¿Con qué frecuencia deberías cambiar la contraseña? (Guía 2026)

Si tu departamento de informática o una vieja costumbre te dice que cambies cada contraseña cada 90 días, la respuesta moderna quizá te sorprenda: en la mayoría de las cuentas, no lo hagas. Las guías de seguridad han cambiado. Esta guía explica con qué frecuencia deberías cambiar de verdad una contraseña, por qué se descartó la rotación forzada y qué hacer en su lugar.

La respuesta breve

No cambies una contraseña fuerte y única según un calendario fijo. Cámbiala solo cuando haya un motivo real. Ese es el consenso actual de los organismos de seguridad, entre ellos NIST, que retiró el consejo de rotación rutinaria allá por 2017. Una contraseña fuerte que conservas, protegida con autenticación de doble factor, vale más que una serie de contraseñas débiles que te obligan a reinventar.

Por qué "cambiarla cada 90 días" es contraproducente

La vieja regla sonaba prudente, pero en la práctica empeoraba las cosas. Cuando se obliga a la gente a cambiar de contraseña a menudo, no inventa contraseñas nuevas y fuertes. Hace pequeños ajustes predecibles - Primavera2026! se convierte en Verano2026! - y reutiliza patrones entre cuentas. El resultado son contraseñas más débiles y fáciles de adivinar, y más reutilización, que es justo con lo que cuentan los atacantes.

Cuándo deberías cambiar de verdad una contraseña

La rotación debe activarse por eventos, no por el calendario. Cambia una contraseña enseguida si:

• El servicio anuncia una filtración de datos o encuentras tu cuenta en una.
• La contraseña es débil, reutilizada o compartida con alguien.
• Notas inicios de sesión que no reconoces o actividad en la cuenta.
• La escribiste en un sitio de phishing o en un dispositivo que no es de confianza.
• Se la enviaste alguna vez a alguien, incluso a ti, por chat o correo.

En cualquiera de esos casos, cámbiala de inmediato y activa la autenticación de doble factor.

Qué hacer en su lugar

Cambiar por rutina es la costumbre equivocada. Estas tres son las correctas:

1. Usa una contraseña única para cada cuenta. Un gestor de contraseñas genera y guarda contraseñas largas y aleatorias para que nunca reutilices ni olvides ninguna.
2. Activa la autenticación de doble factor. Bloquea por sí sola una contraseña robada, lo que importa mucho más que la frecuencia con la que la rotas.
3. Vigila las filtraciones. Así sabes con exactitud cuándo una contraseña concreta necesita cambiarse de verdad, en lugar de adivinar según un calendario.

Qué hace que una contraseña sea lo bastante fuerte para conservarla

Todo el consejo de "sin rotación rutinaria" se apoya en una condición: la contraseña tiene que ser fuerte y única de entrada. Una contraseña débil que conservas para siempre no es el objetivo. ¿Qué cuenta como fuerte?

• La longitud por encima de la complejidad. Las directrices del NIST (SP 800-63B) consideran la longitud el principal factor de robustez y piden a los servicios que permitan contraseñas largas -de al menos 64 caracteres- en lugar de imponer reglas raras de símbolos. Una cadena aleatoria de 16 caracteres o una frase de contraseña memorizable de cinco palabras aleatorias o más es mucho más difícil de descifrar que una contraseña corta rellena de ! y un número.
• Única para una sola cuenta. La reutilización convierte una sola filtración en muchas. Si una contraseña aparece solo en un sitio, una fuga ahí no desbloquea nada más que tengas.
• Nunca derivada de un patrón. Empresa2026, el nombre de tu mascota o una secuencia de teclado (qwerty123) son adivinables. Una contraseña generada al azar no tiene ningún patrón que atacar.

Acierta en esos tres puntos y la contraseña realmente no necesita un recordatorio de calendario. Para una guía completa, mira cómo crear una contraseña segura.

¿Y si mi empleador obliga a cambiarla cada 90 días?

Muchas empresas siguen imponiendo una rotación periódica, a menudo por una vieja lista de cumplimiento -aunque el NIST, Microsoft y el NCSC británico ya desaconsejan la expiración rutinaria-. Normalmente no puedes saltarte la política de la empresa, pero sí evitar que empeore tu seguridad:

• Usa tu gestor para generar una contraseña aleatoria totalmente nueva cada vez en vez de retocar la anterior. Eso rompe el patrón previsible Primavera → Verano que hace peligrosa la rotación forzada.
• Nunca reutilices una contraseña de trabajo retirada en una cuenta personal.
• Si influyes en la política, la posición moderna documentada es abandonar la expiración programada y cambiar solo ante pruebas de compromiso, junto con la autenticación multifactor y la monitorización de filtraciones.

La idea no es pelear con tu equipo de IT, sino asegurar que si tienes que rotar, cada nueva contraseña siga siendo fuerte y única en lugar de una variante reciclada. Y sigue comprobando si tus contraseñas se han filtrado para que un disparador real nunca pase desapercibido.

En resumen

La respuesta honesta y actual a "¿con qué frecuencia debería cambiar la contraseña?" es: no según un calendario, solo cuando ocurre algo. La rotación forzada tenía buenas intenciones, pero empujaba a la gente hacia contraseñas más débiles y repetidas. Cambia esa costumbre por contraseñas fuertes y únicas, un gestor que las guarde y autenticación de doble factor. Eso es lo que de verdad mantiene seguras las cuentas en 2026.