Windows permite establecer políticas que determinan durante cuánto tiempo puede utilizarse una contraseña antes de que sea necesario cambiarla. También puede mostrar avisos antes de que llegue la fecha de caducidad.
Estos ajustes son especialmente relevantes en equipos compartidos o administrados por una organización. En un ordenador doméstico, sin embargo, no siempre es necesario imponer cambios periódicos de contraseña.
Este manual explica cómo consultar y modificar la antigüedad máxima de las contraseñas locales, configurar el aviso previo y solucionar los problemas más habituales en Windows 10 y Windows 11.
Introducción
La caducidad de una contraseña y el aviso previo son dos configuraciones diferentes:
- Antigüedad máxima de la contraseña: establece el número máximo de días durante los que puede utilizarse una contraseña antes de que sea necesario cambiarla.
- Aviso previo a la caducidad: determina con cuántos días de antelación Windows avisa al usuario de que debe cambiar su contraseña.
El comportamiento depende del tipo de cuenta, de las políticas locales y, cuando el equipo pertenece a una organización, de las directivas administradas por esta.
Importante: las políticas de contraseñas descritas en este manual se refieren principalmente a cuentas locales de Windows. Las cuentas de Microsoft y las cuentas corporativas pueden estar sujetas a políticas diferentes.
Requisitos previos
Antes de modificar la configuración, comprueba lo siguiente:
- Tipo de cuenta: identifica si utilizas una cuenta local, una cuenta de Microsoft o una cuenta administrada por una organización.
- Permisos: necesitarás permisos de administrador para cambiar determinadas políticas del equipo.
- Edición de Windows: el Editor de directivas de grupo local está disponible normalmente en las ediciones Pro, Enterprise y Education. Windows Home dispone de otras herramientas para administrar las cuentas locales.
- Precaución: antes de editar el Registro, crea una copia de seguridad de la clave que vayas a modificar.
Si el ordenador está unido a un dominio corporativo o administrado mediante herramientas de empresa, las políticas centralizadas pueden prevalecer sobre los ajustes locales.
1. Consultar la política de caducidad de contraseñas
Antes de modificar nada, conviene comprobar la política actual de las cuentas locales.
Método mediante la línea de comandos
- Abre el menú Inicio.
- Escribe
cmd. - Selecciona Símbolo del sistema.
- Ejecuta el siguiente comando:
net accounts
Windows mostrará información sobre las políticas de las cuentas locales, incluidos los valores de antigüedad mínima y máxima de las contraseñas, cuando corresponda.
Busca el apartado relacionado con la antigüedad máxima de la contraseña.
Si el valor es Ilimitado, no se aplica un límite máximo de antigüedad mediante esa configuración.
Este comando es una forma sencilla de consultar la política sin modificar el Registro.
2. Configurar la caducidad mediante las directivas de seguridad
En las ediciones de Windows que incluyen las herramientas correspondientes, la política de antigüedad máxima puede configurarse desde las directivas de seguridad locales.
Pasos para abrir la política
- Pulsa Win + R.
- Escribe
secpol.mscy pulsa Intro. - Abre la sección Directivas de cuenta.
- Selecciona Directiva de contraseñas.
- Haz doble clic en Antigüedad máxima de la contraseña.
- Introduce el número de días deseado.
- Pulsa Aplicar y después Aceptar.
En las ediciones compatibles, esta política también se encuentra en el Editor de directivas de grupo local, mediante la ruta:
Configuración del equipo > Configuración de Windows > Configuración de seguridad > Directivas de cuenta > Directiva de contraseñas.
En Windows Home: con net accounts
Windows Home no incluye secpol.msc ni el Editor de directivas de grupo, pero puedes cambiar la antigüedad máxima desde la línea de comandos. Abre Terminal (Administrador) o el Símbolo del sistema como administrador y ejecuta uno de estos comandos:
net accounts /maxpwage:90: la contraseña caduca a los 90 días (cambia el número por los días que quieras).net accounts /maxpwage:unlimited: la contraseña no caduca nunca.
Funciona en todas las ediciones, no solo en Home, y afecta a todas las cuentas locales del equipo. Las cuentas de Microsoft no se ven afectadas.
¿Qué valor debo establecer?
El número de días depende de las necesidades de seguridad y de las políticas de la organización.
- 30 días: renovación frecuente.
- 60 días: renovación periódica.
- 90 días: intervalo utilizado tradicionalmente en muchas organizaciones.
- 0 días: indica que no se establece una antigüedad máxima mediante esta política.
No obstante, los cambios periódicos obligatorios no son siempre la opción más segura. Microsoft recomienda evitar la caducidad periódica forzada en sus recomendaciones modernas para contraseñas de cuentas en la nube. En equipos domésticos, suele ser preferible utilizar contraseñas robustas y únicas y cambiarlas cuando exista sospecha de que se han comprometido.
3. Configurar el aviso previo a la caducidad
Windows incluye una política de seguridad que determina con cuántos días de antelación se avisa al usuario de que su contraseña está próxima a caducar.
En lugar de modificar directamente el Registro, cuando la herramienta está disponible es preferible utilizar la directiva correspondiente.
Procedimiento
- Pulsa Win + R.
- Escribe
secpol.mscy pulsa Intro. - Abre Directivas locales.
- Selecciona Opciones de seguridad.
- Busca la directiva Inicio de sesión interactivo: avisar al usuario para que cambie la contraseña antes de que caduque.
- Abre la directiva e introduce el número de días de antelación que desees.
- Aplica los cambios.
Un valor de 14 días es una configuración habitual en entornos administrados.
El aviso solo tiene sentido cuando la contraseña está sujeta a una política de caducidad. Si la contraseña no caduca, no habrá una fecha de expiración que justifique ese aviso.
Alternativa mediante el Registro
En algunas configuraciones de Windows, el comportamiento del aviso está relacionado con el valor PasswordExpiryWarning, ubicado en:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Antes de modificarlo, comprueba que el valor existe y que corresponde a la configuración que deseas cambiar. Si tu versión de Windows ofrece la directiva de seguridad anterior, es preferible utilizarla, ya que permite administrar el ajuste mediante la interfaz prevista para las políticas de seguridad.
Si decides editar el Registro, haz primero una copia de seguridad de la clave afectada. No cambies valores desconocidos ni des por hecho que una modificación del Registro prevalecerá sobre las políticas de una organización.
4. Otras políticas de contraseñas
En la sección Directivas de cuenta > Directiva de contraseñas también pueden aparecer otras opciones importantes.
Antigüedad mínima de la contraseña
Establece el tiempo mínimo que debe transcurrir antes de que se pueda cambiar de nuevo una contraseña.
Puede utilizarse junto con el historial de contraseñas para impedir que un usuario cambie repetidamente la contraseña hasta volver a una anterior.
Exigir historial de contraseñas
Permite impedir la reutilización de determinadas contraseñas anteriores.
Esta opción puede ser útil en equipos administrados, aunque debe configurarse de acuerdo con las necesidades reales de la organización.
Longitud mínima de la contraseña
Determina el número mínimo de caracteres que debe tener una contraseña.
Como medida general, conviene utilizar contraseñas largas, únicas y difíciles de adivinar, preferiblemente almacenadas en un gestor de contraseñas fiable.
5. Aplicar y comprobar los cambios
Después de modificar una política local, puedes actualizar las directivas mediante el siguiente comando, ejecutado en una terminal con los permisos correspondientes:
gpupdate /force
Este comando actualiza las directivas de grupo, pero no garantiza que todas las políticas se apliquen de inmediato ni que una directiva local pueda imponerse a otra administrada por una organización.
Si has modificado una política de contraseñas, comprueba el resultado mediante net accounts y revisa la configuración de seguridad correspondiente.
Si el equipo pertenece a una empresa, las directivas del dominio pueden volver a aplicar los valores definidos por el administrador.
Solución de problemas frecuentes
Windows solicita cambiar la contraseña sin que yo lo haya configurado
Comprueba si la cuenta tiene una antigüedad máxima definida, si existe una directiva de organización o si se ha establecido que la contraseña deba cambiarse en el siguiente inicio de sesión.
No atribuyas automáticamente el comportamiento a una configuración predeterminada: puede depender de la edición de Windows, del tipo de cuenta y de la administración del equipo.
Si solo quieres que una cuenta local concreta deje de caducar, sin cambiar la política de todo el equipo, abre PowerShell como administrador y ejecuta (cambia NombreUsuario por el nombre de la cuenta):
Set-LocalUser -Name "NombreUsuario" -PasswordNeverExpires $trueEn las ediciones Pro y superiores también puedes hacerlo de forma gráfica: pulsa Win + R, escribe lusrmgr.msc, entra en Usuarios, abre las propiedades de la cuenta y marca La contraseña nunca expira.
La opción de antigüedad máxima está atenuada
Puede ocurrir cuando una política está administrada por una organización o cuando la edición de Windows no incluye la herramienta gráfica utilizada.
Comprueba si el equipo está conectado a un dominio o administrado por la organización. En un ordenador con Windows Home, puedes consultar y cambiar la antigüedad máxima con net accounts, como se explica en el apartado 2.
El aviso aparece demasiado pronto o demasiado tarde
Comprueba la política de aviso previo a la caducidad y verifica cuál es la antigüedad máxima configurada para la contraseña.
Modificar el aviso no cambia la fecha real de caducidad: únicamente modifica el periodo de antelación de la notificación.
Los cambios no surten efecto
Comprueba que has modificado la política correcta, que tienes los permisos necesarios y que no existe una directiva de dominio que la sobrescriba.
Puedes ejecutar gpupdate /force y volver a consultar la configuración.
Preguntas frecuentes
¿Puedo configurar la caducidad de una cuenta de Microsoft desde estas opciones?
No debes asumir que las políticas locales controlan la contraseña de una cuenta de Microsoft. La administración de esa contraseña corresponde al servicio de Microsoft y a las opciones de la cuenta. Las cuentas corporativas pueden utilizar Microsoft Entra ID, Active Directory u otros mecanismos de administración.
¿Qué diferencia hay entre aviso y caducidad?
El aviso indica con cuánta antelación se informa al usuario de que la contraseña está próxima a caducar. La antigüedad máxima determina cuándo debe cambiarse la contraseña según la política aplicada.
¿Funciona en Windows 11?
Sí. Windows 11 conserva las políticas de seguridad para cuentas locales. La disponibilidad de las herramientas gráficas depende de la edición, y el comportamiento efectivo puede estar condicionado por las políticas de administración del equipo.
¿Es recomendable obligar a cambiar la contraseña cada 30 o 90 días?
No necesariamente. Microsoft recomienda evitar los cambios periódicos obligatorios en sus recomendaciones modernas para contraseñas de cuentas en la nube. Una contraseña robusta, única y protegida mediante autenticación multifactor cuando esté disponible suele ser una estrategia más adecuada. Si se sospecha que una contraseña ha sido comprometida, debe cambiarse sin esperar a una fecha de caducidad.
Conclusión
Windows permite administrar la caducidad de las contraseñas y los avisos previos mediante políticas de seguridad. Para evitar errores, es importante distinguir entre las cuentas locales, las cuentas de Microsoft y las cuentas administradas por una organización.
Antes de modificar los ajustes, consulta la configuración actual con net accounts. Si necesitas cambiar la antigüedad máxima o el aviso previo, utiliza las herramientas de seguridad disponibles en tu edición de Windows y verifica después que los cambios se hayan aplicado.
Para la mayoría de los usuarios domésticos, lo más importante es utilizar contraseñas robustas y únicas, mantener el sistema actualizado y activar la autenticación multifactor cuando sea posible, en lugar de depender exclusivamente de cambios periódicos obligatorios.