Passkeys - Autenticación sin contraseña FIDO2

Lectura de 2 min aprox.

Una clave de acceso (passkey) es un método de autenticación sin contraseña basado en el estándar FIDO2 (Fast IDentity Online 2) que autentica a los usuarios mediante criptografía de clave pública en lugar de contraseñas. En vez de introducir una contraseña, los usuarios pueden iniciar sesión en un servicio con el mismo método que utilizan para desbloquear su dispositivo, como el reconocimiento de huellas dactilares, el reconocimiento facial o un PIN. Ofrece una alta resistencia al phishing y está ganando atención como una tecnología de autenticación de nueva generación que elimina de raíz el riesgo de filtración de contraseñas.

Antecedentes históricos

Las especificaciones FIDO sobre las que se construyen las claves de acceso fueron desarrolladas por la FIDO Alliance, fundada en 2012. En 2018, el W3C recomendó WebAuthn como estándar web, haciendo técnicamente posible la autenticación sin contraseña en los navegadores. El punto de inflexión llegó en 2022, cuando Apple, Google y Microsoft anunciaron conjuntamente la compatibilidad con las claves de acceso. Esto permitió la sincronización de las claves de acceso entre dispositivos y plataformas, y la adopción entre los usuarios generales ha cobrado un impulso decidido.

Cómo funciona

Las claves de acceso se basan en la criptografía de clave pública. Al registrarte en un servicio, se genera en tu dispositivo un par formado por una clave privada y una clave pública. La clave privada se almacena en un área segura del dispositivo (un enclave seguro o TPM) y solo la clave pública se envía al servicio. Al iniciar sesión, el dispositivo firma con la clave privada un desafío enviado por el servicio, y el servicio lo verifica con la clave pública. Como la clave privada nunca sale del dispositivo, tus credenciales permanecen seguras incluso si los datos del servidor sufren una filtración.

Por qué resisten el phishing

La mayor debilidad de las contraseñas es que pueden robarse simplemente logrando que alguien las escriba en un sitio falso convincente. Por muy cuidadosa que sea una persona, nadie puede distinguir de forma fiable todas las páginas falsas sofisticadas. Las claves de acceso rompen esta estructura en sí. Primero, no existe ningún secreto que el usuario deba escribir, de modo que el truco de «hacer que lo introduzca y robarlo» no puede funcionar. Además, una clave de acceso se crea vinculada al sitio donde se registró, y el navegador o el sistema operativo comprueba el destino de la conexión, por lo que en un sitio falso con un dominio distinto el procedimiento de firma ni siquiera comienza. Rechazar los sitios falsos por mecanismo, en lugar de depender de la vigilancia humana, es la razón por la que se dice que las claves de acceso resisten el phishing. Para el usuario, la sencillez de no tener nada que memorizar y desbloquear con biometría o similar va de la mano de esa seguridad.

Flujo de autenticación

Estado actual en la práctica y medidas para el período de transición

Las principales plataformas de Apple, Google y Microsoft son compatibles con las claves de acceso, y el número de servicios compatibles aumenta rápidamente. A fecha de 2025, muchos servicios importantes como Amazon, GitHub y PayPal admiten claves de acceso, y su adopción se está acelerando. Sin embargo, no todos los servicios admiten claves de acceso, por lo que de momento seguirán usándose junto con las contraseñas. Como consideración práctica, dado que las claves de acceso están vinculadas a un dispositivo, es importante asegurar de antemano métodos de recuperación por si el dispositivo se pierde o falla. Si activas la sincronización en la nube mediante el Llavero de iCloud o el Administrador de contraseñas de Google, podrás migrar sin problemas incluso al cambiar de dispositivo. Para los servicios que aún no admiten claves de acceso, la combinación de una contraseña aleatoria suficientemente larga y la autenticación de dos factores sigue siendo la mejor opción.