Laboratorio de políticas de contraseñas
Conserva o elimina cada regla de contraseñas propuesta y construye una política alineada con NIST SP 800-63B. Con puntuación.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
La mayoría de las políticas de contraseñas son un montón de costumbres que nadie ha vuelto a contrastar con la guía. En este laboratorio en el navegador trabajas una cola de reglas propuestas y construyes una norma que siga de verdad NIST SP 800-63B: conserva lo que refuerza los secretos (un mínimo de 8 caracteres, o 15 o más para cuentas privilegiadas, con frases de contraseña de hasta 64; comprobación contra listas de contraseñas filtradas; limitación de intentos fallidos; permitir pegar y usar gestores de contraseñas; un hash fuerte con sal; aceptación de Unicode; y un restablecimiento provocado por un compromiso) y elimina el teatro heredado que NIST te pide abandonar (rotación periódica forzada cada 90 días, reglas obligatorias de composición o complejidad, pistas de contraseña y preguntas de seguridad, recuperación solo por SMS y bloqueos de pegado o de gestores). Se te puntúa por eliminar todas las reglas malas sin quitar ningún control sólido: quitar un control de NIST que funciona supone una penalización adicional de higiene, y además nombras el principio detrás de cada decisión. Los niveles más difíciles añaden trampas deliberadas: un mínimo de 15 caracteres para administradores (se conserva: es longitud, no complejidad), un restablecimiento provocado por un compromiso que solo parece rotación programada (se conserva) y la aceptación de Unicode y emojis (se conserva). Es un laboratorio Pro.
- Revisa una a una las reglas de contraseñas propuestas de la cola.
- Decide si cada regla se CONSERVA (se alinea con NIST SP 800-63B) o se ELIMINA (es una práctica heredada y contraproducente).
- Nombra el principio de NIST que rige cada decisión.
- Revisa tu puntuación: elimina todas las reglas malas sin quitar ningún control sólido.
Preguntas frecuentes
¿Qué es el laboratorio de políticas de contraseñas?
Un ejercicio en el navegador en el que revisas una a una las reglas propuestas para una política de contraseñas y decides si cada una pertenece a una norma moderna: CONSERVARLA (se alinea con NIST SP 800-63B) o ELIMINARLA (es una práctica heredada y contraproducente). Después nombras el principio de NIST que rige la decisión. Convierte la guía abstracta en decisiones concretas de conservar o eliminar sobre las reglas exactas que las organizaciones siguen discutiendo.
¿La orientación es la de NIST 800-63B real?
Sí. Cada regla se corresponde con la orientación real de NIST SP 800-63B / 800-63B-4 sobre secretos memorizados («Memorized Secret»): un mínimo de 8 caracteres con soporte de al menos 64, comprobación contra contraseñas que se sabe que están comprometidas, nada de rotación periódica forzada (rotar solo ante pruebas de compromiso), nada de reglas de composición obligatorias, nada de pistas de contraseña ni de autenticación basada en conocimiento, el SMS como canal fuera de banda restringido, permitir pegar y usar gestores de contraseñas, limitar los intentos fallidos, aceptar todos los caracteres imprimibles y Unicode, y un hash unidireccional fuerte con sal.
¿Cómo se puntúa?
La decisión de conservar o eliminar es lo central; nombrar el principio rector correcto es una bonificación por acierto. Eliminar un control sólido (una eliminación falsa) supone una penalización adicional de higiene, porque una norma que quita reglas buenas está tan rota como una que conserva las malas. Una ronda perfecta elimina todas las reglas heredadas, conserva todos los controles buenos y nombra el principio de NIST correcto para cada una.
¿Para quién es?
Para responsables de seguridad que redactan o defienden una norma de contraseñas, ingenieros de IAM y de plataforma que la implantan, personal de GRC y auditoría que concilia una base heredada con la orientación moderna, y cualquiera que prepare una entrevista de seguridad y quiera interiorizar por qué la rotación cada 90 días y las reglas de composición están fuera y la longitud más la comprobación de filtraciones están dentro. Se ejecuta por completo en tu navegador, sin instalación y sin enviar nada.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.