El comando passwd en Linux: cómo cambiar contraseñas de usuario de forma segura

Introducción

En cualquier sistema Linux la gestión de credenciales es una tarea fundamental para mantener la seguridad. El comando passwd permite a los administradores y a los usuarios propios cambiar sus contraseñas de forma rápida y controlada. A través de sus diversas opciones es posible no solo actualizar la clave, sino también bloquear cuentas, establecer políticas de expiración y consultar el estado de la autenticación. En este artículo se explica paso a paso cómo usar passwd de manera efectiva, con ejemplos prácticos y recomendaciones de buenas prácticas.

Sintaxis básica del comando passwd

La forma más simple de invocar passwd es simplemente escribir su nombre en la terminal. Sin argumentos, el comando solicita la contraseña actual del usuario que lo ejecuta y luego pide dos veces la nueva contraseña para confirmarla. La sintaxis general es:

passwd [opciones] [usuario]

Si se especifica un nombre de usuario, el comando actúa sobre esa cuenta siempre que el proceso tenga los privilegios necesarios (normalmente se requiere ser root o tener permisos mediante sudo). Las opciones modifican el comportamiento del comando, permitiendo acciones como bloquear o desbloquear la cuenta, mostrar información de estado o definir políticas de caducidad.

Cambiar la contraseña de tu propio usuario

Para cambiar la clave de tu propio usuario, abre una terminal y ejecuta:

passwd

El sistema te pedirá:

Tu contraseña actual.
La nueva contraseña.
Confirmación de la nueva contraseña.

Si las dos entradas de la nueva contraseña coinciden y cumplen con las reglas de complejidad configuradas en el sistema (longitud mínima, uso de caracteres especiales, etc.), la clave se actualizará inmediatamente. En caso de error, el comando mostrará un mensaje y permitirá intentarlo nuevamente.

Cambiar la contraseña de otro usuario (requiere privilegios)

Los administradores pueden modificar la contraseña de cualquier cuenta del sistema. Por ejemplo, para cambiar la clave del usuario juan se ejecuta:

sudo passwd juan

Tras pedir la contraseña de sudo (si está configurado), el sistema solicitará la nueva contraseña para el usuario juan y su confirmación. No se pide la contraseña actual de esa cuenta, ya que el proceso root tiene autoridad para sobrescribirla. Este método es útil cuando se necesita restablecer el acceso de un usuario que ha olvidado su clave.

Opciones útiles de passwd

-l: Bloquea la cuenta del usuario, impidiendo que se autentique. Se usa frecuentemente cuando se sospecha de un compromiso.
-u: Desbloquea una cuenta previamente bloqueada con -l.
-S: Muestra información breve sobre el estado de la cuenta, como si está bloqueada, la fecha del último cambio y la política de expiración.
-n días: Establece el número mínimo de días que deben transcurrir antes de que el usuario pueda cambiar su contraseña nuevamente.
-x días: Define el número máximo de días que la contraseña permanece válida; tras ese periodo se obliga al usuario a cambiarla.
-w días: Configura cuántos días antes de la expiración el sistema comenzará a advertir al usuario.
-i días: Especifica el número de días de inactividad después de la expiración antes de que la cuenta se bloquee automáticamente.

Estas opciones se combinan según las necesidades de política de seguridad. Por ejemplo, para establecer que una caducidad cada 90 días, con aviso 7 días antes y bloqueo después de 3 días de inactividad tras la expiración, se podría usar:

sudo passwd -x 90 -w 7 -i 3 juan

Ejemplos prácticos

A continuación se presentan varios escenarios comunes:

Forzar un cambio inmediato en el próximo inicio de sesión:

sudo passwd -e juan

Ver el estado de la cuenta de maria:

passwd -S maria

Bloquear la cuenta de un usuario temporalmente:

sudo passwd -l tempuser

Desbloquearla nuevamente:

sudo passwd -u tempuser

Buenas prácticas de seguridad

Utiliza contraseñas largas y complejas, preferiblemente generadas por un gestor de contraseñas.
Cambia las credenciales periódicamente, siguiendo las políticas definidas con las opciones -x y -w.
Evita reutilizar contraseñas entre diferentes servicios o cuentas.
Audita regularmente las cuentas con passwd -S para detectar estados inusuales (como cuentas bloqueadas sin motivo).
Registra los cambios de contraseña en los logs del sistema para mantener un historial de acceso.

Conclusión

El comando passwd es una herramienta esencial tanto para usuarios comunes como para administradores de sistemas Linux. Su simplicidad en el uso básico se combina con un amplio conjunto de opciones que permiten aplicar rigurosas políticas de seguridad. Conocer su sintaxis, sus modificadores y las mejores prácticas garantiza que las credenciales se mantengan protegidas y que el sistema pueda responder adecuadamente a incidentes o requerimientos de cumplimiento. Dominar passwd contribuye directamente a una administración más segura y eficiente de cualquier entorno Linux.