Los passkeys representan un cambio revolucionario en la forma en que protegemos nuestras identidades digitales, ofreciendo una alternativa más segura y conveniente a las contraseñas tradicionales.
Respaldados por gigantes tecnológicos como Apple, Google y Microsoft, los passkeys utilizan criptografía de clave pública para eliminar las vulnerabilidades de las contraseñas y mejorar la experiencia del usuario.
Este artículo explora cómo funcionan los passkeys, sus beneficios y desafíos, su estado actual de adopción y su potencial para transformar la autenticación en los próximos años.
¿Qué son los passkeys?
Definición y Conceptos Básicos
Los passkeys son credenciales criptográficas basadas en estándares FIDO que permiten a los usuarios iniciar sesión en aplicaciones y sitios web utilizando el mismo proceso que emplean para desbloquear sus dispositivos: típicamente biometría (huella digital o reconocimiento facial), un PIN o un patrón. A diferencia de las contraseñas tradicionales, que son secretos compartidos, los passkeys son claves digitales únicas que nunca abandonan el dispositivo del usuario en su forma completa.
Diferencias entre passkeys y contraseñas
La diferencia fundamental entre los passkeys y las contraseñas radica en su tecnología subyacente. Las contraseñas son “secretos compartidos” que los usuarios deben recordar e ingresar en sitios web, los cuales almacenan versiones cifradas llamadas hashes. Esto crea múltiples puntos de vulnerabilidad, ya que las contraseñas pueden ser robadas, adivinadas o capturadas mediante phishing.
Con las contraseñas, es fácil caer víctima del phishing porque podrías ingresar tu nombre de usuario y contraseña sin saberlo en un sitio malicioso diseñado para robar tus credenciales. Con los passkeys, sin embargo, los ciberdelincuentes no pueden engañarte para que ingreses tu información de inicio de sesión en un sitio falso, ya que no hay nada que ingresar. Esto hace que los passkeys sean inherentemente resistentes al phishing.
De hecho, esta resistencia es hoy su mayor argumento: frente a los ataques modernos que se saltan la verificación en dos pasos (los llamados adversary-in-the-middle, que roban la cookie de sesión), una passkey no se deja engañar, porque está atada al dominio real y se niega a autenticarse en una web falsa. Lo vemos en detalle en nuestro análisis de la seguridad del WiFi público. Así queda la comparación frente a los métodos clásicos:
| Contraseña | 2FA (SMS o app) | Passkey | |
| ¿Resistente al phishing? | No | Parcial | Sí |
| ¿Hay que recordarla? | Sí | No | No |
| ¿Aguanta una filtración del sitio? | No | No | Sí |
| ¿Se puede robar y reutilizar? | Sí | A veces | No |
| ¿Frena el robo de sesión (AiTM)? | No | No | Sí |
Por otro lado, los passkeys utilizan criptografía de clave pública donde se generan dos claves criptográficas durante la creación de la cuenta:
- Clave privada: se almacena de forma segura en el dispositivo del usuario y está protegida por módulos de seguridad como Secure Enclave (Apple), Trusted Platform Module (Windows) o Samsung Knox.
- Clave pública: se almacena en el servidor del proveedor de servicios; no es sensible y no puede usarse sola para acceder a la cuenta.
¿Cómo funcionan los passkeys?
Criptografía de Clave Pública-Privada
Los passkeys aprovechan la criptografía asimétrica (pares de claves pública-privada) para la autenticación. Al registrar un passkey con un servicio en línea, el dispositivo genera un par único de claves criptográficas específicamente para esa cuenta en ese servicio.
El proceso de registro generalmente ocurre después de que el usuario inicia sesión en el servicio con un método de autenticación existente. Cuando el usuario aprueba la creación del passkey desbloqueando su dispositivo, este se almacena en el gestor de contraseñas del usuario (o gestor de credenciales).
Proceso de Autenticación
Cuando un usuario intenta iniciar sesión en un servicio utilizando un passkey, el proceso funciona así:
- El servicio envía un desafío al dispositivo del usuario.
- El usuario desbloquea su dispositivo utilizando biometría, PIN o patrón.
- La clave privada firma el desafío.
- La firma se envía al servicio.
- El servicio verifica la firma utilizando la clave pública almacenada.
- Si se verifica correctamente, el usuario obtiene acceso.
Todo este proceso ocurre sin transmitir información sensible por Internet, lo que lo hace altamente seguro contra interceptaciones y ataques de phishing.
Mecanismos de Seguridad
Los passkeys ofrecen múltiples capas de protección:
- Vinculación al dominio: cada passkey es único para un sitio web o aplicación específica, lo que impide su uso en sitios falsos.
- Requisito de posesión física: la autenticación requiere tanto el dispositivo físico como la biometría o PIN del usuario.
- Seguridad del hardware: las claves privadas se almacenan en componentes especializados dentro del hardware del dispositivo.
- Sin secretos compartidos: a diferencia de las contraseñas, no hay nada que interceptar o robar durante la transmisión.
Beneficios de los passkeys
Mayor seguridad y resistencia al phishing
La ventaja más significativa de los passkeys es su resistencia inherente a los ataques de phishing. Según estudios citados, “los passkeys podrían prevenir hasta el 80% de los ataques por phishing y el 90% de los ataques basados en contraseñas débiles o robadas”.
Los passkeys mitigan efectivamente varios riesgos:
- Phishing: su naturaleza específica por dominio hace que los ataques sean ineficaces.
- Credential stuffing: dado que los passkeys no se comparten ni reutilizan entre sitios, estos ataques son imposibles.
- Brechas de datos: incluso si un proveedor es comprometido, los atacantes solo obtendrían claves públicas inútiles sin sus correspondientes claves privadas.
Experiencia mejorada para el usuario
Además de sus beneficios en seguridad, los passkeys ofrecen ventajas significativas en usabilidad:
- No hay contraseñas que recordar ni gestionar.
- Autenticación más rápida: Un análisis publicado indicó una reducción del 50% en el tiempo necesario para iniciar sesión con passkeys.
- Eliminación del proceso de restablecimiento: Las organizaciones pueden experimentar una disminución del 50% en costos relacionados con restablecimientos.
Autenticación multifactor incorporada
Los passkeys proporcionan autenticación multifactor por diseño al combinar:
- Algo que tienes (tu dispositivo).
- Algo que eres (biometría) o algo que sabes (PIN/patrón).
Estado actual de la adopción
La iniciativa arrancó con fuerza en 2022, cuando Apple, Google y Microsoft se comprometieron con el estándar de la FIDO Alliance. En 2026 la adopción es ya masiva:
- Microsoft activa las passkeys por defecto en todas las cuentas nuevas desde mayo de 2025.
- Google supera los 800 millones de cuentas con passkey, y Amazon las ha habilitado para 175 millones de clientes (con un inicio de sesión hasta seis veces más rápido que escribir la contraseña).
- Alrededor del 87% de las empresas de EE. UU. y Reino Unido ya las han desplegado o están en ello, y cerca del 48% de las 100 webs más grandes las admiten.
- Bancos y pasarelas de pago como PayPal o Visa las han adoptado por sus altos requisitos de seguridad, y varios gobiernos las usan ya para proteger servicios a la ciudadanía.
A pesar de sus ventajas, enfrentan obstáculos como dependencia tecnológica (hardware específico), compatibilidad entre dispositivos y sistemas heredados.
Si pierdes el teléfono que almacena tus claves, el impacto en tu capacidad para acceder a las cuentas dependerá de cómo se gestionen tus claves. Aquí tienes un desglose de lo que ocurre y las medidas que puedes tomar:
¿Por qué cambiar la app de autenticación (2FA) por las passkeys?
Si ya usas una app de verificación en dos pasos (Google Authenticator, Microsoft Authenticator, Authy…) para tus cuentas importantes, vas por muy buen camino: es infinitamente más seguro que usar solo la contraseña o los códigos por SMS. Pero las passkeys dan un paso más, y estas son las razones para migrar cuando el servicio lo permita:
- Resisten el phishing; el código de la app, no. Este es el motivo de peso. Ese código de 6 dígitos se puede robar en tiempo real: en un ataque adversary-in-the-middle, la web falsa te pide el código, tú lo tecleas y el atacante lo reenvía al instante a la web real, colándose en tu cuenta. Una passkey no cae en esa trampa, porque está atada al dominio auténtico y se niega a autenticarse en la web del impostor.
- No hay nada que teclear (ni a contrarreloj). Con la app copias un código que caduca en 30 segundos; con una passkey solo pones tu huella o tu cara. Es más rápido y no hay margen de error.
- Es el inicio de sesión completo, no un parche encima de la contraseña. El 2FA con app sigue dependiendo de una contraseña (que puede filtrarse en una brecha) más el código. La passkey sustituye a las dos cosas en un solo gesto: no hay contraseña que robar.
- Copia de seguridad más sencilla. Las passkeys modernas se sincronizan y respaldan en la nube (lo vemos en el siguiente capítulo). En cambio, muchas apps de códigos, si no exportas manualmente sus “semillas”, se pierden al cambiar de móvil.
¿Qué pasa si pierdes o formateas el teléfono?
Es la gran duda de todo el mundo antes de dar el paso: “si mis contraseñas están en el móvil, ¿qué pasa si lo pierdo o lo reseteo?”. La respuesta corta es tranquilizadora: si tus passkeys están sincronizadas, no pasa nada, ni al perderlo ni al formatearlo. Veamos por qué.
Entrando en detalle, esto es lo que ocurre y por qué no debes preocuparte:
- Las claves de acceso se sincronizan entre dispositivos: por lo general, las passkeys se sincronizan en todo tu ecosistema (por ejemplo, Apple iCloud Keychain, Google Password Manager o gestores de contraseñas de terceros como Proton Pass, 1Password, Dashlane o Bitwarden). Esto significa que si pierde un dispositivo, sus claves de acceso seguirán siendo accesibles en otros dispositivos vinculados a la misma cuenta. Por ejemplo, perder un iPhone no te bloquea si tienes un iPad o un MacBook conectados al mismo ID de Apple.
- El cifrado de extremo a extremo protege las claves: aunque alguien acceda físicamente a tu dispositivo perdido, las claves de acceso están cifradas y requieren verificación biométrica (por ejemplo, Face ID o Touch ID) o el código de acceso del dispositivo para poder acceder a ellas. Sin esta autenticación, las personas no autorizadas no pueden descifrar las passkeys almacenadas.
- Opciones de gestión remota: puedes desactivar o borrar remotamente las claves de acceso del dispositivo perdido utilizando servicios como Find My de Apple o las herramientas de gestión remota de cuentas de Google. De este modo, aunque un ladrón burle la seguridad del dispositivo, las claves almacenadas en él dejarán de ser válidas.
Cómo recuperar el acceso sin tu teléfono
- Acceder a las claves a través de otro dispositivo: si tus claves están sincronizadas entre dispositivos, simplemente inicia sesión en otro dispositivo dentro del mismo ecosistema (por ejemplo, otro dispositivo Apple o un ordenador con Google Password Manager). Una vez iniciada la sesión, tus passkeys estarán disponibles para su uso.
- Utilizar un gestor de contraseñas: si utiliza un administrador de contraseñas de terceros como Dashlane, 1Password, inicie sesión en su cuenta de administrador de contraseñas desde otro dispositivo. Tus claves de acceso sincronizadas se podrán recuperar siempre y cuando puedas autenticarte utilizando credenciales y cualquier medida de seguridad adicional como la autenticación de dos factores (2FA).
- Métodos de autenticación alternativos: muchos sitios web siguen ofreciendo opciones alternativas, como combinaciones de nombre de usuario y contraseña o métodos de recuperación basados en el correo electrónico para cuentas vinculadas con claves de acceso. Si no se dispone de otros dispositivos y se pierde el teléfono, estos métodos alternativos pueden ayudar a recuperar el acceso.
- Protocolos de recuperación para ecosistemas: ecosistemas como Apple y Google proporcionan opciones de recuperación para escenarios catastróficos en los que se pierden todos los dispositivos.
Mejores prácticas para minimizar el riesgo
- Activa la autenticación de dos factores (2FA): protege tu cuenta en la nube (por ejemplo, ID de Apple o cuenta de Google) con contraseñas seguras y 2FA para evitar el acceso no autorizado a las claves de acceso sincronizadas.
- Utiliza varios dispositivos: evita depender únicamente de un dispositivo para acceder a las claves. Sincronizar a través de múltiples dispositivos asegura la redundancia en caso de pérdida.
- Establecer contactos de recuperación: las plataformas permiten designar contactos de recuperación que pueden ayudar a recuperar el acceso en caso de emergencia.
- Haz copias de seguridad periódicas de las contraseñas: utiliza un gestor de contraseñas de confianza con capacidades de sincronización en la nube para asegurarte de que todas las claves de acceso están guardadas de forma segura y son accesibles desde múltiples dispositivos.
Conclusión
Los passkeys están transformando cómo protegemos nuestras cuentas digitales gracias a su seguridad superior frente a contraseñas tradicionales. Aunque aún enfrentan desafíos técnicos y educativos, están bien posicionados como el futuro estándar global para autenticación segura.
