¿Qué es una llave de seguridad y por qué es tan segura?
Una llave de seguridad física es un pequeño dispositivo, normalmente del tamaño de una llave de casa, que guarda claves criptográficas que nunca salen de él. Cuando inicias sesión, el servicio le envía un desafío, la llave lo firma tras pulsar su botón y el servicio comprueba la firma.
Su gran ventaja frente a los códigos SMS o de app es que la firma va ligada al dominio real del servicio. Si caes en una página falsa que imita a tu banco o a tu correo, la llave simplemente no tiene credenciales para ese dominio y no responde. Por eso se describen como un método resistente al phishing, algo que la 2FA con códigos no puede ofrecer.
FIDO U2F, FIDO2 y WebAuthn: ¿qué siglas necesitas?
Los estándares los define la FIDO Alliance, junto con el W3C en la parte del navegador:
- FIDO U2F es el estándar original. La llave funciona solo como segundo factor: primero escribes tu contraseña y después la tocas.
- FIDO2 es la evolución. Se compone de WebAuthn (la interfaz que usan los navegadores) y CTAP2 (el protocolo entre el ordenador o el móvil y la llave). Además de segundo factor, permite iniciar sesión sin contraseña, protegiendo la llave con un PIN o una huella.
Las llaves FIDO2 siguen siendo compatibles con los servicios que solo admiten U2F, así que hoy no tiene sentido comprar una llave que únicamente soporte U2F. Busca FIDO2 como mínimo.
Passkeys y credenciales residentes: ¿cuántas caben?
Cuando usas la llave como segundo factor clásico, no guarda nada por cada cuenta: deriva la clave a partir de un secreto interno y de datos que conserva el servicio, así que puedes registrarla en un número prácticamente ilimitado de sitios.
Las passkeys almacenadas en la llave funcionan de otra forma. Son credenciales residentes (o «detectables»): se guardan dentro de la propia llave para que puedas iniciar sesión sin escribir siquiera el usuario. Y el espacio para ellas es limitado: según el modelo y la versión de firmware, la capacidad va de unas pocas decenas a bastantes más. Si piensas usar la llave como contenedor principal de passkeys, consulta este dato en la ficha técnica antes de comprar.
¿Qué conector elegir: USB-A, USB-C, Lightning o NFC?
Piensa en todos los dispositivos donde vas a iniciar sesión, no solo en el ordenador de hoy:
- USB-C: la opción más versátil para portátiles recientes y para la mayoría de móviles Android y los iPhone con USB-C.
- USB-A: útil si trabajas con ordenadores de sobremesa o equipos de empresa más antiguos.
- Lightning: solo tiene sentido si tu iPhone todavía usa ese conector. Hay modelos que combinan Lightning y USB-C.
- NFC: permite acercar la llave al móvil sin conectarla. Es muy cómodo en Android y en iPhone, y combina bien con cualquier conector USB.
Una combinación habitual y equilibrada es USB-C con NFC. Si tienes dispositivos mixtos, existen adaptadores, pero añaden una pieza más que perder.
¿Necesitas funciones extra como OTP, PIV u OpenPGP?
Algunas llaves son exclusivamente FIDO y otras incluyen más aplicaciones. Las más comunes:
- OATH (TOTP/HOTP): guarda en la llave los secretos de tus códigos de 6 dígitos y una app del fabricante los muestra al conectarla. Útil para servicios que no admiten FIDO.
- OTP propio del fabricante: la llave «teclea» un código al pulsarla. Hoy tiene un uso más limitado.
- PIV (tarjeta inteligente): para iniciar sesión en equipos de empresa, firmar o usar certificados.
- OpenPGP: para firmar y cifrar correo o commits de código, y para claves SSH.
Si solo quieres proteger tus cuentas personales, una llave solo FIDO2 suele bastar y es más sencilla. Las funciones extra interesan sobre todo a perfiles técnicos o a quien ya usa certificados en el trabajo.
Certificación FIDO y firmware: lo que no se ve
La FIDO Alliance mantiene un programa de certificación de autenticadores con varios niveles de seguridad (L1, L1+, L2, L3 y L3+). El nivel L1 verifica la conformidad funcional; los superiores exigen protecciones crecientes frente a ataques sobre el propio dispositivo. Algunos servicios lo tienen en cuenta: Apple, por ejemplo, exige llaves con certificación FIDO para usarlas con el Apple ID. Comprueba que el modelo concreto aparece como certificado.
Firmware abierto o cerrado
Aquí hay un equilibrio real, no un ganador claro:
- Firmware cerrado y no actualizable (el caso de las YubiKey, por ejemplo): nadie puede modificarlo, ni siquiera un atacante con la llave, pero si se descubre una vulnerabilidad la única solución es cambiar de llave. Ha ocurrido, por ejemplo con el fallo ROCA en 2017 o el canal lateral EUCLEAK publicado en 2024, este último con un ataque que exigía acceso físico prolongado y equipo especializado.
- Firmware abierto (SoloKeys o Nitrokey son ejemplos conocidos): el código se puede auditar públicamente y muchos modelos admiten actualizaciones. A cambio, el proceso de actualización es una superficie más que debe estar bien protegida.
Para la mayoría de usuarios ambas opciones son muy seguras. Si valoras la transparencia y la auditoría independiente, el firmware abierto pesa a favor.
Tabla: criterios para comparar llaves físicas
| Criterio | Qué buscar | Para quién es clave |
|---|---|---|
| Protocolo | FIDO2/WebAuthn (incluye compatibilidad U2F) | Todo el mundo |
| Passkeys residentes | Capacidad suficiente según la ficha técnica | Quien quiera iniciar sesión sin contraseña desde la llave |
| Conector | USB-C + NFC como base; USB-A o Lightning según tus equipos | Quien alterna ordenador y móvil |
| Verificación de usuario | PIN FIDO2 o lector de huella integrado | Quien teme perder la llave o usa passkeys |
| Funciones extra | OATH, PIV, OpenPGP | Perfiles técnicos y entornos de empresa |
| Certificación FIDO | Modelo listado como certificado; nivel L1 o superior | Quien la usará con Apple ID o en empresa |
| Firmware | Abierto y actualizable, o cerrado y no modificable | Quien prioriza auditoría pública o inmutabilidad |
| Resistencia física | Carcasa sin pilas, resistencia al agua indicada por el fabricante, anilla robusta | Quien la lleva en el llavero a diario |
Entre los fabricantes más conocidos están Yubico (YubiKey), Google (Titan), Nitrokey, SoloKeys, Feitian y Token2. Todos tienen modelos que cumplen los criterios básicos; la diferencia está en conectores, extras y filosofía de firmware.
¿Por qué deberías comprar dos llaves?
Una llave física no tiene copia de seguridad: no se puede clonar, y precisamente por eso es segura. Si la pierdes y era tu único segundo factor, dependes de los códigos de respaldo o de un proceso de recuperación que puede durar días.
La práctica recomendada es comprar dos llaves y registrar ambas en cada servicio: una en el llavero para el día a día y otra guardada en casa o en otro lugar seguro. Apple, de hecho, exige registrar al menos dos llaves. Cuando añadas una cuenta nueva, acuérdate de registrar también la de reserva.
¿Qué servicios admiten llaves de seguridad?
Las grandes plataformas las admiten desde hace años: cuentas de Google, Microsoft y Apple, Facebook, X, GitHub, Dropbox y muchos gestores de contraseñas. El soporte de passkeys, que también pueden vivir en la llave, crece cada año.
Donde aún es raro es en la banca: la mayoría de bancos en España confían la autenticación reforzada a su propia app. Sigue siendo útil proteger con llave el correo y el gestor, porque son la vía para recuperar casi todo lo demás.
Cómo configurar tu llave paso a paso
Primera configuración (unos minutos)
- Define un PIN FIDO2.Desde los ajustes del sistema (en Windows o en Chrome, en la gestión de llaves de seguridad) o con la app del fabricante. Usa algo que no sea tu fecha de nacimiento.
- Empieza por el correo principal.En la sección de seguridad, busca «llave de seguridad» o «passkey», conecta la llave y púlsala cuando se ilumine.
- Registra la segunda llave.En el mismo momento, repite el proceso con la llave de reserva y ponle un nombre que las distinga.
- Guarda los códigos de respaldo.Descárgalos o imprímelos y guárdalos separados de las llaves.
- Repite en el gestor y el resto de cuentas críticas.Prueba a cerrar sesión y entrar de nuevo con cada llave para confirmar que funcionan.
Una llave física refuerza el segundo factor, pero el primero también cuenta: si la contraseña del correo es débil o la usas en otros sitios, sigue siendo un riesgo en servicios donde aún no has activado la llave. Si quieres apuntar a lo más seguro, combina la llave con una buena contraseña maestra para tu gestor.