Passkeys: la sustituta de la contraseña explicada en simple

¿Qué es una passkey?

Una passkey (en español, «llave de acceso») es una forma de iniciar sesión que sustituye la contraseña por un par de claves criptográficas. Se basa en los estándares FIDO2 de la FIDO Alliance y WebAuthn del W3C, los mismos que usan desde hace años las llaves de seguridad físicas.

La idea, simplificada, es esta: cuando creas una passkey para un servicio, tu dispositivo genera dos claves relacionadas.

• La clave privada se queda contigo: en tu móvil, en tu ordenador, en tu gestor de contraseñas o en una llave física. Nunca se envía al servicio.
• La clave pública se guarda en el servidor del servicio. Sirve para comprobar firmas, pero no para crearlas.

Al iniciar sesión, el servidor envía un desafío (un dato aleatorio de un solo uso). Tu dispositivo te pide desbloquearlo con la huella, la cara o el PIN y, si todo va bien, firma ese desafío con la clave privada. El servidor verifica la firma con la clave pública y te deja entrar. No hay nada que teclear ni nada secreto que viaje por la red.

¿Por qué las passkeys resisten el phishing?

El phishing funciona porque engaña a una persona: una web que se parece a la de tu banco te convence de escribir tu contraseña y tu código de verificación, y el atacante los reutiliza al instante. Contra eso, ni la contraseña más larga ni el código por SMS o app sirven de mucho, como explicamos en la guía de autenticación de dos factores.

Las passkeys cambian quién toma la decisión. Cada passkey queda vinculada al dominio para el que se creó, y es el navegador o el sistema operativo, no tú, quien comprueba en qué web estás. Si una página falsa en un dominio parecido pide iniciar sesión, tu dispositivo simplemente no encuentra ninguna passkey para ese dominio y no firma nada. No hay contraseña que puedas entregar por error.

Además, como no existe un secreto compartido, las passkeys eliminan otros dos problemas clásicos: la reutilización (cada passkey es única por servicio) y el relleno de credenciales con contraseñas filtradas.

Passkeys sincronizadas o ligadas al dispositivo: ¿cuál es la diferencia?

No todas las passkeys se guardan igual. Hay dos grandes familias:

Para la mayoría de personas, las passkeys sincronizadas son el equilibrio adecuado entre seguridad y comodidad. Las ligadas al dispositivo tienen sentido en cuentas de alto riesgo (administración de sistemas, finanzas, periodismo); las comparamos en nuestra comparativa de llaves físicas.

¿Cómo creo una passkey?

Los menús cambian con frecuencia, pero el proceso es muy parecido en todos los grandes servicios:

Muchas webs y apps también te ofrecen crear una passkey justo después de iniciar sesión. Si aceptas, el proceso es el mismo desde el paso 3.

¿Y si quiero usarla en otro ordenador?

Si el ordenador no tiene tu passkey, la mayoría de navegadores muestran un código QR. Lo escaneas con el móvil, que usa Bluetooth para comprobar que está físicamente cerca, y firmas desde el teléfono. Esa comprobación de proximidad impide que alguien a distancia te haga escanear un QR para robarte la sesión.

¿Qué limitaciones tienen hoy las passkeys?

Son una mejora enorme, pero no están exentas de pegas:

• Portabilidad. Mover passkeys entre ecosistemas (por ejemplo, de Apple a Android, o de un gestor a otro) ha sido tradicionalmente complicado. La FIDO Alliance ha trabajado en formatos estándar de intercambio de credenciales y algunos proveedores ya empiezan a ofrecer importación y exportación, pero conviene comprobarlo antes de casarte con uno.
• Recuperación de la cuenta. Tu passkey es tan segura como el método que te permite recuperar la cuenta si la pierdes. Si el servicio permite volver a entrar con un simple código por SMS, ese es ahora el eslabón débil.
• Dispositivos compartidos. Si compartes una tableta o un ordenador con tu familia, quien pueda desbloquear ese dispositivo podría usar las passkeys guardadas en él. Usa perfiles separados o guarda las passkeys en tu móvil personal.
• Soporte desigual. Cada vez más servicios las admiten, pero muchos todavía no, y algunos solo las ofrecen en ciertas plataformas.
• Contraseña de respaldo. Muchos servicios mantienen la contraseña como alternativa. Mientras exista, sigue siendo un punto de ataque.

Passkeys frente a la verificación en dos pasos

Una passkey ya combina dos factores: algo que tienes (el dispositivo con la clave privada) y algo que sabes o eres (el PIN o la biometría que la desbloquea). Por eso muchos servicios no piden un código adicional cuando entras con ella.

Comparada con los segundos factores tradicionales, una passkey es más segura que los códigos por SMS o por app TOTP porque, a diferencia de ellos, no se puede entregar a una web falsa. En ese aspecto juega en la misma liga que una llave física FIDO2, que de hecho puede almacenar passkeys.

¿Debo seguir teniendo contraseña?

Hoy, en la mayoría de casos, sí. Mientras el servicio permita entrar con contraseña, esa contraseña debe ser larga, única y guardada en un gestor, y la verificación en dos pasos debe seguir activa. Si la cuenta te deja eliminar la contraseña por completo y tienes al menos dos passkeys registradas (por ejemplo, la del móvil y una llave física), puedes plantearte hacerlo.

Nuestra recomendación práctica:

1. Crea passkeys en tus cuentas más importantes que lo permitan: correo, gestor de contraseñas, banca y redes sociales.
2. Registra al menos dos métodos de acceso resistentes al phishing cuando puedas.
3. Revisa y refuerza los métodos de recuperación de cada cuenta.
4. Para todo lo demás, sigue usando contraseñas únicas creadas con el generador de contraseñas y guardadas en un gestor.

Si quieres entender mejor los términos que aparecen en este artículo (FIDO2, WebAuthn, TOTP, hash…), los tienes definidos en el glosario de seguridad.