La realidad de la migración a passkeys - barreras de compatibilidad para empresas e individuos

Lectura de 11 min aprox.

Las passkeys (FIDO2/WebAuthn), el método de autenticación destinado a reemplazar las contraseñas, están ganando adopción rápidamente como una tecnología que combina resistencia al phishing con usabilidad. Según una encuesta de FIDO Alliance de 2024, los servicios compatibles con passkeys aumentaron más del 50% interanual, y las tres principales plataformas (Google, Apple y Microsoft) ahora admiten la sincronización de passkeys. Sin embargo, la migración real está plagada de problemas de compatibilidad: servicios que deberían funcionar pero no lo hacen, y fallos de autenticación al cambiar de dispositivo. Este artículo analiza técnicamente la realidad de la migración a passkeys en 2025, examina los desafíos que enfrentan tanto organizaciones como individuos, y presenta una hoja de ruta de migración gradual realista. Durante el período de transición, es fundamental usar contraseñas fuertes generadas en Passtsuku.com junto con las passkeys para evitar brechas de autenticación.

Conclusión - la migración a passkeys no es todo o nada

Intentar una migración completa a passkeys de una sola vez frecuentemente se estanca ante las barreras de compatibilidad. El enfoque realista es establecer un período híbrido usando tanto passkeys como contraseñas, migrando gradualmente comenzando por los servicios compatibles. Para servicios que aún no admiten passkeys, combine contraseñas aleatorias de 20 caracteres o más generadas en Passtsuku.com con autenticación de dos factores. Se espera que un entorno completamente sin contraseñas tarde hasta alrededor de 2027, cuando la estandarización de la industria avance más.

Cómo funcionan las passkeys técnicamente

Flujo de autenticación FIDO2/WebAuthn

Las passkeys son una tecnología de autenticación de criptografía de clave pública basada en el estándar FIDO2. Mientras que la autenticación tradicional por contraseña almacena información secreta (hashes de contraseñas) en el servidor, las passkeys almacenan solo la clave pública en el servidor, manteniendo la clave privada de forma segura en el dispositivo del usuario. Durante la autenticación, el servidor envía un desafío (datos aleatorios), y el dispositivo lo firma con la clave privada y lo devuelve. El servidor verifica la firma con la clave pública, por lo que ninguna información secreta viaja por la red. Este mecanismo elimina fundamentalmente el riesgo de ingresar credenciales en sitios de phishing. La API WebAuthn está implementada en los navegadores y verifica criptográficamente el origen (dominio) de las solicitudes de autenticación, por lo que la autenticación no puede tener éxito en sitios falsos que se hacen pasar por legítimos.

Sincronización de passkeys entre plataformas

Desde 2024, Apple (iCloud Keychain), Google (Google Password Manager) y Microsoft (Windows Hello) han implementado la sincronización de passkeys dentro de sus propios ecosistemas. Las passkeys se sincronizan automáticamente entre dispositivos Apple a través de iCloud Keychain y entre dispositivos Android a través de Google Password Manager. Sin embargo, aquí radica el mayor desafío. A abril de 2025, todavía no existe un método estandarizado para transferir una passkey creada en Apple a Android, o viceversa. FIDO Alliance publicó borradores de especificaciones para el Credential Exchange Protocol (CXP) y el Credential Exchange Format (CXF) para transferencia multiplataforma en 2024, pero la implementación en las principales plataformas no se espera hasta la segunda mitad de 2025 o más tarde.

Para comprender más profundamente cómo funcionan las passkeys técnicamente, guías técnicas de autenticación FIDO2 (Amazon) también pueden ser útiles.

Estado de soporte de los principales servicios en 2025

La adopción de passkeys avanza rápidamente, pero los niveles de implementación varían significativamente entre servicios. Las cuentas de Google, Apple y Microsoft pueden usar passkeys como autenticación primaria y admiten completamente el inicio de sesión sin contraseña. Amazon, PayPal, GitHub y Shopify también han añadido soporte, aunque algunos posicionan las passkeys como un método de autenticación de dos factores en lugar de eliminar las contraseñas por completo. En Japón, Yahoo! JAPAN comenzó el soporte de passkeys en 2023, y la cuenta d de NTT DOCOMO siguió en 2024. Sin embargo, muchos bancos nacionales y servicios gubernamentales permanecen sin soporte de passkeys. Según Passkeys.directory, aproximadamente 400 servicios en todo el mundo admitían passkeys en marzo de 2025, pero la mayoría de los servicios utilizados diariamente aún requieren autenticación por contraseña.

Desafíos de migración que enfrentan las organizaciones

Integración con sistemas heredados

La mayor barrera para la migración empresarial a passkeys es la integración con sistemas heredados. Muchas aplicaciones empresariales aún dependen de la autenticación por contraseña basada en LDAP o Active Directory, y añadir soporte FIDO2 requiere modificaciones en la capa de autenticación. Particularmente en industrias como finanzas y salud, los sistemas centrales que funcionan en mainframes o middleware antiguo a menudo no pueden actualizarse para admitir WebAuthn. Según una encuesta de Gartner de 2024, solo el 15% de las empresas con más de 1,000 empleados habían completado el despliegue de passkeys para sistemas internos, y el 60% citó la integración con sistemas heredados como el obstáculo principal. Un enfoque realista es introducir un proveedor de identidad (IdP) de SSO compatible con FIDO2 y usarlo como puente hacia los sistemas heredados, en lugar de modificar cada sistema individualmente.

Educación de usuarios y costos de soporte

Si bien el concepto de passkeys es intuitivo para usuarios técnicos, la experiencia de iniciar sesión sin ingresar una contraseña puede generar ansiedad en usuarios generales. Una encuesta de Hypr de 2024 encontró que el 42% de las empresas que implementaron passkeys reportaron un aumento temporal en las consultas de usuarios. Las consultas más comunes incluyen que se les pida una contraseña a pesar de haber configurado una passkey (comportamiento de respaldo del servicio), passkeys que no funcionan en nuevos dispositivos (retrasos de sincronización o falta de soporte), y no saber cómo recuperarse después de eliminar accidentalmente una passkey. Las organizaciones necesitan preparar manuales de respuesta del help desk antes de la migración y usar despliegues graduales para distribuir la concentración de consultas.

Desafíos que enfrentan los usuarios individuales

Problemas de recuperación por pérdida de dispositivo

El mayor riesgo con las passkeys es la recuperación cuando se pierde el dispositivo que contiene la clave privada. Con las contraseñas, los flujos de restablecimiento de "contraseña olvidada" están bien establecidos, pero con las passkeys, el dispositivo en sí es la clave de autenticación, lo que hace que la recuperación sea significativamente más difícil. Si usa la sincronización en la nube a través de iCloud Keychain o Google Password Manager, las passkeys se restauran simplemente iniciando sesión en un nuevo dispositivo. Sin embargo, si la sincronización en la nube está desactivada o al migrar entre plataformas (como cambiar de iPhone a Android), todas las passkeys deben volver a registrarse. Una encuesta de FIDO Alliance encontró que el 23% de los usuarios de passkeys "no conocen el procedimiento de recuperación por pérdida de dispositivo", y esta brecha de conocimiento es una barrera para la adopción.

Compartir cuentas con familia y equipos

Mientras que las contraseñas podían compartirse entre miembros de la familia (aunque no se recomienda), las passkeys son inherentemente difíciles de compartir porque están vinculadas a la autenticación biométrica o PINs del dispositivo. En la realidad, existen necesidades de compartir cuentas para cuentas familiares en servicios de streaming y cuentas compartidas para pequeñas empresas. Apple introdujo el uso compartido de passkeys a través de AirDrop en 2024, pero esto se limita a dispositivos Apple. Los gestores de contraseñas de terceros como 1Password y Dashlane han comenzado a admitir el almacenamiento y uso compartido de passkeys, pero esto no funciona si el servicio no permite el almacenamiento de passkeys de terceros. Este problema representa una contradicción fundamental entre la filosofía de diseño de passkeys (autenticación vinculada a individuos) y los casos de uso del mundo real (cuentas compartidas), y la resolución a corto plazo es difícil.

Hoja de ruta de migración gradual

Fase 1: Registrar passkeys para cuentas principales (ahora)

Comience registrando passkeys para servicios que las admitan completamente, como cuentas de Google, Apple y Microsoft. Estos servicios permiten el uso simultáneo de passkeys y contraseñas, por lo que agregar una passkey no desactivará su método de inicio de sesión existente. Incluso después de registrar passkeys, mantenga contraseñas fuertes generadas en Passtsuku.com como autenticación de respaldo. Sirven como alternativa si las passkeys no pueden usarse por alguna razón.

Fase 2: Integración del gestor de contraseñas (1-3 meses)

Adopte un gestor de contraseñas que admita almacenamiento de passkeys (1Password, Dashlane, Bitwarden, etc.) y gestione centralmente tanto passkeys como contraseñas. Esto resuelve el problema multiplataforma, ya que los gestores de contraseñas de terceros funcionan en Apple, Android y Windows. Migre todas las contraseñas existentes al gestor de contraseñas y genere contraseñas únicas de 16 caracteres o más para cada servicio en Passtsuku.com.

Fase 3: Transición gradual a sin contraseña (6-12 meses)

A medida que más servicios admitan passkeys, transite gradualmente a sin contraseña comenzando con servicios donde las contraseñas pueden desactivarse. Sin embargo, eliminar contraseñas en todos los servicios no es realista a partir de 2025. Para servicios que no admiten passkeys, continúe usando contraseñas fuertes generadas en Passtsuku.com combinadas con autenticación de dos factores. Después de 2026, cuando la implementación de las especificaciones CXP/CXF avance y la migración multiplataforma sea más fácil, una transición completa a un entorno sin contraseñas será más realista.

Lo que puede hacer ahora mismo

1. Registre una passkey en la configuración de seguridad de su cuenta de Google (Configuración → Seguridad → Passkeys y llaves de seguridad)
2. Actualice las contraseñas de servicios sin soporte de passkeys a 16 caracteres o más en Passtsuku.com
3. Verifique el estado de soporte de passkeys para sus servicios en Passkeys.directory
4. Verifique sus métodos de recuperación de passkeys (habilitar sincronización en la nube, métodos de autenticación de respaldo)
5. Active la autenticación de dos factores en todas las cuentas, prefiriendo aplicaciones de autenticación sobre SMS

Preguntas frecuentes

¿Ya no necesito una contraseña después de configurar una passkey?

La mayoría de los servicios conservan su contraseña incluso después de configurar una passkey. Las passkeys funcionan como el método de inicio de sesión preferido, pero se recomienda mantener una contraseña como respaldo en caso de pérdida del dispositivo o problemas con la passkey. Establecer una contraseña fuerte de 16 caracteres o más en Passtsuku.com garantiza que pueda iniciar sesión de forma segura incluso cuando las passkeys no estén disponibles.

¿Qué pasa con mis passkeys al cambiar de iPhone a Android?

A abril de 2025, no existe un método estándar para transferir directamente las passkeys almacenadas en iCloud Keychain a Android. Necesita volver a registrar las passkeys en el nuevo dispositivo Android para cada servicio. Usar un gestor de contraseñas de terceros como 1Password permite la gestión multiplataforma de passkeys, pero requiere soporte del lado del servicio. Una vez que se implementen las especificaciones CXP/CXF de FIDO Alliance, se espera que este problema se resuelva.

Estamos considerando implementar passkeys en nuestra organización. ¿Por dónde deberíamos empezar?

Primero, verifique si su proveedor de identidad (IdP) de SSO admite FIDO2. Si el IdP admite passkeys, puede introducir la autenticación por passkey sin modificar las aplicaciones individuales. Luego, realice un piloto con un grupo pequeño del departamento de TI para comprender los patrones de consultas al help desk antes del despliegue en toda la empresa. Durante el período de transición, es importante mantener contraseñas fuertes y autenticación de dos factores en todas las cuentas.