Tech Help
Quina longitud hauria de tenir una contrasenya el 2026?
NIST ara exigeix 15 caràcters per a una contrasenya d’un sol factor. CISA recomana 16 o més aleatòries i úniques. Vegeu quina longitud cal el 2026.
Per a una contrasenya que creeu avui, importen la longitud, l’aleatorietat i la unicitat. NIST SP 800-63-4 exigeix que una contrasenya d’un sol factor tingui com a mínim 15 caràcters. Si només es fa servir com a part de l’MFA, pot ser més curta, amb un mínim NIST de 8.
La guia per a consumidors de CISA recomana contrasenyes d’almenys 16 caràcters, aleatòries i úniques. Una contrasenya aleatòria de 16 o més caràcters és un bon punt de partida si el servei ho permet.
Més llarg pot ajudar, però la longitud sola no fa segura una contrasenya previsible o reutilitzada. 15 o 16 caràcters no són cap garantia de seguretat.
Aquest article respon quina longitud hauria de tenir una contrasenya el 2026. Es basa en les regles actuals de verificadors de NIST SP 800-63-4 / SP 800-63B i en el consell públic de CISA. No és una guia completa de ciberseguretat.
Doncs quina longitud hauria de tenir la meva contrasenya?
Si un gestor de contrasenyes la pot desar, genereu una contrasenya aleatòria única de 16 o més caràcters. Feu servir una cadena aleatòria més llarga si el servei ho accepta. Si l’heu de memoritzar, una frase de contrasenya llarga sol ser més pràctica que una cadena curta amb substitucions forçades. 16 no és inviolable, i 15 no és una garantia.
Què exigeix NIST el 2026?
NIST SP 800-63-4 diu als verificadors què han d’exigir, no un eslògan personal. Una contrasenya d’un sol factor ha de tenir com a mínim 15 caràcters. Si només es fa servir com a part de l’MFA, pot ser més curta, però el mínim continua sent 8. Els verificadors SHOULD acceptar almenys 64 caràcters. SHALL NOT exigir una barreja forçada de tipus de caràcters, i SHALL NOT forçar canvis periòdics sense evidència de compromís. Cal bloquejar les contrasenyes habituals o filtrades.
Què recomana CISA?
La guia Secure Our World de CISA és més simple: almenys 16 caràcters, aleatòria i única, més un gestor de contrasenyes. Això no contradiu NIST. 15 és un requisit del verificador per a un sol factor; 16+ és la recomanació pública de CISA.
8, 12 o 16 caràcters: la longitud importa de veritat?
La longitud importa, però els «temps de trencament» publicats no. Aquests temps canvien amb el maquinari, el hash, l’aleatorietat, el model d’atac i com es desa la contrasenya.
| Longitud | Visió pràctica |
|---|---|
| 8 | Massa curta com a recomanació general per a una contrasenya nova d’un sol factor. NIST només permet 8 com a mínim quan la contrasenya es fa servir només com a part de l’MFA. |
| 12 | Millor que les contrasenyes curtes antigues, però per sota del mínim actual de 15 de NIST per a un sol factor. |
| 15 | Mínim actual de NIST per a un sol factor que han d’aplicar els verificadors. |
| 16+ | Coincideix amb la recomanació pública simple de CISA i és un punt de partida raonable per a contrasenyes generades. |
La longitud importa més que la complexitat?
La guia actual prefereix prou longitud i una bona selecció abans que regles de composició previsibles. Un patró com una paraula habitual més «1!» pot continuar sent endevinable fins i tot amb tipus barrejats. Els símbols no són inútils: en una contrasenya aleatòria, un conjunt més gran pot afegir combinacions. El nucli és aleatorietat, longitud i unicitat.
Una contrasenya llarga encara pot ser feble
Un valor llarg pot ser feble si és previsible, una frase habitual, reutilitzat o basat en informació personal. Repetir el mateix caràcter moltes vegades és llarg, no fort. No reutilitzeu una frase que tothom ja coneix.
Per què cada compte ha de tenir una contrasenya diferent
Si un servei filtra una contrasenya i l’heu reutilitzada, els altres comptes que la comparteixen queden en risc. Cada compte necessita la seva. Provar parelles filtrades en altres llocs (credential stuffing) és habitual. Les contrasenyes úniques limiten aquest dany.
Cal fer servir un gestor de contrasenyes?
NIST demana als verificadors que permetin gestors de contrasenyes i l’emplenament automàtic. CISA també recomana un gestor. No cal memoritzar una contrasenya aleatòria única per a cada lloc. Aquest article no recomana cap producte concret.
Contrasenya o frase de contrasenya?
Si un gestor desa el valor, una contrasenya aleatòria generada és còmoda. Si l’heu de recordar, una frase de contrasenya llarga de diverses paraules pot ser més pràctica. Eviteu cites famoses, lletres de cançons, frases habituals i dades personals. Això és una nota breu, no una guia completa de frases de contrasenya.
Calen majúscules, números i símbols?
NIST diu que els verificadors SHALL NOT exigir una barreja de tipus de caràcters. Un lloc que força una majúscula, un número i un símbol va a contracorrent. Un generador aleatori pot fer servir un conjunt ample, i això està bé. Els símbols no afebleixen les contrasenyes.
Cal canviar les contrasenyes cada 90 dies?
NIST diu que els verificadors SHALL NOT exigir canvis periòdics arbitraris si no hi ha evidència de compromís. Canvieu-la si s’ha filtrat, el compte s’ha compromès o el servei us ho demana. Això no vol dir «no canvieu mai les contrasenyes».
L’MFA fa que la longitud deixi de importar?
No. L’MFA afegeix protecció. No fa opcional la higiene de les contrasenyes. NIST pot permetre un mínim de 8 caràcters quan la contrasenya només es fa servir com a part de l’MFA. Això no és una recomanació general d’usar contrasenyes de 8 caràcters.
Què no pot aturar la longitud
Una contrasenya molt llarga no atura tots els atacs. La longitud sola no atura el phishing, el programari maliciós o el keylogging, l’enginyeria social ni un dispositiu compromès. L’MFA, les actualitzacions i la consciència del phishing encara importen. Aquest article es queda en la longitud de la contrasenya.
Una contrasenya forta és llarga, aleatòria i única. Feu servir un gestor de contrasenyes quan pugueu, i activeu l’MFA quan sigui disponible.
Una guia simple per decidir la longitud
Us cal una contrasenya nova de compte? Si un gestor la pot desar, genereu-ne una d’aleatòria i única: 16 o més caràcters és un inici pràctic, més llarga si es pot. Si l’heu de memoritzar, feu servir una frase de contrasenya llarga i única i eviteu frases habituals. Després activeu l’MFA si n’hi ha.
- Us cal una contrasenya nova de compte?
- Un gestor de contrasenyes la pot desar?
- Sí → contrasenya aleatòria única, 16+ (més llarga si es pot)
- No → frase de contrasenya llarga i única; eviteu frases habituals
- Activeu l’MFA quan sigui disponible
Genereu una contrasenya llarga i aleatòria al navegador
NEXNARA Generador de contrasenyes pot crear una contrasenya, una frase de contrasenya o un PIN. Aquest article parla de contrasenyes de compte. Un PIN és un secret més curt i diferent, no la mateixa recomanació.
Mode contrasenya: longitud 4–128, per defecte 16. Trieu classes de caràcters, excloeu els ambigus o excloeu caràcters personalitzats. Genereu 1, 5, 10 o 20 valors, i copieu-los o baixeu un fitxer TXT.
El mode frase de contrasenya fa servir la llista gran de paraules angleses de l’EFF (7776 paraules): de 3 a 8 paraules, 5 per defecte, amb separador, majúscules i un número opcional.
La generació fa servir el generador aleatori criptogràficament segur del navegador (crypto.getRandomValues), amb mostreig per rebuig de 32 bits i una barreja segura. No es fa servir Math.random. L’entropia mostrada és una estimació a partir del conjunt de caràcters i la longitud (o la mida de la llista i el nombre de paraules), no una mesura de contrasenya humana ni una promesa que no es pugui endevinar.
La generació en si passa al navegador. Els valors no s’envien a un servidor de NEXNARA per a aquesta eina. Els anuncis i altres funcions del lloc encara fan servir la xarxa.
Us cal una contrasenya aleatòria de 16 caràcters per començar? Obriu Generador de contrasenyes i genereu-ne una que desareu, no que reutilitzareu.
FAQ
Quina longitud hauria de tenir una contrasenya el 2026?
NIST exigeix almenys 15 caràcters per a una contrasenya d’un sol factor. CISA recomana almenys 16 aleatòries i úniques. 16 o més caràcters generats són un inici pràctic fort si el servei ho permet. Això no és una garantia.
N’hi ha prou amb una contrasenya de 12 caràcters?
És millor que una contrasenya curta antiga, però queda per sota del mínim actual de 15 caràcters de NIST per a un sol factor. Preferiu 16+ quan pugueu.
Una contrasenya de 16 caràcters és segura?
16 caràcters aleatoris i únics són un inici raonable. No és segura automàticament. Valors de 16 caràcters previsibles o reutilitzats continuen sent febles.
Les contrasenyes més llargues sempre són millors?
Les més llargues, aleatòries i úniques solen afegir combinacions. Un valor més llarg però previsible o reutilitzat no és automàticament millor.
Cal incloure números i caràcters especials?
NIST diu als serveis que no exigeixin una barreja forçada. Un generador aleatori encara els pot incloure. Els símbols no calen per ser «forts», i tampoc no són inútils.
Hauria de canviar la contrasenya cada 90 dies?
NIST diu que no s’exigeixin canvis periòdics arbitraris sense evidència de compromís. Canvieu-la després d’una filtració, un compromís o un avís del servei, no per un calendari buit de 90 dies.