El comando passwd sirve para cambiar contraseñas y gestionar el estado de las cuentas de usuario en sistemas Linux y Unix. Es una herramienta básica, pero toca una parte sensible del sistema: autenticación, caducidad, bloqueo y archivos protegidos. Usarlo con criterio evita problemas; usarlo sin revisar opciones puede dejar una cuenta inaccesible.
Qué hace realmente passwd cuando cambias una contraseña
Cuando ejecutas passwd sin argumentos, el sistema entiende que quieres cambiar tu propia contraseña. Primero pide la actual, después la nueva y, por lo general, una confirmación. Si quieres cambiar la contraseña de otra cuenta, necesitas privilegios de administrador con root o sudo.
Para cambiar tu propia contraseña: passwd
Para cambiar la contraseña de otro usuario: sudo passwd usuario
La idea clave es simple: passwd no guarda la contraseña en texto plano. El sistema aplica una función hash y conserva solo esa representación. Así, aunque alguien lea el archivo donde se almacena la información de autenticación, no debería ver la contraseña real.
/etc/passwd no es lo mismo que /etc/shadow
El archivo /etc/passwd contiene información básica de las cuentas: nombre de usuario, identificadores, directorio personal y shell. En sistemas modernos, la contraseña cifrada no suele estar ahí, sino en /etc/shadow, que tiene permisos mucho más restrictivos. Esa separación es la base del modelo de shadow password.
También puede intervenir PAM, el conjunto de módulos de autenticación conectables. Gracias a PAM, passwd puede trabajar con distintos mecanismos de autenticación, incluidos NIS, Kerberos o LDAP, siempre que el sistema esté configurado para ello.
Sintaxis mínima y opciones que conviene conocer
La estructura general es sencilla: passwd [opciones] [usuario]. Sin usuario, actúa sobre tu cuenta. Con usuario, actúa sobre esa cuenta concreta, pero necesitarás permisos elevados si no es la tuya.
| Opción | Uso | Ejemplo |
|---|---|---|
| -S | Muestra el estado de la contraseña de una cuenta. | passwd -S usuario |
| -l | Bloquea la contraseña de una cuenta. | sudo passwd -l usuario |
| -u | Desbloquea una cuenta bloqueada. | sudo passwd -u usuario |
| -d | Elimina la contraseña de la cuenta. Debe usarse con mucho cuidado. | sudo passwd -d usuario |
| -e | Fuerza la caducidad para que el usuario cambie la contraseña al iniciar sesión. | sudo passwd -e usuario |
| -x | Define el máximo de días de validez de la contraseña. | sudo passwd -x 100 usuario |
| -n | Define el mínimo de días antes de poder cambiarla otra vez. | sudo passwd -n 5 usuario |
| -w | Avisa con antelación antes de la caducidad. | sudo passwd -w 7 usuario |
| -i | Desactiva la cuenta tras varios días de inactividad posterior a la caducidad. | sudo passwd -i 10 usuario |
También existen -a o –all, usado junto con ciertas consultas como el estado global, y -k o –keep-tokens, pensado para conservar tokens de autenticación que no han caducado en escenarios concretos.
Ejemplos prácticos para administración diaria
Forzar cambio de contraseña en el próximo inicio
Si acabas de crear una cuenta temporal o has entregado una contraseña inicial, lo correcto es obligar al usuario a cambiarla cuanto antes. Para eso sirve -e.
Comando: sudo passwd -e usuario
Este comando marca la contraseña como caducada. La consecuencia práctica es clara: en el próximo inicio de sesión, el usuario tendrá que definir una nueva contraseña antes de continuar.
Definir una política de caducidad razonable
Una política típica puede combinar varios parámetros: caducidad cada 100 días, mínimo de 5 días entre cambios, aviso 7 días antes y desactivación tras 10 días de inactividad posterior a la caducidad.
Comandos: sudo passwd -x 100 usuario; sudo passwd -n 5 usuario; sudo passwd -w 7 usuario; sudo passwd -i 10 usuario
Estas opciones se complementan entre sí. -x fija cuánto dura la contraseña, -n evita cambios demasiado seguidos, -w da margen al usuario para renovarla y -i corta el acceso si la cuenta queda olvidada después de la caducidad. En administración diaria, esa combinación reduce sobresaltos y ayuda a mantener el control de cuentas activas.
Bloquear una cuenta sin borrarla
Si sospechas que una cuenta está comprometida, o si un usuario deja temporalmente el equipo, bloquear puede ser mejor que eliminar. Mantienes archivos, permisos y trazabilidad, pero impides el uso de la contraseña.
Bloquear: sudo passwd -l usuario
Desbloquear: sudo passwd -u usuario
También puedes consultar el estado antes de tocar nada con passwd -S usuario. Es una comprobación útil cuando administras varias cuentas y necesitas saber si la contraseña está activa, bloqueada o caducada.
Errores comunes y señales que no debes ignorar
Si ves un error de permisos, casi siempre el problema es simple: estás intentando modificar una cuenta ajena sin sudo o sin ser root. Repite el comando con privilegios elevados solo si realmente tienes autorización para administrar esa cuenta.
Si el sistema rechaza una contraseña por ser débil, no lo trates como una molestia. Es una defensa. Evita contraseñas basadas en nombres, fechas, patrones de teclado o variaciones mínimas de la anterior. En entornos corporativos, conviene apoyar passwd con políticas PAM, LDAP o Kerberos para aplicar reglas consistentes.
Otro caso delicado es sudo passwd -d usuario. Eliminar la contraseña puede abrir comportamientos inseguros según la configuración del sistema. En servidores y estaciones compartidas, suele ser preferible bloquear, caducar o restablecer la contraseña antes que dejar una cuenta sin secreto de autenticación.
Si una cuenta ha quedado inactiva durante demasiado tiempo después de la caducidad, la opción -i ayuda a cerrarla de forma automática. Eso evita que una cuenta antigua siga disponible por descuido, algo muy común en entornos con rotación de personal o cuentas temporales.
passwd no es passwd.team: misma palabra, dos mundos distintos
En resultados de búsqueda puede aparecer passwd.team, pero no es el comando de Linux. Es un gestor de contraseñas orientado a equipos que usan Google Workspace, con inicio de sesión único y sincronización de usuarios y grupos. Su terreno es la gestión empresarial de secretos compartidos; el del comando passwd es la administración local o integrada de cuentas del sistema.
La diferencia importa: si estás en una terminal y necesitas cambiar, bloquear o caducar una cuenta, buscas el comando passwd. Si necesitas centralizar contraseñas de un equipo dentro de Google Workspace, estás mirando una herramienta SaaS distinta. Confundirlos no rompe nada, pero sí te hace perder tiempo en la dirección equivocada.