Antananrivo, Madagascar – 14 de octubre de 2026

PostgreSQL credcheck extension

La extensión de PostgreSQL credcheck permite realizar comprobaciones generales de credenciales durante la creación de un usuario, durante el cambio de contraseña y el cambio de nombre de usuario. Mediante esta extensión, es posible definir un conjunto de reglas:

• permitir un conjunto específico de credenciales
• rechazar cierto tipo de credenciales
• negar contraseñas fáciles de descifrar
• establecer el uso de una fecha de caducidad para la contraseña con un mínimo de días
• definir una política de reutilización de contraseñas
• definir el número de intentos de autenticación erróneos permitidos antes de bloquear a un usuario
• añadir un retardo tras cada fallo de autenticación
• exigir que los usuarios cambien su contraseña después del primer inicio de sesión
• generar una advertencia N días antes de que expire la contraseña del usuario
• prohibir los cambios de contraseña
• registrar el último inicio de sesión y de los eventos de arranque y apagado del sistema
• gestionar los errores de autenticación con PgBouncer

Se ha publicado la versión 6.0, 

Esta versión principal incorpora nuevas funcionalidades y soluciona varios problemas reportados por los usuarios desde el lanzamiento de la versión anterior.

• Se permite la integración de la funcionalidad max_auth_failure con PgBouncer. Para obtener más información, consulten la documentación.
• Se permite el uso de password_change_first_login con PgBouncer.
• Se añade el parámetro credcheck.password_valid_min, que permite establecer un período de validez breve (VALID UNTIL) para los roles recién creados. Esto resulta útil para forzar a los nuevos usuarios a cambiar su contraseña cuanto antes cuando el cliente utilizado (DBeaver, pgAdmin, etc.) no puede gestionar el error que se devuelve al activar credcheck.password_change_first_login.
• Se incorpora un historial opcional de los últimos inicios de sesión, basado en los mecanismos de Unix last(1)/wtmp. Registra las sesiones de usuario con datos como el nombre de usuario, la hora de inicio de sesión, la duración, el PID del proceso backend, la IP y el puerto de origen y, opcionalmente, la última consulta SQL ejecutada. También registra los eventos de arranque, apagado y caída de PostgreSQL.
• Se modifica el comportamiento de credcheck.no_password_logging: en lugar de ocultar la sentencia que provoca el error, sustituye por puntos el literal de cada cláusula PASSWORD ‘\<literal>’. De este modo, la contraseña no queda expuesta en los registros.
• Se añade la función pg_check_password( IN username name, IN password text ), que permite validar una contraseña propuesta y su nombre de usuario asociado frente a las políticas de credcheck, sin necesidad de crear ni modificar un rol.
• Se ha corregido una vulnerabilidad que permitía la escalada de privilegios al ejecutar ALTER ROLE sobre el propio rol cuando se configura password_valid_until.
• Se han solucionado varias fugas de memoria y un desbordamiento del heap.

La actualización requiere el reinicio de PostgreSQL para recargar la biblioteca credcheck.

La lista completa de cambios y los agradecimientos están disponibles aquí.

Enlaces y créditos

credcheck es un proyecto de código abierto publicado bajo la licencia de PostgreSQL y mantenido por HexaCluster. Se agradece cualquier contribución que nos ayude a mejorar la herramienta. Pueden enviar sus ideas, peticiones de funcionalidades o parches a través de las herramientas de GitHub.

Enlaces :

• Descargas:  https://github.com/HexaCluster/credcheck/releases/
• Soporte: utilicen la herramienta para reportes de GitHub en https://github.com/HexaCluster/credcheck/issues

Sobre credcheck

La extensión credcheck es desarrollada y mantenida por Gilles Darold en HexaCluster Corp. Si necesitan más información, contáctennos.  

Documentación en https://github.com/HexaCluster/credcheck#readme