- Els canvis periòdics forçats de contrasenya incentiven claus febles i patrons predictibles, reduint la seguretat real.
- Les contrasenyes han de ser llargues, úniques i robustes, i només canviar-se quan hi hagi sospita o evidència de compromís.
- L'autenticació multifactor i els gestors de contrasenyes són avui les eines clau per protegir comptes davant de filtracions i atacs.
- El futur passa per sistemes com passkeys, que redueixen la dependència de les contrasenyes tradicionals i els seus problemes de robatori i reutilització.
Durant anys hem sentit que el responsable era canviar la contrasenya cada poc temps , gairebé com si fos fer la declaració de la renda: tocava sí o sí. Però en els darrers anys els principals organismes de referència en ciberseguretat, com l' Institut Nacional d'Estàndards i Tecnologia dels EUA (NIST) , han revisat completament aquesta recomanació i han arribat a una conclusió cridanera: forçar canvis freqüents de contrasenya sol empitjorar la seguretat en lloc de millorar-la.
Aquest gir de criteri es recolza en dades de fuites massives de credencials, estudis de comportament dusuaris i lexperiència pràctica dempreses i universitats. Avui, la recomanació dominant és mantenir contrasenyes fortes, llargues i úniques , canviar-les només quan hi hagi sospita o evidència de compromís, i recolzar-se en eines com l' autenticació multifactor (MFA) i els gestors de contrasenyes per no tornar-se boig memoritzant claus impossibles.
El NIST, que marca els estàndards tècnics per a agències públiques dels Estats Units i serveix de referència per a empreses de tot el món, ha deixat clar a la seva guia SP 800‑63‑4 que no s'ha d'obligar els usuaris a renovar la contrasenya de forma periòdica si no hi ha indicis d'incident de seguretat. És un canvi radical respecte a les polítiques clàssiques de «canvia-la cada 30/60/90 dies».
A l'esborrany públic d'aquestes directrius s'explica que, quan una contrasenya s'ha triat correctament (és llarga, aleatòria i única), forçar canvis cada un o tres mesos redueix la seguretat : la càrrega de recordar noves claus empeny la gent a simplificar-les, reutilitzar-les o aplicar patrons previsibles, justament allò que aprofiten els atacants.
Les recomanacions actuals indiquen que els proveïdors de serveis i els verificadors d'identitat no haurien d'imposar caducitats periòdiques de contrasenya . En canvi, sí que estan obligats a forçar un canvi immediat quan hi hagi senyals que l'autenticador ha estat compromès, per exemple, després d'una fuita de dades, un accés sospitós o la presència de la clau en bases filtrades.
A més, el NIST qüestiona altres exigències tradicionals, com les regles de composició rígides (obligar sí o sí a barrejar majúscules, números i símbols) o les cèlebres preguntes de seguretat tipus «nom de la teva primera mascota». L'evidència mostra que aquestes normes fan que els usuaris es comportin de forma molt predictible, generant contrasenyes com Contrasenya2023, Contrasenya2024 o Contrasenya1! , que són un regal per als atacants.
L'anàlisi d'enormes bases de dades de contrasenyes robades revela que el benefici real d'aquestes regles clàssiques és molt menor del que es pensava , mentre que l'impacte negatiu en la usabilitat i la memorabilitat és enorme. Resum: la gent acaba buscant dreceres fàcils, i aquestes dreceres coincideixen gairebé sempre.
Com realment es comprometen les teves contrasenyes avui dia
Més enllà de si la canvies cada tres mesos o no, els teus comptes es veuen exposats per la manera com els ciberdelinqüents aconsegueixen les contrasenyes . El robatori no sol arribar per una endevinació miraculosa de la teva clau, sinó per diversos vectors molt concrets i coneguts.
Una de les vies més habituals són les filtracions massives de dades de serveis en línia. Xarxes socials, fòrums, plataformes de jocs, comerços electrònics o proveïdors cloud pateixen errors de seguretat que exposen milions de combinacions usuari-contrasenya, de vegades fins i tot sense xifrar o amb algoritmes ja trencats. Aquestes bases acaben revenudes en fòrums de hacking i en la dark web.
Una altra forma clàssica és que la teva clau sigui feble o massa comú . Llistes de les contrasenyes més usades en països com Espanya mostren autèntiques barbaritats com admin, 123456, 000000, password o noms i ciutats evidents com carls o barcelonina. Aquest tipus de combinacions es trenquen menys d'un segon amb eines de força bruta automatitzades.
També hi ha els atacs de phishing i enginyeria social , en què un atacant et convenç perquè introdueixis la contrasenya en una pàgina falsa que imita la del teu banc, de correu o de xarxes socials. De vegades es combina amb codi maliciós tipus keylogger, que registra les pulsacions de teclat per capturar qualsevol credencial que introdueixis.
Finalment, cal no oblidar les vulnerabilitats de programari i maquinari . Sistemes sense actualitzar, encaminadors amb microprogramari antic, aplicacions amb errors de seguretat… tot això pot permetre a un tercer accedir a les teves contrasenyes emmagatzemades o fins i tot canviar-les i bloquejar el teu accés legítim. Per això la insistència dels experts a mantenir sistemes i dispositius al dia.
Per què canviar-la “per si de cas” pot ser una mala idea
En aquest context, molts usuaris assumeixen que canviar la contrasenya cada poc temps és una mena de cinturó de seguretat universal. Tanmateix, tant el NIST com els estudis d'universitats com Carnegie Mellon coincideixen que els canvis freqüents sense motiu augmenten el risc de males pràctiques.
Quan un sistema obliga a modificar contrasenyes de forma contínua, la majoria de la gent deixa de pensar-ho massa i aplica petites transformacions trivials : afegir o incrementar un número al final, canviar l'any, alternar un símbol evident… just els patrons que els atacants ja tenen contemplats als seus diccionaris.
A més, la incomoditat d'aquests canvis empeny a utilitzar contrasenyes cada cop més curtes i fàcils , o directament a reutilitzar la mateixa clau en diferents serveis amb lleugeres variacions. Si un atacant trenca un d'aquests comptes, tindrà pistes molt clares per a la resta i multiplicarà el dany potencial.
Molts experts apunten que, si les empreses dediquessin el temps i diners invertits a forçar canvis trimestrals de contrasenya a formar els usuaris en com crear claus robustes i úniques , ia desplegar gestors de contrasenyes i verificació en dos passos, la millora real de seguretat seria molt més gran.
Fins i tot companyies de seguretat reconeixen que, sense evidència de filtració , renovar la contrasenya de manera rutinària no la fa més segura. De fet, pot generar una falsa sensació de protecció mentre es mantenen altres debilitats més greus, com ara reutilitzar la mateixa clau en múltiples llocs o no activar MFA.
Quan sí que has de canviar la teva contrasenya sense pensar-t'ho
Encara que la rotació forçada deixi de ser una bona pràctica, això no vol dir que hagis d'aferrar-te a la mateixa contrasenya passi el que passi. Hi ha situacions en què canviar-la immediatament és imprescindible per reduir el risc.
Si una empresa on tens compte anuncia una violació de dades , el més prudent és actualitzar la contrasenya d'aquest servei com més aviat millor, i també d'altres on l'estiguis reutilitzant (si és que has comès aquest pecat). De vegades aquestes bretxes triguen setmanes a comunicar-se, així que eines de monitorització de la dark web o serveis tipus «Have I Been Pwned» ajuden a detectar abans si el teu email apareix en un llistat filtrat.
Un altre avís clar són els intents d'accés o canvi de contrasenya no sol·licitats . Si reps correus legítims de «Has demanat restablir la contrasenya?» o alertes d'inici de sessió des d'ubicacions o dispositius que no reconeixes, convé canviar immediatament la clau entrant tu mateix al servei (sense punxar en enllaços sospitosos) i habilitar MFA si encara no ho has fet.
Si sospites que el dispositiu ha estat infectat amb codi maliciós , també has de canviar les contrasenyes, però només després de netejar l'equip. No serveix de res renovar claus si l'atacant segueix veient tot el que tecleges. Un cop el sistema estigui desinfectat, cal actualitzar les credencials dels serveis crítics (correu, banc, xarxes socials, núvol, etc.).
En cas que un dels teus comptes hagi estat clarament hacker (apareixen missatges que tu no has enviat, compres que no has fet, canvis de perfil estranys), cal considerar compromesos tots els comptes que comparteixin la mateixa contrasenya o variants semblants i canviar les seves claus immediatament.
En entorns corporatius, per a comptes d'administrador o sistemes especialment sensibles, moltes organitzacions continuen optant per rotar credencials privilegiades amb certa freqüència, però ho fan de manera automatitzada i generant contrasenyes aleatòries fortes, precisament per evitar els errors humans associats als canvis manuals.
Què és avui una contrasenya segura (i què no ho és)
Una contrasenya no deixa de ser un conjunt de caràcters que et dóna accés a informació privada o recursos valuosos: correu, xarxes socials, banca en línia, panell de la teva web, VPN d'empresa, dispositius mòbils, etc. Que sigui l'única barrera entre la teva vida digital i un atacant hauria de ser suficient per prendre-s'ho de debò.
Els experts fa temps que repeteixen que una bona contrasenya ha de ser llarga, complexa i única . Tradicionalment es parlava de mínim vuit caràcters, combinant majúscules, minúscules, números i símbols, i evitant paraules del diccionari o dades personals (dates, noms, matrícules…).
Les directrius més recents del NIST posen encara més èmfasi en la longitud: recomanen exigir almenys 8 caràcters , però consideren desitjable pujar el llistó a 15 o més , permetent fins a 64 caràcters de màxim. Com més llarga, més difícil és trencar amb atacs automatitzats, sempre que no sigui una frase previsible.
Una bona estratègia per a humans és fer servir frases de contrasenya : seqüències de paraules aleatòries barrejades amb símbols i majúscules, que són fàcils de recordar per a tu però molt dures d'atacar per a un ordinador. Exemples de l'estil «Mart-Ballena-Cerca4-Derretido» o «Minuto.Camión.Onde2.Intento» ofereixen una entropia molt alta sense dependre de patrons típics.
El que has d'evitar són les contrasenyes que apareixen any rere any entre les més utilitzades: 123456, password, qwerty, 111111, admin , combinacions de teclat evidents, paraules soltes, seqüències de números o claus basades en informació que qualsevol podria extreure de les teves xarxes socials (nom de futbol).
Igual d'important és que cada servei utilitzi una contrasenya diferent . Reutilitzar la mateixa clau per a correu, xarxes, banc i compres és com fer servir la mateixa clau per a casa teva, el cotxe i la caixa forta i, a sobre, deixar una còpia al estora. Si una d'aquestes webs pateix una bretxa, l'atacant podria provar directament aquesta combinació a la resta de serveis populars.
Autenticació multifactor, gestors de contrasenyes i passkeys
L'altra gran pota del canvi de paradigma és deixar de confiar-ho tot a una sola clau, per bona que sigui. Avui es considera essencial complementar les contrasenyes amb autenticació multifactor (MFA) sempre que el servei ho permeti.
La MFA afegeix una segona prova d'identitat que pot ser una cosa que saps (la contrasenya pròpia), alguna cosa que tens (mòbil, token físic, aplicació de codis) o alguna cosa que ets (empremta, rostre, iris). Així, encara que algú robi la contrasenya, li serà molt més difícil entrar sense aquest segon factor.
Activar MFA en correu, xarxes socials, banca en línia, serveis al núvol o accés remot de treball frustra molts atacs automatitzats basats en provar contrasenyes robades o febles. Fins i tot si la vostra clau apareix en una filtració, l'atacant es trobarà amb un mur addicional difícil de saltar.
Per tractar el problema de recordar desenes de claus llargues i úniques, els experts recomanen utilitzar un gestor de contrasenyes . Aquestes eines generen claus aleatòries molt complexes, les emmagatzemen xifrades en una volta i les omplen per tu en iniciar sessió. Tu només has de protegir una contrasenya mestra forta i, si és possible, activar també MFA.
Un bon gestor evita pràctiques perilloses com anotar contrasenyes en papers, fulls de càlcul sense xifrar o notes del mòbil, o deixar que el navegador les guardi sense més ni més. A més, facilita que utilitzis contrasenyes molt més llargues del que podries recordar pel teu compte, cosa que millora la resistència davant d'atacs.
En paral·lel, es comencen a popularitzar les passkeys o claus d'accés , una alternativa moderna a la contrasenya tradicional basada en criptografia de clau pública. Les passkeys s'emmagatzemen al dispositiu o gestor compatible i permeten iniciar sessió usant l'empremta, el reconeixement facial o un PIN local, sense enviar una contrasenya reutilitzable al servidor.
Gegants com Google, Apple, Microsoft, Amazon, PayPal o GitHub ja suporten passkeys, i més d'un centenar de webs i apps s'hi estan sumant. Tot i que les contrasenyes no desapareixeran de la nit al dia, el futur apunta a sistemes passwordless que mitiguin molts dels problemes actuals de robatori i reutilització.
Bones pràctiques de seguretat de contrasenyes en el dia a dia
Més enllà del debat sobre la caducitat, el teu objectiu ha de ser reduir al mínim la superfície d'atac que ofereixen les contrasenyes. Això passa per combinar diverses bones pràctiques senzilles dincorporar si es fa amb cap.
En primer lloc, compromet-te a no reutilitzar la mateixa contrasenya en més d'un compte , sobretot en serveis crítics com ara correu, banc, botigues en línia amb targeta guardada i accessos de treball. Si avui ja l'estàs reutilitzant, marca com a prioritat canviar aquestes claus i separar-les usant un gestor.
En actualitzar una contrasenya, evita fer trampes com modificar només un caràcter (afegir un número al final, substituir una lletra per un símbol similar, etc.). Els ciberdelinqüents coneixen perfectament aquests patrons i les eines d'atac els integren de sèrie.
Valora fer servir frases de contrasenya llargues per als comptes que vulguis recordar de memòria (per exemple, la contrasenya mestra del gestor). Combina diverses paraules sense relació aparent, introdueix majúscules en posicions poc òbvies i afegeix algun nombre o símbol entre mitges per augmentar l'entropia.
Quan no necessitis memoritzar la contrasenya perquè fas servir un gestor, aprofita els seus generadors de contrasenyes i passphrases . Aquests creen cadenes aleatòries com «3>ZfrT61(9#X;?Kdk4FQ» o frases complexes de forma automàtica i les guarden a la teva volta. L'important aquí no és tant poder recitar-les de memòria com assegurar-te que ningú més pugui endevinar-les.
En el pla operatiu, evita tant sí com no emmagatzemar contrasenyes en text pla al teu ordinador o mòbil, ja sigui en notes, documents solts, fotos de post‑its o correus que t'envies a tu mateix. Qualsevol codi maliciós (malware), robatori de dispositiu o accés físic no autoritzat convertiria tot això en un mapa del tresor per a un atacant.
Finalment, acostuma't a revisar periòdicament si els teus comptes han aparegut en filtracions conegudes, usant serveis de comprovació de bretxes o les funcions de seguretat del teu propi gestor de contrasenyes o navegador. Si detectes que una clau s'ha vist exposada, sí que toca canviar-la sense dubtar.
En un món on les filtracions de dades es compten per milers de milions i sorgeixen alternatives com MFA i passkeys, l'estratègia guanyadora ja no passa per picar-te canviant contrasenyes cada poc temps, sinó per construir un ecosistema d'accés robust i manejable : claus llargues i úniques, protecció multifactor, eines que facilitin la gestió i atenció. Si ajustes els teus hàbits en aquesta direcció, els teus comptes estaran molt millor defensats encara que no recordis la darrera vegada que vas canviar la contrasenya «per calendari».
