Tech Help
Que lonxitude debe ter un contrasinal en 2026?
NIST agora esixe 15 caracteres para un contrasinal dun só factor. CISA recomenda 16 ou máis aleatorios e únicos. Vexa que lonxitude usar en 2026.
Para un contrasinal que cree hoxe, importan a lonxitude, a aleatoriedade e a unicidade. NIST SP 800-63-4 esixe que un contrasinal dun só factor teña polo menos 15 caracteres. Se só se usa como parte da MFA, pode ser máis curto, cun mínimo NIST de 8.
A guía para consumidores de CISA recomenda contrasinais de polo menos 16 caracteres, aleatorios e únicos. Un contrasinal xerado ao chou de 16 ou máis caracteres é un bo punto de partida cando o servizo o permite.
Máis longo pode axudar, mais a lonxitude soa non fai seguro un contrasinal previsible ou reutilizado. 15 ou 16 caracteres non son unha garantía de seguridade.
Este artigo responde que lonxitude debe ter un contrasinal en 2026. Usa as regras actuais de verificadores de NIST SP 800-63-4 / SP 800-63B e o consello público de CISA. Non é unha guía completa de ciberseguridade.
Entón, que lonxitude debe ter o meu contrasinal?
Se un xestor de contrasinais o pode gardar, xere un contrasinal aleatorio único de 16 ou máis caracteres. Use unha cadea aleatoria máis longa cando o servizo o permita. Se ten que memorizalo, unha frase de contrasinal longa adoita ser máis práctica ca unha cadea curta con substitucións forzadas. 16 non é inviolable, e 15 non é unha garantía.
Que esixe NIST en 2026?
NIST SP 800-63-4 dilles aos verificadores que esixir, non un lema persoal. Un contrasinal dun só factor debe ter polo menos 15 caracteres. Se só se usa como parte da MFA, pode ser máis curto, pero o mínimo segue sendo 8. Os verificadores SHOULD aceptar polo menos 64 caracteres. SHALL NOT esixir unha mestura forzada de tipos de caracteres, e SHALL NOT forzar cambios periódicos sen evidencia de compromiso. Os contrasinais habituais ou filtrados deberían bloquearse.
Que recomenda CISA?
A guía Secure Our World de CISA é máis simple: polo menos 16 caracteres, aleatorio e único, máis un xestor de contrasinais. Iso non contradí NIST. 15 é un requisito do verificador para un só factor; 16+ é a recomendación pública de CISA.
8, 12 ou 16 caracteres: a lonxitude importa de verdade?
A lonxitude importa, mais os «tempos de creba» publicados non. Esos tempos cambian co hardware, o hash, a aleatoriedade, o modelo de ataque e como se garda o contrasinal.
| Lonxitude | Visión práctica |
|---|---|
| 8 | Curto de máis como recomendación xeral para un contrasinal novo dun só factor. NIST só permite 8 como mínimo cando o contrasinal se usa só como parte da MFA. |
| 12 | Mellor ca os contrasinais curtos antigos, mais por debaixo do mínimo actual de 15 de NIST para un só factor. |
| 15 | Mínimo actual de NIST para un só factor que deben aplicar os verificadores. |
| 16+ | Coincide coa recomendación pública simple de CISA e é un punto de partida razoable para contrasinais xerados. |
A lonxitude importa máis ca a complexidade?
A guía actual prefire abonda lonxitude e unha boa selección fronte a regras de composición previsibles. Un padrón como unha palabra habitual máis «1!» pode seguir sendo adiviñable mesmo con tipos mesturados. Os símbolos non son inútiles: nun contrasinal aleatorio, un conxunto máis grande pode engadir combinacións. O núcleo é aleatoriedade, lonxitude e unicidade.
Un contrasinal longo aínda pode ser feble
Un valor longo pode ser feble se é previsible, unha frase habitual, reutilizado ou baseado en información persoal. Repetir o mesmo carácter moitas veces é longo, non forte. Non reutilice unha frase que todo o mundo xa coñece.
Por que cada conta debe ter un contrasinal distinto
Se un servizo filtra un contrasinal e vostede o reutilizou, as outras contas que o compartan están en risco. Cada conta precisa o seu. Probar parellas filtradas noutros sitios é habitual. Os contrasinais únicos limitan ese dano.
Debe usar un xestor de contrasinais?
NIST pide aos verificadores que permitan xestores de contrasinais e o enchido automático. CISA tamén recomenda un xestor. Non ten que memorizar un contrasinal aleatorio único para cada sitio. Este artigo non recomenda ningún produto concreto.
Contrasinal ou frase de contrasinal?
Se un xestor garda o valor, un contrasinal aleatorio xerado é cómodo. Se ten que lembralo, unha frase de contrasinal longa de varias palabras pode ser máis práctica. Evite citas famosas, letras de cancións, frases habituais e datos persoais. Isto é unha nota breve, non unha guía completa de frases de contrasinal.
Fan falta maiúsculas, números e símbolos?
NIST di que os verificadores SHALL NOT esixir unha mestura de tipos de caracteres. Un sitio que forza unha maiúscula, un número e un símbolo vai contra esa dirección. Un xerador aleatorio pode usar un conxunto amplo, e iso está ben. Os símbolos non afeblan os contrasinais.
Hai que cambiar os contrasinais cada 90 días?
NIST di que os verificadores SHALL NOT esixir cambios periódicos arbitrarios se non hai evidencia de compromiso. Cámbieo se se filtrou, a conta foi comprometida ou o servizo llo pide. Iso non significa «nunca cambie os contrasinais».
A MFA fai que a lonxitude deixe de importar?
Non. A MFA engade protección. Non fai opcional a hixiene dos contrasinais. NIST pode permitir un mínimo de 8 caracteres cando o contrasinal só se usa como parte da MFA. Iso non é unha recomendación xeral de usar contrasinais de 8 caracteres.
O que a lonxitude non pode deter
Un contrasinal moi longo non detén todos os ataques. A lonxitude soa non detén o phishing, o malware ou o keylogging, a enxeñaría social nin un dispositivo comprometido. A MFA, as actualizacións e a conciencia do phishing seguen importando. Este artigo céntrase na lonxitude do contrasinal.
Un contrasinal forte é longo, aleatorio e único. Use un xestor de contrasinais cando poida, e active a MFA cando estea dispoñible.
Unha guía simple para decidir a lonxitude
Precisa un contrasinal novo de conta? Se un xestor o pode gardar, xere un aleatorio e único: 16 ou máis caracteres é un comezo práctico, máis longo se se admite. Se ten que memorizalo, use unha frase de contrasinal longa e única e evite frases habituais. Despois active a MFA se hai.
- Precisa un contrasinal novo de conta?
- Pode gardalo un xestor de contrasinais?
- Si → contrasinal aleatorio único, 16+ (máis longo se se admite)
- Non → frase de contrasinal longa e única; evite frases habituais
- Active a MFA cando estea dispoñible
Xere un contrasinal longo e aleatorio no navegador
NEXNARA Xerador de contrasinais pode crear un contrasinal, unha frase de contrasinal ou un PIN. Este artigo trata dos contrasinais de conta. Un PIN é un segredo máis curto e distinto, non a mesma recomendación.
Modo contrasinal: lonxitude 4–128, por defecto 16. Escolla clases de caracteres, exclúa os ambiguos ou exclúa caracteres personalizados. Xere 1, 5, 10 ou 20 valores, e cópieos ou descargue un ficheiro TXT.
O modo frase de contrasinal usa a lista grande de palabras inglesas da EFF (7776 palabras): de 3 a 8 palabras, 5 por defecto, con separador, maiúsculas e un número opcional.
A xeración usa o xerador aleatorio criptograficamente seguro do navegador (crypto.getRandomValues), con mostraxe por rexeitamento de 32 bits e unha mestura segura. Non se usa Math.random. A entropía amosada é unha estimación a partir do conxunto de caracteres e a lonxitude (ou o tamaño da lista e o número de palabras), non unha medida de contrasinal humano nin unha promesa de que non se poida adiviñar.
A xeración en si ocorre no seu navegador. Os valores non se envían a un servidor de NEXNARA para esta ferramenta. Os anuncios e outras funcións do sitio aínda usan a rede.
Precisa un contrasinal aleatorio de 16 caracteres para comezar? Abra Xerador de contrasinais e xere un que vai gardar, non reutilizar.
FAQ
Que lonxitude debe ter un contrasinal en 2026?
NIST esixe polo menos 15 caracteres para un contrasinal dun só factor. CISA recomenda polo menos 16 aleatorios e únicos. 16 ou máis caracteres xerados son un comezo práctico forte cando o servizo o permite. Iso non é unha garantía.
Chega un contrasinal de 12 caracteres?
É mellor ca un contrasinal curto antigo, mais queda por debaixo do mínimo actual de 15 caracteres de NIST para un só factor. Prefira 16+ cando poida.
Un contrasinal de 16 caracteres é seguro?
16 caracteres aleatorios e únicos son un comezo razoable. Non é seguro automaticamente. Valores de 16 caracteres previsibles ou reutilizados seguen sendo febles.
Os contrasinais máis longos son sempre mellores?
Os máis longos, aleatorios e únicos adoitan engadir combinacións. Un valor máis longo mais previsible ou reutilizado non é automaticamente mellor.
Necesito números e caracteres especiais no contrasinal?
NIST dilles aos servizos que non esixan unha mestura forzada. Un xerador aleatorio aínda pode incluílos. Os símbolos non fan falta para ser «fortes», e tampouco son inútiles.
Debería cambiar o contrasinal cada 90 días?
NIST di que non se esixan cambios periódicos arbitrarios sen evidencia de compromiso. Cámbieo despois dunha filtración, un compromiso ou un aviso do servizo, non por un calendario baleiro de 90 días.