Exigir el vencimiento de contraseñas en los dominios de Microsoft Entra ID puede reducir la seguridad al pedir a los usuarios que cambien de contraseña con frecuencia, lo que suele llevar a contraseñas débiles, predecibles o reutilizadas que reducen la protección general de las cuentas.

Las opciones de vencimiento de contraseñas mal definidas en Microsoft Entra ID, que exigen que los usuarios cambien de contraseña de forma periódica, pueden introducir vulnerabilidades de seguridad por accidente. Las políticas de vencimiento tradicionales se basan en la suposición obsoleta de que los usuarios actualizan con frecuencia las credenciales vulneradas. En realidad, los cambios frecuentes de contraseña suelen <a href="https://learn.microsoft.com/es-es/microsoft-365/admin/misc/password-policy-recommendations?view=o365-worldwide#password-expiration-requirements-for-users">llevar a patrones predecibles</a> o ligeras variaciones de las contraseñas anteriores, lo que reduce la complejidad general y hace que las cuentas sean más vulnerables a los ataques de fuerza bruta y de diccionario.
Los cambios de contraseña forzados pueden aumentar el riesgo de almacenamiento inseguro, ya que los usuarios pueden tomar nota de las contraseñas, almacenarlas en ubicaciones no aprobadas o crear patrones que se pueden adivinar fácilmente para recordarlas. Este comportamiento reduce la seguridad y puede derivar en acceso no autorizado. Al exigir el vencimiento de contraseñas, las organizaciones pueden animar a los usuarios a omitir las prácticas recomendadas involuntariamente, lo que, en última instancia, amplía la superficie de ataque.
La política <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#passwords">MS.AAD.6.1v1</a> de “M365 Secure Configuration Baseline for Microsoft Entra ID” (texto en inglés) de CISA, exigida en virtud de BOD 25-01, establece que las contraseñas de usuario NO DEBEN vencer. El incumplimiento puede tener consecuencias normativas y operativas, en particular para los organismos federales y los contratistas que se rigen por CISA. En el panorama de seguridad actual, exigir el vencimiento de contraseñas no se ajusta a los principios de la seguridad centrada en la identidad, que priorizan la supervisión continua, el acceso condicional y los controles basados en amenazas antes que las políticas rígidas del ciclo de vida de las contraseñas.
En las pautas modernas de <a href="https://pages.nist.gov/800-63-FAQ/#q-b05">NIST SP 800-63</a> también se desaconseja la rotación arbitraria de contraseñas y se señala que los cambios periódicos forzados sin pruebas de vulneración pueden reducir la aleatoriedad de las contraseñas y debilitar la seguridad general.
Este indicador de exposición detecta los dominios que permiten la vencimiento de contraseñas después de un determinado período.

Detecciones

Vencimiento de contraseñas exigido

LOW

Version 202506111610