que no se use en ningún otro sitio, y doble factor para entrar.
- Migra poco a poco: primero correo, banca y programas de gestión; después el resto. Cada contraseña que entra en el gestor, se cambia por una generada.
- Retira los accesos al salir: el último día de quien se va, en un paso, y cambia las compartidas que conocía.
¿Tenía acceso al gestor de contraseñas?
- Sí
- Retíraselo el último día, desde la administración del gestor.
- No
- Sigue al paso 2.
¿Conocía contraseñas compartidas de la empresa?
- Sí
- Cámbialas ese mismo día.
- No
- Sigue al paso 3.
¿Tenía cuentas a su nombre en servicios de la empresa?
- Sí
- Pásalas a otra persona o ciérralas.
- No
- Sigue al paso 4.
Anota la baja en el registro de accesos, con fecha y quién la hizo.
El resto de la salida está en la checklist de baja de un empleado. Y el segundo factor, método a método, en la guía del doble factor.
Lo que esta guía no cubre
- Qué gestor de contraseñas comprar: no recomendamos marcas.
- Cómo se configura la política de contraseñas en Microsoft 365 o en Google Workspace: lo cuentan sus guías de seguridad.
- Las contraseñas de máquinas y dispositivos que vienen con una contraseña fija de fábrica.
Preguntas frecuentes
¿No es peligroso tener todas las contraseñas en un mismo sitio?
Es menos peligroso que la alternativa real, que es repetirlas o apuntarlas. La caja del gestor va cifrada y se abre con una clave maestra y un segundo factor. NIST exige a los sistemas que permitan los gestores precisamente porque hacen más probable que se usen contraseñas fuertes.
¿Qué hago si una contraseña de la empresa aparece en una filtración?
Cámbiala en el servicio donde se usaba y en cualquier otro donde se repitiera, revisa las sesiones abiertas y comprueba que la cuenta tiene doble factor. NIST pide forzar el cambio cuando hay prueba de compromiso. El paso a paso, en qué hacer si un correo de la empresa está filtrado.
¿Se pueden compartir contraseñas con el equipo?
Solo las de cuentas que no pueden ser personales, y siempre desde una carpeta compartida del gestor, nunca por correo o chat. Lo mejor es que cada persona tenga su propia cuenta: así se le retira el acceso sin cambiar nada a nadie más.
¿Basta con una contraseña de 15 caracteres sin doble factor?
NIST la acepta como único factor, pero su propio apéndice A recuerda que los correos trampa y los programas que registran lo que tecleas funcionan igual contra una contraseña larga. En el correo y en las cuentas de administrador, el doble factor no es opcional.
Fuentes
- NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management (julio de 2025), apartados 3.1.1.1 y 3.1.1.2 y apéndice A, consultado el
- INCIBE, «Gestores de contraseñas: qué son y cómo pueden mejorar la seguridad de las empresas» (17-09-2024), consultado el
- Ayuda de Google Workspace para administradores, «Ver detalles de alerta»: contraseña filtrada, consultado el
Registro de cambios
- : Publicación.
- : Los encabezados pasan a ser preguntas.
- : Reescrita entera: la política, con las reglas de NIST SP 800-63B-4 (julio de 2025) y sus apartados; cuándo cambiar una contraseña; qué pedirle a un gestor, con la lista de INCIBE; nube o servidor propio, y la salida de un empleado.
