Las contraseñas débiles o reutilizadas siguen siendo una de las principales causas de las filtraciones de datos, sobre todo en pymes que no cuentan con recursos de seguridad dedicados. Descubre las mejores prácticas actuales para diseñar una política de contraseñas que te ayude a orientar a los usuarios con reglas prácticas y eficaces, capaces de protegerlos sin complicarles la vida.
Principios básicos de una política de contraseñas pensada para pymes
Las políticas de contraseñas de una pyme deben ser claras y breves. Conviene priorizar la longitud y la unicidad por encima de la complejidad, y evitar la caducidad periódica de las contraseñas. También deberías bloquear las contraseñas débiles y las que ya se hayan visto comprometidas. Además, los administradores deberían explicar a los usuarios el motivo de cada regla y fomentar el uso de la autenticación multifactor y de los gestores de contraseñas.
Prioriza la longitud y la unicidad frente a la complejidad
Una contraseña larga (de al menos 14 caracteres) ofrece a los usuarios una protección mucho mayor. Es preferible optar por contraseñas largas que por contraseñas complejas.
Las contraseñas largas son más seguras porque la longitud aumenta de forma exponencial el número de combinaciones posibles, lo que dificulta enormemente los ataques de fuerza bruta. Una frase de contraseña larga también resulta más fácil de recordar que una palabra corta y compleja, y resiste mejor los ataques de diccionario.
Evita la caducidad periódica de las contraseñas
Muchas organizaciones aplican la caducidad periódica de contraseñas, es decir, obligan a los usuarios a cambiarlas cada cierto tiempo. Sin embargo, estas políticas están desfasadas y ya no aportan la seguridad que se les atribuía.
Cambiar la contraseña con demasiada frecuencia genera frustración en el usuario, y esa frustración suele traducirse en contraseñas menos seguras, con patrones predecibles y otras vulnerabilidades. En lugar de cambiarlas de forma rutinaria, lo recomendable es hacerlo solo cuando exista sospecha de que se han visto comprometidas o pruebas de una brecha de seguridad.
Bloquea las contraseñas débiles o ya comprometidas
Es sensato que las organizaciones aprovechen herramientas como Have I Been Pawned?, que recopila contraseñas comprometidas. Si la contraseña de un usuario aparece en esa lista, debe dejar de utilizarla. Y si usas una herramienta o un software que ha sufrido una brecha de seguridad, lo aconsejable es que todos los usuarios cambien sus contraseñas.
Fomenta la MFA y el uso de gestores de contraseñas
La autenticación multifactor (MFA) añade una capa extra de protección. Después de introducir sus credenciales, se pide al usuario que verifique su identidad, ya sea con un código que posee, un mensaje que recibe o una aplicación de su teléfono. Así, aunque la contraseña sea débil o se haya visto comprometida, los atacantes seguirán sin poder acceder a la cuenta.
Los gestores de contraseñas son otra herramienta muy útil en ciberseguridad. Uno de los mayores riesgos para la protección de las cuentas es que los usuarios tienen dificultades para recordar sus contraseñas, por lo que acaban recurriendo a prácticas poco seguras: apuntarlas en papel, reutilizarlas o emplear patrones fáciles de adivinar.
Un gestor de contraseñas resuelve ese problema. En lugar de memorizar una contraseña larga y única para cada cuenta, el usuario solo tiene que recordar la del propio gestor. Será el gestor el que se encargue de generar contraseñas robustas y de almacenarlas.
Forma a los usuarios en lugar de penalizarlos
Una de las medidas más importantes que puede tomar una organización para mantener seguras las cuentas de usuario es la formación. No basta con que se cumplan las políticas de seguridad: también hay que entender por qué existen. Explica a los usuarios por qué funcionan las frases de contraseña, dales consejos para no reutilizar contraseñas y muéstrales el valor de un almacenamiento seguro.
También es fundamental que la aplicación de la política no tenga carácter sancionador. Cuando los usuarios comprenden bien estas políticas de seguridad, se sienten más motivados para seguir las mejores prácticas.
Aplicar las políticas mediante GPO o ajustes en el cloud
En Active Directory o GPO
📌 Requisito previo: debes gestionar tus endpoints con Active Directory.
💡 Nota: la Consola de administración de directivas de grupo (GPMC) viene instalada por defecto en los controladores de dominio (DC) y tienes que abrirla desde uno de ellos. También puede instalarse en otros equipos Windows unidos al dominio mediante las herramientas RSAT.
- Pulsa Win+R.
- Escribe gpmc.msc y pulsa Intro. Se abrirá la Consola de administración de directivas de grupo.
- Ve a esta ruta: Bosque > Dominios > <yourdomain.com> > Default Domain Policy.
Sustituye yourdomain.com por el dominio que quieras gestionar. - Haz clic derecho en Default Domain Policy > Editar.
- Ve a Configuración del equipo > Directivas > Configuración de Windows > Configuración de seguridad > Directivas de cuenta > Directiva de contraseñas.
- Haz doble clic en los siguientes ajustes para modificarlos y gestionarlos:
- Longitud mínima de la contraseña – Establécela en 12-14 caracteres o más
- La contraseña debe cumplir los requisitos de complejidad – Desactívalo
- Exigir historial de contraseñas – Controla cuántas contraseñas distintas debe usar un usuario antes de poder reutilizar una anterior; ajústalo según la política de seguridad de tu organización
En Microsoft 365 u otras plataformas cloud
📌 Requisito previo: tu organización debe utilizar Microsoft 365.
Microsoft 365 admite contraseñas de hasta 256 caracteres, muy por encima de los 12-14 caracteres recomendados como mínimo. Es una función nativa y los administradores no necesitan modificar nada.
Para configurar listas de contraseñas prohibidas, sigue estos pasos:
- Entra en el centro de administración de Entra.
- Ve a Protección > Métodos de autenticación > Protección de contraseñas.
- Configura tu lista personalizada de contraseñas prohibidas. Puedes añadir contraseñas fáciles de adivinar, como el nombre de tu empresa, fechas de nacimiento, estaciones del año o años concretos.
- Cambia el modo a Exigir para que Entra bloquee activamente las contraseñas débiles o prohibidas.
Para desactivar la caducidad obligatoria de las contraseñas, sigue estos pasos:
- Entra en el centro de administración de Entra.
- Ve a Configuración > Configuración de la organización > Seguridad y privacidad.
- Busca Directiva de expiración de contraseñas.
- Cambia el ajuste a Nunca expiran.
Tabla resumen de mejores prácticas
| Principio | Por qué funciona |
| Longitud de la frase de contraseña > complejidad | Las contraseñas largas son más fáciles de recordar y más difíciles de descifrar que las complejas. |
| Sin caducidad automática | Evita la frustración del usuario y las rotaciones predecibles. |
| Bloqueo de contraseñas reutilizadas o comprometidas | Cierra los vectores de ataque más habituales entre los atacantes. |
| Uso de MFA + gestor de contraseñas | Estas herramientas mejoran la experiencia de uso y, al mismo tiempo, refuerzan la seguridad. |
| Formación a los usuarios | Garantiza que la política se entienda de verdad y no solo se imponga. |
Automatización opcional
Puedes automatizar la aplicación de tu política de contraseñas con Windows PowerShell siguiendo estos pasos:
📌 Requisito previo: debes gestionar tus endpoints con Active Directory.
- Abre Windows PowerShell como administrador del dominio.
- Ejecuta el siguiente comando:
Import-Module ActiveDirectory
Get-ADDefaultDomainPasswordPolicy | Select MinPasswordLength, PasswordHistoryCount
Con esto obtendrás la longitud mínima de la contraseña y el requisito de historial de contraseñas de la política de contraseñas de dominio predeterminada de Active Directory para los usuarios.
- Para cambiar la longitud mínima de la contraseña, escribe este comando y pulsa Intro:
Set-ADDefaultDomainPasswordPolicy -Identity "yourdomain.com" -MinPasswordLength 12
Sustituye «yourdomain.com» por el dominio correcto y cambia el número que sigue a MinPasswordLength por la longitud que indique tu política de seguridad.
Guía de inicio rápido
NinjaOne ofrece varias opciones de configuración de políticas de contraseñas repartidas entre sus funciones de gestión de dispositivos móviles (MDM) y de seguridad:
Aspectos clave de una política de contraseñas
- Longitud mínima de la contraseña: establécela en al menos 10 caracteres
Requisitos de complejidad:
- Exigir al menos una letra mayúscula
- Incluir caracteres especiales
- Evitar secuencias de caracteres simples o repetidos
Ajustes del código de acceso en MDM
En dispositivos móviles, NinjaOne permite configurar la política de contraseñas con gran nivel de detalle:
Longitud del código de acceso: longitud mínima configurable
Requisitos de caracteres complejos:
- Exigir valores alfanuméricos
- Indicar el número mínimo de caracteres complejos
Límites de intentos fallidos:
- Fijar un máximo de intentos de inicio de sesión fallidos
- Bloquear o borrar el dispositivo automáticamente tras varios fallos
Caducidad de la contraseña:
- Fijar la antigüedad máxima del código de acceso
- Forzar cambios periódicos de contraseña
Ideas de integración con la plataforma NinjaOne para optimizar las políticas de contraseñas de tu organización
Estas son algunas formas de integrar las herramientas de RMM de NinjaOne en tus políticas de contraseñas:
- Utiliza las herramientas de ejecución remota de scripts de NinjaOne para auditar en remoto el estado y el cumplimiento de la política de contraseñas de los usuarios.
- Utiliza NinjaOne Docs para documentar y explicar por qué se aplican determinados controles de contraseñas.
Fomenta contraseñas seguras aplicando políticas sólidas
Las políticas de contraseñas no son reglas arbitrarias: su objetivo es lograr una seguridad eficaz y usable. No olvides añadir capas de protección con la MFA y los gestores de contraseñas.
Así reforzarás la seguridad y, al mismo tiempo, reducirás la resistencia de los usuarios. Los administradores también dedicarán menos tiempo a atender a quienes olvidan su contraseña o usan una frase de contraseña débil. Impulsar estas prácticas ahora ayudará a tu negocio a medida que crezca, y permitirá equilibrar la reducción del riesgo con la operativa diaria.
Enlaces relacionados:
