Ayuda técnica
¿Cuánto debe medir una contraseña en 2026?
NIST ahora exige 15 caracteres para una contraseña de un solo factor. CISA recomienda 16 o más, aleatorias y únicas. Mira qué longitud usar en 2026.
Para una contraseña que creas hoy importan la longitud, la aleatoriedad y la unicidad. NIST SP 800-63-4 exige que una contraseña de un solo factor tenga al menos 15 caracteres. Si se usa solo como parte de MFA, puede ser más corta, con un mínimo NIST de 8.
La guía para consumidores de CISA recomienda contraseñas de al menos 16 caracteres, aleatorias y únicas. Para uso personal práctico, una contraseña generada al azar de 16 caracteres o más es un buen punto de partida cuando el servicio lo permite.
Más largo puede ayudar, pero la longitud por sí sola no hace segura una contraseña predecible o reutilizada. 15 o 16 caracteres no son una garantía de seguridad.
Este artículo responde cuánto debe medir una contraseña en 2026. Usa las reglas actuales de verificadores de NIST SP 800-63-4 / SP 800-63B y el consejo público de CISA. No es una guía completa de ciberseguridad.
Entonces, ¿cuánto debe medir mi contraseña?
Si un password manager puede guardarla, genera una contraseña aleatoria y única de 16+ caracteres. Usa una cadena aleatoria más larga cuando el servicio lo permita. Si debes memorizarla, una passphrase larga suele ser más práctica que una cadena corta con sustituciones forzadas. 16 no es irrompible y 15 no es una garantía.
¿Qué exige NIST en 2026?
NIST SP 800-63-4 indica a los verificadores qué exigir, no un eslogan personal. Una contraseña de un solo factor debe tener al menos 15 caracteres. Si se usa solo como parte de MFA, puede ser más corta, pero el mínimo sigue siendo 8. Los verificadores SHOULD aceptar al menos 64 caracteres. SHALL NOT exigir una mezcla forzada de tipos de caracteres ni cambios periódicos sin evidencia de compromiso. Deben bloquearse las contraseñas comunes o filtradas.
¿Qué recomienda CISA?
La guía Secure Our World de CISA es más simple para las personas: haz contraseñas largas (al menos 16 caracteres), aleatorias y únicas, y usa un password manager. Eso no contradice a NIST. La cifra de 15 caracteres de NIST es un requisito de verificador para un solo factor. La cifra de 16+ de CISA es una recomendación pública práctica.
8 vs 12 vs 16 caracteres: ¿de verdad importa la longitud?
La longitud importa, pero los «tiempos de crackeo» publicados no. Esos tiempos cambian con el hardware, el hash, la aleatoriedad, el modelo de ataque y cómo se almacena la contraseña.
| Longitud | Vista práctica |
|---|---|
| 8 | Demasiado corta como recomendación general para una nueva contraseña de un solo factor. NIST permite 8 solo como mínimo cuando la contraseña se usa únicamente como parte de MFA. |
| 12 | Mejor que las contraseñas heredadas cortas, pero por debajo del mínimo actual de un solo factor de NIST, que es 15. |
| 15 | Mínimo actual de NIST para verificadores en un solo factor. |
| 16+ | Coincide con la recomendación pública simple de CISA y es un punto de partida razonable para contraseñas generadas. |
¿La longitud importa más que la complejidad?
La guía actual prefiere suficiente longitud y una buena selección por encima de reglas de composición predecibles. Un patrón como una palabra común más «1!» puede seguir siendo adivinable aunque mezcle tipos. Los caracteres especiales no son inútiles: en una contraseña generada al azar, un conjunto más amplio puede sumar combinaciones. El núcleo es aleatoriedad, longitud y unicidad.
Una contraseña larga igual puede ser débil
Un valor largo puede seguir siendo débil si es predecible, una frase común, reutilizado o basado en información personal. Repetir el mismo carácter muchas veces es largo, no fuerte. No reutilices una frase que todo el mundo ya conoce.
Por qué cada cuenta debería tener una contraseña distinta
Si un servicio filtra una contraseña y la reutilizaste, otras cuentas que la comparten quedan en riesgo. Cada cuenta necesita la suya. Probar pares filtrados en otros sitios (credential stuffing) es habitual. Las contraseñas únicas limitan ese daño.
¿Deberías usar un password manager?
NIST pide a los verificadores que permitan password managers y el autocompletado. CISA también recomienda un manager. No tienes que memorizar una contraseña aleatoria única para cada sitio. Este artículo no recomienda un producto concreto.
¿Password o passphrase?
Si un manager guarda el valor, una contraseña aleatoria generada es cómoda. Si debes recordarla, una passphrase larga de varias palabras puede ser más práctica. Evita citas famosas, letras de canciones, frases comunes y datos personales. Esto es una nota breve, no una guía completa de passphrase.
¿Las contraseñas necesitan mayúsculas, números y símbolos?
NIST dice que los verificadores SHALL NOT exigir una mezcla de tipos de caracteres. Un sitio que obliga a una mayúscula, un número y un símbolo no sigue esa dirección. Un generador aleatorio puede usar un conjunto amplio, y eso está bien. Los símbolos no debilitan las contraseñas.
¿Deberías cambiar las contraseñas cada 90 días?
NIST dice que los verificadores SHALL NOT exigir cambios periódicos arbitrarios salvo que haya evidencia de compromiso. Cambia la contraseña si se filtró, si la cuenta fue comprometida o si el servicio te lo pide. Eso no es «nunca cambies las contraseñas».
¿MFA hace que la longitud deje de importar?
No. MFA añade protección. No hace opcional la higiene de contraseñas. NIST puede permitir un mínimo de 8 caracteres cuando la contraseña se usa solo como parte de MFA. Eso no es una recomendación general de usar contraseñas de 8 caracteres.
Lo que la longitud no puede detener
Una contraseña muy larga no detiene todos los ataques. La longitud sola no detiene el phishing, el malware o el keylogging, la ingeniería social ni un dispositivo comprometido. MFA, las actualizaciones de software y la conciencia ante el phishing siguen importando. Este artículo se centra en la longitud de la contraseña.
Una contraseña fuerte es larga, aleatoria y única. Usa un password manager cuando puedas y activa MFA cuando esté disponible.
Una guía simple para decidir la longitud
¿Necesitas una contraseña de cuenta nueva? Si un password manager puede guardarla, genera una contraseña aleatoria única: 16+ caracteres es un inicio práctico, más larga si se admite. Si debes memorizarla, usa una passphrase larga y única y evita frases comunes. Luego activa MFA cuando esté disponible.
- ¿Necesitas una contraseña de cuenta nueva?
- ¿Puede un password manager guardarla?
- Sí → contraseña aleatoria única, 16+ (más larga si se permite)
- No → passphrase larga y única; evita frases comunes
- Activa MFA cuando esté disponible
Genera una contraseña larga y aleatoria en tu navegador
NEXNARA Generador de contraseñas puede crear una contraseña, una passphrase o un PIN. Este artículo trata de contraseñas de cuenta, no de PIN de dispositivo. Un PIN es un secreto distinto y más corto, y no es la misma recomendación.
Modo contraseña: longitud 4–128, 16 por defecto. Elige clases de caracteres, excluye caracteres ambiguos o excluye caracteres personalizados. Genera 1, 5, 10 o 20 valores y luego copia o descarga un archivo TXT.
El modo passphrase usa la lista grande de palabras en inglés de EFF (7776 palabras): 3–8 palabras, 5 por defecto, con separador, mayúsculas y un número opcional.
La generación usa el generador de números aleatorios criptográficamente seguro del navegador (crypto.getRandomValues), con muestreo por rechazo de 32 bits y un barajado seguro. No se usa Math.random. La entropía mostrada es una estimación a partir del conjunto de caracteres y la longitud (o el tamaño de la lista y el número de palabras), no una medición de contraseñas humanas ni una promesa de que no se puedan adivinar.
La generación ocurre en tu navegador. Los valores no se envían a un servidor de NEXNARA para esta herramienta. Los anuncios y otras funciones del sitio siguen usando la red.
¿Necesitas una contraseña aleatoria de 16 caracteres para empezar? Abre Generador de contraseñas y genera una que vas a guardar, no a reutilizar.
FAQ
¿Cuánto debe medir una contraseña en 2026?
NIST exige al menos 15 caracteres para una contraseña de un solo factor. CISA recomienda al menos 16 que sean aleatorias y únicas. 16+ caracteres generados son un inicio práctico sólido cuando el servicio lo permite. Eso no es una garantía.
¿Basta una contraseña de 12 caracteres?
Es mejor que una contraseña heredada corta, pero está por debajo del mínimo actual de 15 caracteres de un solo factor de NIST. Prefiere 16+ cuando puedas.
¿Es segura una contraseña de 16 caracteres?
16 caracteres aleatorios y únicos son un inicio razonable. No es automáticamente segura. Valores de 16 caracteres predecibles o reutilizados siguen siendo débiles.
¿Las contraseñas más largas son siempre mejores?
Las contraseñas más largas, aleatorias y únicas suelen sumar combinaciones. Un valor más largo pero predecible o reutilizado no es automáticamente mejor.
¿Necesito números y caracteres especiales en mi contraseña?
NIST indica a los servicios que no exijan una mezcla forzada. Un generador aleatorio igual puede incluirlos. Los símbolos no son obligatorios para que sea «fuerte» y no son inútiles.
¿Debo cambiar mi contraseña cada 90 días?
NIST dice que no se exijan cambios periódicos arbitrarios sin evidencia de compromiso. Cámbiala tras una filtración, un compromiso o un aviso del servicio, no por un calendario vacío de 90 días.