> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/administration/accounts/password-policy.md). # Política de generación de contraseñas Las reglas que deciden cómo se compone un secreto generado (longitud, clases de caracteres y caracteres excluidos) y en qué se diferencian de las reglas de contraseña que se aplican a los usuarios de ## Qué es y cuándo usarlo Siempre que la solución produce un secreto para usted, ya sea en una plantilla de cuenta configurada para generar de forma aleatoria, en una tarea de envío que crea cuentas, o en una tarea de rotación que las cambia, lo compone a partir de una **política de generación de contraseñas**: una longitud y un conjunto de clases de caracteres. En este producto hay dos cosas distintas que se llaman política de contraseñas, y confundirlas cuesta una tarde entera: | | Política de generación de contraseñas | Reglas de contraseña | | -------------- | ------------------------------------------------------------------------------- | ------------------------------------------------------------------- | | Se aplica a | Secretos que la solución **genera** para cuentas de sus activos | Contraseñas que escriben los **usuarios de la consola** para entrar | | Dónde se fija | En la plantilla de cuenta o en la tarea de automatización que genera el secreto | **Configuración del sistema › Seguridad › Contraseñas** | | A quién afecta | A la cuenta local o de dominio del host de destino | A los usuarios locales de la propia solución | | Qué controla | Cómo se compone la cadena generada | Longitud mínima, complejidad, expiración y reutilización | Esta página cubre ambas, empezando por la generación. Si ha llegado aquí porque falló una rotación, lo que busca es la política de generación. ## Antes de empezar * La política de contraseñas más estricta entre los hosts de **destino**. El secreto generado tiene que satisfacer al destino, no a la solución: una política cómoda para la solución y demasiado débil para un dominio Windows falla en el momento del cambio. * Si la credencial está en una plantilla de cuenta o en la tarea. La política de generación se fija en ambos sitios y son independientes. ## Dónde se fija la política de generación | Pantalla | Campo | Qué decide | | ------------------------------------------------- | ------------------------------------------------------- | -------------------------------------------------------------------------------------------- | | **Cuentas › Plantillas** | **Estrategia de secreto** | Cómo se produce el secreto de la plantilla de cuenta cuando la credencial se crea o se envía | | **Cuentas › Automatizaciones › Envío de cuentas** | **Política de generación de contraseñas** (obligatoria) | Cómo se produce el secreto de cada cuenta creada en los destinos | | **Cuentas › Automatizaciones › Cambiar secretos** | **Política de contraseñas** | Cómo se produce el secreto nuevo en cada rotación | En las tres, la elección es el mismo par: * **Random generate**: la solución compone el secreto a partir de las reglas de abajo. * **Specific secret**: usted escribe el valor, y las reglas no se aplican. ## Pasos 1. Abra la plantilla de cuenta o la tarea de automatización que produce el secreto. 2. Ponga la estrategia en **Random generate**. 3. Fije la **Longitud**. Es configurable de **4 a 100** caracteres. 4. Marque las clases de caracteres que el destino exige: mayúsculas, minúsculas, dígitos, caracteres especiales. 5. Para elegir exactamente qué caracteres especiales puede usar el secreto, escríbalos en **Especiales permitidos**, por ejemplo `!#%+-_=`. Déjelo vacío para usar el conjunto predeterminado. No se aceptan comillas, barra invertida, acento grave ni llaves. 6. Enumere los caracteres que quiere **excluir**. Úselo para destinos y clientes que se atragantan con símbolos concretos, en lugar de rebajar la complejidad de todo. 7. Guarde y ejecute la tarea una vez a mano antes de confiar en una programación. {% hint style="warning" %} Ajuste la política al destino **más estricto** dentro del alcance de la tarea, no al promedio. Un solo controlador de dominio Windows en una tarea por lo demás llena de hosts Linux marca el suelo de toda la tarea. {% endhint %} {% hint style="info" %} Varias cuentas de una misma tarea de rotación reciben todas el **mismo** secreto generado en una ejecución dada. Si necesita secretos distintos por cuenta, sepárelas en tareas diferentes. Vea [Rotar credenciales](/es/pam/administration/accounts/rotation.md). {% endhint %} ## Qué debe ver La plantilla de cuenta o la tarea muestra su estrategia, aleatoria o especificada, en la columna **Estrategia de secreto**. Nada en esa pantalla le dice si el valor generado fue aceptado por los destinos. ## Cómo verificar que funcionó 1. Ejecute la tarea una vez manualmente. 2. Abra la cuenta afectada en **Cuentas › Cuentas** y revise su **Historial de contraseñas**. Una versión nueva, fechada en la ejecución, es la prueba de que se generó y se almacenó un secreto nuevo. 3. Lea el registro de ejecuciones **host por host**. Una tarea puede informar éxito en conjunto mientras hosts individuales rechazaron el secreto, y esos hosts conservan el anterior. 4. Abra una sesión hacia uno de esos hosts usando la cuenta. Un inicio de sesión correcto es la única prueba de que el valor almacenado y el destino concuerdan. ## Errores comunes | Síntoma | Causa | Solución | | ------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------ | -------------------------------------------------------------------------------------------------- | | `The password does not meet the password policy requirements` | El secreto generado no satisface la política del propio destino, sea en longitud, complejidad o historial de contraseñas | Suba la longitud y marque las clases de caracteres que faltan para igualar al destino más estricto | | Unos hosts tomaron el secreto nuevo y otros se quedaron con el antiguo | Esos hosts rechazaron el valor, o estaban inalcanzables | Lea el registro de ejecuciones por host y reinténtelo en esos hosts | | Dos cuentas de una misma tarea acabaron con la misma contraseña | Es lo esperado: un secreto generado por ejecución | Sepárelas en tareas distintas | | Las reglas están fijadas pero el secreto nunca cambia | La estrategia es **Specific secret**, así que las reglas se ignoran | Cambie a **Random generate** | | Una credencial de dominio rotada funciona en todas partes menos en un host | La rotación no actualiza la plantilla de cuenta, y ese host todavía conserva el secreto original de la plantilla | Vea [Rotar credenciales](/es/pam/administration/accounts/rotation.md) | | Un secreto generado rompe el inicio de sesión de una aplicación | Un carácter especial que la aplicación no sabe manejar | Añádalo a los caracteres excluidos en lugar de renunciar a toda la clase | | El destino solo acepta unos pocos caracteres especiales concretos | El conjunto predeterminado incluye símbolos que el destino rechaza | Enumere los aceptados en **Especiales permitidos** | | Se rechaza el guardado: `Not allowed:` seguido de caracteres | **Especiales permitidos** contiene comillas, barra invertida, acento grave o llaves | Quite esos caracteres. El mensaje enumera los aceptados | | Se rechaza el guardado: todos los especiales permitidos están también excluidos | Cada carácter de **Especiales permitidos** figura también en los caracteres excluidos | Elimine la coincidencia, o vacíe uno de los dos campos | ## Referencia de campos: generación | Campo | Qué hace | | --------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------- | | Estrategia de secreto | **Random generate** o **Specific secret** | | Tipo de secreto | Contraseña, Clave SSH, Token, Clave de acceso o Clave de API. Solo las contraseñas se componen con estas reglas | | Longitud | De 4 a 100 caracteres | | Mayúsculas | Incluye letras mayúsculas | | Minúscula | Incluye letras minúsculas | | Número | Incluye dígitos | | Carácter especial | Incluye símbolos | | Especiales permitidos | Los caracteres especiales que puede usar el secreto. Vacío usa el conjunto predeterminado. No se aceptan comillas, barra invertida, acento grave ni llaves | | Excluir carácter | Caracteres que la solución nunca debe usar en un secreto generado | | Contraseña | El valor que usted escribe. Disponible solo con **Specific secret** | Como la política vive en cada plantilla de cuenta y en cada tarea, distintos grupos de activos pueden recibir complejidades distintas: un nivel de criticidad o una familia de plataformas puede tener sus propias reglas sin cambiar nada global. ## Reglas de contraseña para los usuarios de la consola Estas son las reglas que se aplican a los **usuarios locales de la solución**, en **Configuración del sistema › Seguridad › Contraseñas**. No tienen efecto alguno sobre los secretos generados para las cuentas gestionadas. ### Básico | Campo | Valor por defecto | Qué hace | | ---------------------------------- | ----------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Expiración de la contraseña (días) | `9999` | Días antes de que la contraseña de consola de un usuario expire y deba sustituirse en el siguiente inicio de sesión. El valor por defecto equivale en la práctica a "nunca" | | Recent password count | `5` | Cuántas contraseñas anteriores se recuerdan y se rechazan cuando el usuario intenta reutilizar una | Se envía al usuario un recordatorio de expiración por correo, de forma automática y diaria, durante los cinco días previos a que la contraseña expire. ### Reglas de contraseña | Campo | Valor por defecto | Qué hace | | ------------------------- | ----------------- | ------------------------------------------------------ | | Longitud mínima (usuario) | `6` | Longitud mínima de contraseña para usuarios corrientes | | Longitud mínima (admin) | `6` | Longitud mínima de contraseña para administradores | | Mayúsculas | (sin valor) | Exige al menos una letra mayúscula | | Minúscula | (sin valor) | Exige al menos una letra minúscula | | Número | (sin valor) | Exige al menos un dígito | | Carácter especial | (sin valor) | Exige al menos un símbolo | {% hint style="warning" %} Los valores de fábrica son permisivos a propósito: una contraseña de seis caracteres que nunca expira. Para ISO 27001, SOC 2, PCI-DSS o LGPD, la recomendación de DataDike es un mínimo de 12 caracteres para usuarios y 16 para administradores, expiración a los 90 días, y de 5 a 10 contraseñas recordadas. {% endhint %} Para verificar un cambio aquí, intente fijar una contraseña que incumpla la política en un usuario de prueba. Debe rechazarse en el momento de guardar, no en el siguiente inicio de sesión. ## Páginas relacionadas * [Rotar credenciales](/es/pam/administration/accounts/rotation.md): donde más se usa la política de generación * [Plantillas de cuenta](/es/pam/administration/accounts/account-templates.md): la **Estrategia de secreto** de la plantilla de cuenta * [Cuentas gestionadas](/es/pam/administration/accounts/managed-accounts.md): historial de contraseñas y cómo revelar un secreto * [La bóveda de credenciales](/es/pam/administration/accounts/vault.md)