¿Cada cuánto hay que cambiar las contraseñas? Qué recomiendan hoy los expertos

Cambiar las contraseñas de las redes sociales, el correo electrónico y las cuentas bancarias cada cierto tiempo fue durante años una de las recomendaciones más difundidas para proteger la información personal. Sin embargo, las pautas actuales de organismos especializados en seguridad digital ponen el foco en otros factores y advierten que renovar las claves por calendario no garantiza una mayor protección.

El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) establece en sus directrices de identidad digital que no deberían exigirse cambios periódicos de contraseña, salvo que existan indicios de que la credencial fue comprometida. La agencia estadounidense de ciberseguridad CISA también desaconseja las renovaciones rutinarias porque pueden llevar a los usuarios a crear variantes predecibles de una misma clave.

Por eso, no existe un plazo universal de 30, 60 o 90 días que sea adecuado para todas las cuentas. La decisión depende de la seguridad de la contraseña, del tipo de información protegida y, especialmente, de si existen señales de que alguien pudo acceder a ella.

Cuándo sí conviene cambiar una contraseña

Hay situaciones en las que cambiar la clave de inmediato es una medida necesaria para reducir el riesgo de accesos no autorizados.

• Si hubo una filtración de datos: cuando una plataforma informa que las contraseñas de sus usuarios pudieron quedar expuestas, es importante reemplazar la clave afectada.
• Si aparece un acceso desconocido: las notificaciones de inicio de sesión desde dispositivos o ubicaciones no reconocidas pueden indicar que alguien está intentando ingresar a la cuenta.
• Si se ingresó la clave en una página falsa: ante un posible caso de phishing, conviene cambiarla cuanto antes desde la aplicación o el sitio oficial.
• Si se utiliza la misma contraseña en varios servicios: cuando una de esas cuentas queda comprometida, las demás también están en riesgo. En ese caso, hay que crear claves diferentes para cada servicio.
• Si otra persona pudo conocerla: si se compartió una contraseña o se almacenó en un lugar inseguro, corresponde reemplazarla y revisar los accesos vinculados.

En estas situaciones no es necesario esperar a que se cumpla un período determinado. La prioridad es cortar el posible acceso de terceros y comprobar que la cuenta continúe bajo control de su titular.

Por qué cambiarla cada 90 días no siempre mejora la seguridad

Uno de los problemas de las renovaciones obligatorias es que algunas personas realizan modificaciones mínimas para recordar la nueva clave. Por ejemplo, agregan un número al final, cambian el año o sustituyen un carácter por otro.

Esos cambios pueden resultar fáciles de predecir y no necesariamente impiden que alguien adivine o descifre la contraseña.

El NIST y CISA recomiendan concentrar los esfuerzos en evitar contraseñas débiles o comprometidas, utilizar claves diferentes para cada cuenta y activar mecanismos adicionales de autenticación.

La nota publicada por Infobae también recoge recomendaciones atribuidas a ESET que plantean períodos orientativos en función de la composición de la contraseña. Sin embargo, esos plazos no deben interpretarse como una regla universal: las directrices del NIST y CISA no recomiendan cambiar las contraseñas de forma rutinaria cuando no hay señales de compromiso.

Cómo crear contraseñas más seguras

Una de las medidas más importantes consiste en utilizar una contraseña distinta para cada servicio. De esa manera, si se filtra la clave de una red social, no podrá utilizarse automáticamente para intentar ingresar al correo electrónico o a una cuenta bancaria.

También es recomendable priorizar claves largas, difíciles de adivinar y que no incluyan información personal evidente, como fechas de nacimiento, nombres de familiares o secuencias sencillas.

Para quienes tienen dificultades para recordar muchas contraseñas, un administrador de contraseñas permite generar claves únicas y almacenarlas de forma protegida. Así se evita la necesidad de repetir la misma combinación en distintos servicios.

Otra medida fundamental es activar la verificación en dos pasos, conocida como autenticación multifactor. Este sistema agrega una segunda comprobación al inicio de sesión y dificulta el acceso de terceros incluso si consiguieron conocer la contraseña.

Cuando el servicio lo permita, conviene utilizar métodos de autenticación resistentes a la suplantación, como llaves de seguridad o claves de acceso (passkeys).

Qué hacer con las contraseñas del correo y las redes sociales

El correo electrónico merece una atención especial porque suele utilizarse para recuperar el acceso a otras cuentas. Si un atacante consigue controlarlo, puede intentar restablecer contraseñas de redes sociales, servicios de almacenamiento y otras plataformas.

Por eso, conviene protegerlo con una contraseña exclusiva, activar la verificación en dos pasos y revisar periódicamente los dispositivos conectados.

En las redes sociales también es importante verificar las sesiones abiertas, cerrar las que no se reconozcan y comprobar que los datos de recuperación —como el correo alternativo y el número de teléfono— sigan siendo correctos.

En las aplicaciones bancarias, además de seguir las indicaciones de seguridad de la entidad, se debe prestar atención a las alertas de operaciones desconocidas y contactar al banco por sus canales oficiales ante cualquier actividad sospechosa.

En definitiva, la protección de las cuentas digitales no depende de cambiar todas las contraseñas cada determinada cantidad de días. La medida central es utilizar claves únicas y difíciles de adivinar, activar una segunda capa de seguridad y actuar rápidamente cuando existen indicios de una posible filtración.

Lectura rápida

¿Cada cuántos días hay que cambiar las contraseñas?

No existe un plazo universal. El NIST y CISA desaconsejan los cambios rutinarios por calendario y priorizan la renovación cuando hay indicios de que una contraseña fue comprometida.

¿Cuándo hay que cambiarla inmediatamente?

Cuando hubo una filtración, un acceso desconocido, un posible caso de phishing o cuando otra persona pudo conocer la clave.

¿Qué ocurre si uso la misma contraseña en varias cuentas?

Si una plataforma queda comprometida, otras cuentas que utilizan la misma clave también pueden quedar expuestas. Lo recomendable es usar una diferente para cada servicio.

¿Qué es la verificación en dos pasos?

Es una medida que agrega una segunda comprobación al iniciar sesión, por ejemplo mediante una aplicación autenticadora, una llave de seguridad u otro método disponible.

¿Cómo puedo administrar muchas contraseñas sin olvidarlas?

Un administrador de contraseñas permite generar claves únicas y almacenarlas de manera protegida, reduciendo la necesidad de repetirlas.

¿Qué cuenta conviene proteger especialmente?

El correo electrónico principal, porque suele utilizarse para recuperar el acceso a redes sociales y otros servicios. Debe tener una contraseña exclusiva y autenticación adicional.

LEER: Ramallo aprobó nuevas reglas para los camiones: habrá corredores obligatorios, permisos y multas