Los routers que están llegando al mercado y varios de los modelos que instalan las operadoras de fibra en España ya no aceptan contraseñas wifi débiles: obligan a usar claves largas que combinan mayúsculas, minúsculas, números y símbolos. Según ha publicado BandaAncha, los fabricantes han endurecido esta configuración para adaptarse a la normativa europea de ciberseguridad, que exige a estos equipos una configuración segura por defecto y protección contra el acceso no autorizado.
Las claves de las nuevas contraseñas wifi obligatorias en 30 segundos
- Muchos routers nuevos rechazan claves wifi sencillas y suelen pedir al menos 12 caracteres de distintos tipos.
- El Reglamento de Ciberresiliencia de la UE incluye de forma expresa a routers y módems y será aplicable desde el 11/12/2027.
- La norma no fija una longitud mínima de contraseña; son los fabricantes quienes la han elegido.
- Quien cambie de router con una clave débil tendrá que reconfigurar todos los dispositivos de casa.
El estándar wifi permite contraseñas de solo 8 caracteres y no impone ninguna regla sobre su composición. Por eso durante años ha sido habitual ver redes domésticas protegidas con un nombre, una fecha o una palabra fácil de recordar. El cambio afecta sobre todo a quien lleva tiempo con la misma clave sencilla en el móvil, la televisión, los altavoces y el resto de aparatos: al estrenar un router que la rechaza, tendrá que escribir la nueva en cada uno de ellos.
Por qué una clave de 8 caracteres ya no basta
Según la tabla que acompaña al generador de claves de BandaAncha, descifrar por fuerza bruta una contraseña de 8 caracteres lleva poco más de 10 minutos, incluso si mezcla letras, números y símbolos. Con 12 caracteres, el tiempo necesario pasa a ser de varios años. El mismo medio recuerda que la agencia de inteligencia de Estados Unidos recomienda llegar a 20 caracteres. Estas estimaciones dependen del equipo que use el atacante, así que deben tomarse como orientación y no como un cálculo exacto.
Entre los modelos que ya aplican esta restricción, BandaAncha cita routers de operadoras de fibra como el Comtrend GRG-4355U o el Zyxel PE5301-01 que Digi entrega con su fibra de 10 Gb. En la práctica, la mayoría de fabricantes ha optado por exigir un mínimo de 12 caracteres con mayúsculas, minúsculas, números y caracteres especiales. Para quien no quiera memorizar algo así, un gestor de contraseñas permite generar y guardar la clave.
Qué dice el Reglamento de Ciberresiliencia
El Reglamento (UE) 2024/2847, conocido como Reglamento de Ciberresiliencia, fija requisitos de ciberseguridad para los productos con elementos digitales que se venden en la Unión Europea. Su anexo III incluye expresamente entre los productos importantes de clase I los «Enrutadores, módems destinados a la conexión a internet e interruptores», es decir, routers, módems y switches.
Entre los requisitos esenciales del anexo I, el texto establece que los productos «se comercializarán con una configuración segura por defecto» y que deben garantizar la protección contra el «acceso no autorizado mediante mecanismos de control adecuados», incluidos los sistemas de autenticación. El reglamento no menciona una longitud ni una composición concreta para las contraseñas. La decisión de exigir 12 caracteres o más es de los fabricantes, que prefieren curarse en salud.
En cuanto a los plazos, el reglamento entró en vigor el 10/12/2024, pero sus obligaciones generales serán aplicables a partir del 11/12/2027. Hay excepciones: la obligación de notificar vulnerabilidades explotadas activamente (artículo 14) se aplica desde el 11/09/2026 y las normas sobre organismos de evaluación de la conformidad, desde el 11/06/2026.
El marcado CE ya exige ciberseguridad
Los routers wifi no tienen que esperar a 2027. Como equipos radioeléctricos, desde el 01/08/2025 deben cumplir los requisitos de ciberseguridad de la Directiva de equipos radioeléctricos activados por el Reglamento Delegado (UE) 2022/30, entre ellos la protección de la red y de los datos personales. Sin ese cumplimiento no pueden llevar el marcado CE ni venderse en la UE. La Comisión aprobó en 2026 el Reglamento Delegado (UE) 2026/339, que deroga el de 2022 con efecto a partir del 11/12/2027, cuando el Reglamento de Ciberresiliencia pasará a cubrir esos requisitos y se evitará que los mismos aparatos estén sujetos a dos marcos distintos.
Para el usuario, la consecuencia más directa es que el router que le instale su operadora o el que compre por su cuenta, como los modelos que analizamos al hablar de cambiar el router de la operadora, puede rechazar la clave de siempre. BandaAncha recomienda adelantarse y pasar ya a una contraseña robusta, para no tener que hacerlo con prisas el día que llegue el equipo nuevo.
Preguntas frecuentes
¿Qué longitud debe tener la contraseña del wifi en los routers nuevos?
La normativa europea no fija una cifra, pero la mayoría de fabricantes exige al menos 12 caracteres con mayúsculas, minúsculas, números y caracteres especiales.
¿Desde cuándo es obligatorio el Reglamento de Ciberresiliencia?
Entró en vigor el 10/12/2024 y sus obligaciones generales se aplicarán a partir del 11/12/2027. Algunas partes, como la notificación de vulnerabilidades explotadas, se aplican desde el 11/09/2026.
¿Tendré que cambiar la clave si mi router actual la acepta?
No de forma inmediata, pero si cambias de router es probable que el nuevo no acepte una clave débil y tengas que reconfigurar todos los dispositivos de casa.
¿Afecta también a los routers de las operadoras?
Sí. BandaAncha cita varios modelos instalados por operadoras de fibra, como el Zyxel PE5301-01 de Digi, que ya exigen claves robustas.
Fuentes:
