¿Qué es NIST SP 800-63B y por qué importa?
El NIST (National Institute of Standards and Technology) es el organismo de normalización de Estados Unidos. Su serie de publicaciones SP 800-63, las «Digital Identity Guidelines», define cómo deben verificar la identidad y autenticar a los usuarios los sistemas de la administración federal estadounidense. El volumen SP 800-63B se ocupa en concreto de la autenticación: contraseñas, segundos factores, gestión de sesiones.
Aunque formalmente solo obliga a agencias federales de EE. UU., en la práctica es una de las referencias más citadas del mundo para diseñar políticas de contraseñas. Muchas empresas, auditores y equipos de desarrollo de fuera de Estados Unidos, también en España, la toman como punto de partida.
En 2025 NIST publicó la versión final de la Revisión 4 (SP 800-63-4, con su volumen SP 800-63B-4), tras varios borradores públicos. Muchas de sus ideas sobre contraseñas ya aparecían en la revisión anterior de 2017, pero la nueva versión las endurece: lo que antes era una recomendación en varios casos pasa a ser una obligación.
¿Qué cambia exactamente en las reglas de contraseñas?
Estos son los puntos de la Revisión 4 que más afectan a las contraseñas que creas y a los formularios donde las escribes.
Longitud: 15 caracteres si la contraseña va sola
Los sistemas deben exigir un mínimo de 15 caracteres cuando la contraseña es el único factor de autenticación. Si la contraseña forma parte de una autenticación multifactor, el mínimo exigido baja a 8 caracteres. Además, los sistemas deberían permitir una longitud máxima de al menos 64 caracteres, de modo que nadie se vea obligado a recortar una frase de contraseña.
Adiós a las reglas de composición
Los sistemas no deben imponer reglas de composición, como obligar a incluir al menos una mayúscula, un número y un símbolo. La razón es práctica: esas reglas producen patrones previsibles (Contraseña1!) que los atacantes conocen de sobra, y no aumentan la seguridad tanto como la longitud.
Sin caducidad obligatoria
Los sistemas no deben exigir cambios periódicos de contraseña (el clásico «tu contraseña caduca cada 90 días»). Solo deben forzar el cambio cuando hay indicios de que la contraseña se ha comprometido, por ejemplo si aparece en una filtración. Los cambios obligatorios frecuentes empujan a la gente a hacer variaciones mínimas (Verano2025 → Otoño2025) que no aportan nada.
Comprobación contra listas de contraseñas comprometidas
Cuando creas o cambias una contraseña, el sistema debe compararla con una lista de bloqueo que incluya contraseñas que han aparecido en filtraciones, palabras de diccionario, contraseñas muy comunes y términos específicos del servicio (como su propio nombre). Si coincide, debe rechazarla y explicarte por qué. Es la misma idea que hay detrás de servicios como Have I Been Pwned, de Troy Hunt, y de nuestra lista de contraseñas más comunes.
Gestores de contraseñas y pegar, permitidos
Los sistemas deben permitir el uso de gestores de contraseñas y del autorrelleno, y deberían permitir pegar en el campo de contraseña. Bloquear el pegado, una práctica todavía frecuente en algunas webs, castiga precisamente a quien usa contraseñas largas y únicas.
Sin preguntas de seguridad ni pistas
Los sistemas no deben pedir preguntas de seguridad del tipo «¿cómo se llamaba tu primera mascota?» como forma de autenticación, ni permitir guardar pistas de la contraseña accesibles a cualquiera. Ambas son fáciles de adivinar o de investigar en redes sociales.
Todos los caracteres son bienvenidos
Los sistemas deberían aceptar todos los caracteres ASCII imprimibles y el espacio, así como caracteres Unicode (eñes, tildes, incluso emojis). Para que la comparación sea fiable, la norma indica normalizar el texto Unicode antes de procesarlo, de manera que una «ñ» introducida desde dos teclados distintos se considere la misma.
¿Qué significa todo esto para ti como usuario?
Si eres usuario, la buena noticia es que la norma da la razón a los hábitos que llevamos años recomendando:
- La longitud manda. Apunta a 15 caracteres o más en tus contraseñas importantes. Una frase de contraseña de varias palabras aleatorias llega a esa longitud sin esfuerzo.
- No necesitas símbolos raros para que una contraseña sea buena, aunque muchas webs seguirán exigiéndolos durante un tiempo. Si lo hacen, añádelos sin complicarte.
- No cambies contraseñas por calendario. Cámbialas cuando haya motivo: una filtración, un dispositivo perdido, una sospecha. Puedes comprobarlo con nuestra guía sobre cómo saber si tu contraseña fue filtrada.
- Usa un gestor. NIST lo da por hecho: los sistemas deben dejarte usarlo. Es la única forma realista de tener una contraseña única para cada servicio.
- Activa un segundo factor siempre que puedas. La norma reserva los requisitos más estrictos para cuando la contraseña va sola; con autenticación de dos factores, tu cuenta queda mucho mejor protegida.
Ten en cuenta que NIST no obliga a ninguna web española. Seguirás encontrando formularios con reglas de composición, límites máximos cortos o caducidades. La norma sirve como argumento de peso para pedir a tu empresa o a un servicio que actualice su política.
¿Qué deben hacer los desarrolladores al diseñar formularios?
Si diseñas o mantienes un sistema de inicio de sesión, la Revisión 4 es una lista de tareas bastante clara. Más allá de la interfaz, la norma también pide limitar los intentos fallidos y almacenar las contraseñas con un esquema de hash pensado para contraseñas, con sal, nunca en texto plano ni con cifrado reversible.
Checklist para formularios de contraseña
- Longitud mínima adecuada.15 caracteres si la contraseña es el único factor; al menos 8 si siempre va acompañada de un segundo factor.
- Máximo generoso.Permite al menos 64 caracteres y no trunques en silencio: verifica la contraseña completa.
- Sin reglas de composición.Elimina los requisitos de «una mayúscula, un número y un símbolo».
- Juego de caracteres amplio.Acepta ASCII imprimible, espacios y Unicode, con normalización antes de calcular el hash.
- Lista de bloqueo.Compara las nuevas contraseñas con contraseñas filtradas, comunes y específicas del servicio, y explica el motivo del rechazo.
- Compatibilidad con gestores.Usa los atributos
autocomplete="new-password"yautocomplete="current-password", y no bloquees el pegado. - Opción de mostrar la contraseña.Un botón para ver lo que se ha tecleado reduce errores, sobre todo en móvil.
- Sin caducidad periódica.Fuerza el cambio solo ante indicios de compromiso.
- Sin preguntas de seguridad ni pistas.Ofrece recuperación con métodos más sólidos.
- Limitación de intentos.Frena los ataques de fuerza bruta en línea sin bloquear de forma permanente a usuarios legítimos.
¿Y si mi organización sigue con la política antigua?
Es habitual que las políticas internas de muchas empresas sigan exigiendo caducidad cada pocos meses y reglas de composición heredadas de hace años. Si te toca revisarlas, la Revisión 4 te da argumentos concretos: cita el requisito, explica el problema que causa la regla antigua (contraseñas previsibles, notas pegadas en el monitor, más llamadas al soporte) y propone la alternativa que pide la norma. Cambiar caducidad por comprobación contra filtraciones suele ser el primer paso más fácil de defender.
¿Qué no ha cambiado?
La Revisión 4 no declara obsoletas las contraseñas. Las sigue considerando un autenticador válido, aunque insiste en que la autenticación multifactor y los métodos resistentes al phishing, como las passkeys basadas en los estándares de la FIDO Alliance, ofrecen más protección. Para los usuarios, la receta sigue siendo la misma: contraseñas largas y únicas, un gestor que las recuerde y un segundo factor en las cuentas importantes.