Por qué han cambiado las reglas
Durante años, las políticas obligaban a usar mayúsculas, números y símbolos y a cambiar la contraseña cada 90 días. El resultado eran contraseñas como Verano2026! → Otoño2026!: fáciles de adivinar y difíciles de recordar. Hoy los estándares apuestan por longitud, listas de contraseñas comprometidas y MFA.
Qué dice cada referencia
| Aspecto | NIST SP 800-63B (rev. 4) | PCI DSS v4.0.1 |
|---|---|---|
| Longitud mínima | 15 caracteres si la contraseña es el único factor; 8 si forma parte de un MFA | 12 caracteres (8 si el sistema no lo admite), req. 8.3.6 |
| Reglas de composición | No deben imponerse | Letras y números |
| Caducidad periódica | No debe exigirse; solo cambio ante indicios de compromiso | Cada 90 días si la contraseña es el único factor, o análisis dinámico del riesgo (8.3.9) |
| Listas de bloqueo | Obligatorio comprobar contra contraseñas comprometidas o comunes | No lo exige expresamente |
| Bloqueo por intentos | Limitación de intentos fallidos | Bloqueo tras un máximo de 10 intentos, durante al menos 30 min (8.3.4) |
| Reutilización | — | No repetir las 4 últimas (8.3.7) |
El Esquema Nacional de Seguridad (Real Decreto 311/2022) no fija un número mágico: la medida op.acc.6 pide mecanismos de autenticación proporcionales a la categoría del sistema, con refuerzos (como el doble factor) en los niveles más exigentes; las guías CCN-STIC detallan su aplicación.
Las directrices de NIST son una referencia de buenas prácticas en EE. UU., no una norma obligatoria en España. Úsalas para justificar tu política ante un auditor.
¿Y si NIST y PCI DSS no coinciden?
La clave es el MFA. PCI DSS solo exige la rotación cada 90 días cuando la contraseña es el único factor. Si todos los accesos al entorno de pago usan MFA (obligatorio por el req. 8.4.2), puedes aplicar la recomendación de NIST y eliminar las caducidades sin incumplir.
Nuestra política recomendada
- Mínimo 12 caracteres con MFA y 15 sin MFA; se admiten frases de contraseña de hasta 64 caracteres o más, con espacios.
- Sin reglas de composición forzadas y sin caducidad periódica, salvo sospecha de compromiso.
- Comprobación automática contra listas de contraseñas filtradas y del diccionario corporativo (nombre de la empresa, ciudad…).
- Gestor de contraseñas corporativo y permitir pegar contraseñas.
- MFA en todo el correo, VPN, cloud y paneles de administración; llaves FIDO2 o passkeys para administradores.
- Bloqueo o retardo progresivo tras intentos fallidos (máximo 10).
- Sin preguntas de seguridad («¿nombre de tu primera mascota?») para recuperar cuentas.
- Almacenamiento seguro: hash con sal mediante Argon2id, scrypt o bcrypt.
El siguiente paso: passkeys
Las passkeys (estándar FIDO2/WebAuthn) sustituyen la contraseña por un par de claves criptográficas guardado en el dispositivo y desbloqueado con biometría o PIN. Son resistentes al phishing porque están ligadas al dominio. Recomendamos empezar por las cuentas de administración y después ofrecerlas a los clientes.
Fuentes y lecturas recomendadas
Artículo divulgativo actualizado a octubre de 2026. La normativa cambia: comprueba siempre la versión vigente en las fuentes oficiales. No constituye asesoramiento jurídico.