Guía
Requisitos de contraseñas PCI DSS, explicados para la versión 4.0
Los requisitos de contraseñas PCI DSS cambiaron con la versión 4.0, y la longitud mínima mayor es obligatoria desde 2025. Muchos comercios deben actualizar configuración y política.
- Preparamos, un QSA evalúa
- Rangos de precio publicados
- Estimación por escrito, todo por correo
Lo básico de los requisitos de contraseñas PCI DSS
El requisito 8 regula la identificación y la autenticación. Las reglas de contraseñas son pocas, pero cada una necesita evidencia, no solo una línea en la política.
| Regla | Lo que espera la versión 4.0 |
|---|---|
| Longitud mínima | Al menos 12 caracteres, o 8 si un sistema no admite 12. |
| Complejidad | Números y letras. |
| Historial | No repetir ninguna de las últimas cuatro contraseñas. |
| Bloqueo | Tras no más de 10 intentos fallidos, por al menos 30 minutos. |
| Cambio | Cada 90 días si la contraseña es el único factor, salvo que el acceso se analice de forma dinámica. |
Cómo cambia la MFA los requisitos de contraseñas PCI DSS
La autenticación multifactor es obligatoria para todo acceso al entorno de datos del tarjetahabiente, y también para el acceso administrativo. Así, la contraseña pasa a ser un factor entre varios, no toda la defensa.
Autodiagnóstico de requisitos de contraseñas PCI DSS
Marque lo que puede demostrar hoy. Lo que quede sin marcar es donde suelen aparecer hallazgos.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Dónde fallan los requisitos de contraseñas PCI DSS
Casi todos los hallazgos vienen de sistemas olvidados. Por ejemplo, un equipo de red conserva una longitud vieja, o una cuenta de servicio nunca cambia.
- Contraseñas predeterminadas del fabricante en los equipos
- Cuentas compartidas sin responsabilidad individual
- Cuentas de servicio fuera de la revisión
- Políticas que dicen 12 caracteres mientras los sistemas permiten 8
Las evidencias que revisa un QSA
Los evaluadores suelen comparar la política con la configuración. Guarde capturas o exportaciones de esa configuración y registros de las revisiones de cuentas. Anote también todo sistema que no admita 12 caracteres, porque esa excepción necesita una razón.
Dónde ayudamos
No somos un QSA, así que no decidimos si usted cumple. Revisamos la configuración frente a la política y cerramos las brechas antes de su evaluación. El trabajo de políticas y documentación cuesta $10,000–$30,000. La norma está en la biblioteca de documentos del PCI SSC.
Preguntas sobre los requisitos de contraseñas PCI DSS
¿Desde cuándo aplican los requisitos de contraseñas PCI DSS de 12 caracteres?
La longitud mayor se volvió obligatoria el 31 de marzo de 2025, tras el periodo de transición de la versión 4.0.
¿Los requisitos de contraseñas PCI DSS aplican a los clientes?
Las contraseñas de clientes se tratan distinto. La regla de cambio cada 90 días, por ejemplo, no aplica a cuentas de clientes.
¿Se aceptan frases de contraseña según los requisitos de contraseñas PCI DSS?
Sí, si cumplen las reglas de longitud y complejidad.
¿La MFA elimina la necesidad de contraseñas robustas?
No. Cada factor debe cumplir sus propias reglas.
Guías relacionadas
Cierre sus brechas en contraseñas PCI DSS
Indíquenos cuántos sistemas tocan datos de tarjetas. Le enviamos una estimación por escrito, normalmente en un día hábil.
Quiero mi estimación por escrito