Aplicar y supervisar los requisitos de las contraseñas de los usuarios

Casos en los que las políticas de contraseñas no se aplican

• Google no puede implementar obligatoriamente requisitos relativos al nivel de seguridad y la longitud de las contraseñas configuradas con un método de cifrado con hash; por ejemplo, las que se creen con la herramienta de subida en bloque de usuarios, la API del directorio o las herramientas de sincronización, como Sincronización de contraseñas o Google Cloud Directory Sync. Para obtener más información, consulta los artículos sobre el SDK de administrador de Google Workspace o sobre Sincronización de contraseñas.
• Los requisitos del nivel de seguridad y la longitud de las contraseñas de usuario no se aplican a aquellas que cambies manualmente. En esos casos, deberás marcar la casilla Pedir al usuario que cambie su contraseña cuando inicie sesión para el usuario en cuestión.
• Las políticas de contraseñas que configures no se aplican cuando los usuarios se autentican a través de un proveedor de identidades de terceros mediante SAML u OIDC.

Qué hace que una contraseña sea segura

Si exiges el uso de contraseñas seguras, Google utiliza un algoritmo para valorar el nivel de seguridad y asegurar que una contraseña:

• Tiene un alto nivel de aleatoriedad, llamado entropía de contraseña, que se puede lograr utilizando una cadena larga con caracteres de diferentes tipos, como letras mayúsculas, minúsculas, números y caracteres especiales.

  Nota: Una contraseña segura no necesita tener un número específico de caracteres de un tipo concreto.

• No es una contraseña poco segura de uso común, como "123456" o "contraseña123".
• No es fácil de adivinar, como palabras o frases sencillas, o patrones en los que la contraseña es la misma que el nombre de usuario.
• No se tiene constancia de que se haya vulnerado, es decir, no está en una base de datos de cuentas cuya seguridad se haya infringido.

Cómo funciona la caducidad de las contraseñas

Los estudios realizados muestran que la caducidad de las contraseñas tiene poca repercusión en la seguridad, por lo que está desactivada de forma predeterminada. Puedes configurar las contraseñas de los usuarios para que caduquen después de un número de días (como 90 o 180 días) si es necesario por razones de cumplimiento.

La caducidad de las contraseñas se implementa obligatoriamente solo cuando se inicia sesión en aplicaciones basadas en el navegador. No es de implementación obligatoria para los usuarios que solo utilizan teléfonos o que inician sesión mediante aplicaciones autenticadas con OAuth.

Alertas de contraseñas

Si defines un periodo de caducidad para las contraseñas, los usuarios recibirán alertas emergentes (pero no recordatorios por correo) en sus servicios de Google, como Gmail y Calendar, 30 días antes de la fecha de caducidad de la contraseña. Los usuarios pueden cambiar la contraseña o cerrar la alerta. Si un usuario no cambia su contraseña, la alerta aparecerá la próxima vez que inicie sesión en su cuenta. La alerta deja de aparecer después de que el usuario la cierre 3 veces. Sin embargo, una vez que la contraseña caduque, el usuario deberá cambiar su contraseña en el siguiente inicio de sesión.

Cuándo necesitan los usuarios cambiar su contraseña

Cuando configuras una política de caducidad de contraseña por primera vez, a algunos usuarios se les pedirá que cambien sus contraseñas de inmediato, mientras que otros no necesitarán cambiarlas por el momento. Por ejemplo:

• Si configuras una política de caducidad de 90 días y un usuario ha cambiado su contraseña por última vez hace 100 días, la contraseña de ese usuario caducará en cuanto se configure la política. Se le solicitará que cambie la contraseña la próxima vez que inicie sesión en su cuenta.
• Si configuras una política de caducidad de 90 días y un usuario ha cambiado su contraseña por última vez hace 30 días, la contraseña de ese usuario aún no habrá caducado. Cuando pasen 60 días, se le solicitará que cambie la contraseña en el siguiente inicio de sesión.