Contraseñas seguras: cómo crearlas según INCIBE y el NIST

La contraseña sigue siendo la llave de casi todo en una empresa: el correo, el banco, la gestoría en línea, la VPN y el propio cortafuegos. INCIBE lo resume en su política para pymes: es el factor de autenticación más usado, y por eso las contraseñas débiles o mal guardadas abren la puerta al uso no autorizado de los datos y servicios. Esta guía junta lo que dicen las dos referencias más útiles, la política de INCIBE de 2024 y la norma de autenticación del NIST, SP 800-63B, y señala dónde no están de acuerdo.

Cómo es una contraseña segura

En lo esencial, las dos fuentes coinciden: larga, única y difícil de adivinar.

INCIBE añade dos detalles prácticos: las contraseñas más fuertes, para los servicios más críticos, y las frases de contraseña (varias palabras seguidas) valen, pero con las mismas reglas.

Donde INCIBE y el NIST no coinciden

Hay dos diferencias, y conviene conocerlas porque se repiten mucho:

• Mezclar tipos de caracteres. INCIBE lo pide. El NIST lo prohíbe como obligación, porque prefiere que la seguridad venga de la longitud y de rechazar las contraseñas que ya circulan en listas de filtraciones.
• Cambiarlas cada cierto tiempo. INCIBE pide cambiarlas periódicamente para garantizar su confidencialidad. El NIST prohíbe exigir cambios arbitrarios y solo obliga a cambiarlas cuando hay pruebas de que se han comprometido, o cuando lo pide el usuario.

Esto es criterio de esta web: para una empresa pequeña, las dos posturas se pueden casar. Si se usa un gestor que genera contraseñas largas y al azar, cumplir la mezcla de caracteres de INCIBE no cuesta nada. Y el cambio que de verdad importa es el inmediato, cuando un servicio avisa de una filtración o alguien deja la empresa. Una política que obliga a cambiar cada mes suele acabar en contraseñas como «Empresa2026!», «Empresa2026!!» y así.

Gestores de contraseñas

Tener una contraseña distinta y larga en cada servicio solo es posible con ayuda. INCIBE explica que un gestor guarda todas las credenciales en una base de datos cifrada a la que se entra con una única contraseña maestra, que tiene que ser especialmente robusta. Para considerarlo seguro, debería tener al menos:

• almacenamiento cifrado;
• un generador de contraseñas aleatorias;
• doble factor para entrar en la bóveda;
• y, en la empresa, una forma segura de compartir contraseñas entre empleados.

En su política, INCIBE aconseja elegir un gestor cuyo control quede bajo la supervisión de la empresa. El NIST, por su parte, recuerda que los gestores aumentan la probabilidad de elegir contraseñas más fuertes, sobre todo si generan las contraseñas, y obliga a los servicios a permitirlos. INCIBE desaconseja, en cambio, que el navegador recuerde las contraseñas, porque puede facilitar el acceso a quien no debe.

Por qué no basta con la contraseña

INCIBE repasa cómo se roban las contraseñas, y casi ninguna forma depende de lo fuerte que sea:

• Ingeniería social: el phishing por correo, el smishing por SMS y el vishing por teléfono, que piden la contraseña en una web falsa, y mirar por encima del hombro mientras se teclea.
• Programas espía que registran lo que se escribe en el teclado.
• Relleno de credenciales: probar de forma automática en otros servicios las parejas de usuario y contraseña filtradas, aprovechando que mucha gente repite la misma.
• Fuerza bruta y diccionario: probar combinaciones o palabras del diccionario con un programa hasta acertar. Contra esto sí protege una contraseña larga y sin palabras sencillas.

Por eso INCIBE incluye en su política el doble factor de autenticación siempre que sea posible, y menciona las passkeys en las plataformas que las admiten. Con un segundo factor, una contraseña robada ya no basta para entrar.

La contraseña del router y del cortafuegos

INCIBE insiste en cambiar las contraseñas que traen de fábrica los equipos, y menciona expresamente los routers y los switches: son conocidas o se encuentran fácilmente en internet. La guía de seguridad de redes de la NSA va más allá: las contraseñas por defecto son un objetivo prioritario de los escáneres automáticos de las botnets, porque dan acceso con privilegios al aparato. Sus recomendaciones para los equipos de red son:

1. Quitar todas las contraseñas por defecto y poner una única y segura en cada nivel de acceso, antes de conectar el equipo a la red.
2. Eliminar o renombrar las cuentas que vienen de fábrica y no se usan, y dar de baja la cuenta de quien deja la empresa o cambia de puesto.
3. Guardar las contraseñas en la configuración con el algoritmo más seguro disponible, nunca en texto claro. Esto vale también para las claves de la VPN.

Esto es criterio de esta web: el cortafuegos es el equipo cuya contraseña más daño hace si cae, porque quien entra en él puede abrir cualquier puerta de la red. Conviene que tenga una contraseña larga y exclusiva guardada en el gestor, un segundo factor si el fabricante lo permite, la administración cerrada desde internet y una cuenta por persona en lugar de una compartida. Limitar los intentos fallidos seguidos, que el NIST exige y que la gestión de contraseñas de INCIBE incluye al fijar cuántos intentos se permiten, está en casi todos los cortafuegos y conviene comprobar que está activo, sobre todo en la VPN.

En resumen

1. Contraseñas largas: 14 caracteres o más, o una frase de varias palabras.
2. Una distinta en cada servicio, y nunca la del trabajo en casa.
3. Un gestor de contraseñas con una contraseña maestra muy robusta y doble factor.
4. Doble factor en todo lo que lo permita: correo, banca, VPN y administración del cortafuegos.
5. Cambiar ya las contraseñas de fábrica del router, el cortafuegos, los switches y las cámaras.
6. Cambiar una contraseña en cuanto haya sospecha de que se ha filtrado.