Autenticación sin contraseña - Más allá de las contraseñas
Lectura de 2 min aprox.
La autenticación sin contraseña es un término genérico para los métodos de autenticación que verifican la identidad sin usar una contraseña. Existen múltiples implementaciones, como las claves de acceso, las llaves de seguridad, la autenticación biométrica y los enlaces mágicos. Al eliminar el «secreto compartido» que es la contraseña, todos ellos resuelven de raíz las vulnerabilidades propias de las contraseñas, como la filtración, la reutilización y el phishing. En 2025, Microsoft cambió el valor predeterminado de las cuentas nuevas a sin contraseña, impulsando una migración a gran escala que afecta a más de mil millones de usuarios.
Por qué resuelve de raíz los problemas de las contraseñas
La autenticación por contraseña tiene fallos estructurales. El servidor debe almacenar un secreto (la contraseña con hash), por lo que se filtra un gran volumen de credenciales cuando el servidor se ve comprometido. Como los usuarios dependen de la memoria, la fatiga de contraseñas los lleva a reutilizar y simplificar, convirtiéndolos en objetivos del relleno de credenciales. La autenticación sin contraseña resuelve estos problemas de la siguiente manera.
En el servidor solo se almacena la clave pública. Aunque se filtre, no puede usarse de forma indebida.
Como no existe ninguna contraseña, la reutilización en sí se vuelve imposible.
Los métodos basados en FIDO2 verifican el origen, por lo que la autenticación no se completa en sitios falsos.
Clasificación de los métodos de implementación
| Método | Funcionamiento | Resistencia al phishing | Uso principal |
|---|---|---|---|
| Clave de acceso | Criptografía de clave pública FIDO2 + sincronización en la nube | ◎ Alta | Servicios orientados al consumidor |
| Llave de seguridad | Criptografía de clave pública FIDO2 + dispositivo físico | ◎ Alta | Entornos empresariales de alta seguridad |
| Enlace mágico | Envía una URL de inicio de sesión temporal por correo electrónico | △ Baja | SaaS como Slack y Notion |
| Autenticación biométrica (independiente) | Coteja huella, rostro o iris en el dispositivo | ○ Moderada | Desbloqueo de un smartphone |
Los enlaces mágicos eliminan las contraseñas, pero pueden ser vulnerados si se compromete la cuenta de correo, por lo que su resistencia al phishing es limitada. Las claves de acceso y las llaves de seguridad basadas en FIDO2/WebAuthn son las opciones más robustas en cuanto a seguridad.
Un error común - sin contraseña ≠ ninguna contraseña en absoluto
El nombre «sin contraseña» tiende a dar la impresión de que las contraseñas dejan de ser necesarias por completo, pero la realidad es algo más compleja. La sincronización en la nube de las claves de acceso requiere la contraseña de un Apple ID o de una cuenta de Google, y la contraseña maestra de un gestor de contraseñas sigue existiendo. Lo que la autenticación sin contraseña elimina es «la carga de gestionar una contraseña distinta para cada servicio»; en la práctica, a menudo sigue existiendo una contraseña en el núcleo de la infraestructura de autenticación.
Estado actual de la adopción y desafíos del período de transición
En 2025, las tres grandes plataformas Apple, Google y Microsoft son compatibles con las claves de acceso, y su adopción avanza entre servicios destacados como GitHub, Amazon y PayPal. Sin embargo, no todos los servicios migran a la vez a sin contraseña, por lo que de momento continuará la operación paralela de contraseñas y autenticación sin contraseña.
Un desafío práctico durante la transición es que los servicios sin compatibilidad con claves de acceso siguen exigiendo que gestiones contraseñas fuertes con un gestor de contraseñas. Revisar también los desafíos de migrar a claves de acceso y los fundamentos de la autenticación de dos factores facilita trazar un plan de migración por fases.libros técnicos sobre autenticación sin contraseña (Amazon) también son referencias útiles para la implementación.
Casos de uso reales
«Tras migrar nuestro Microsoft 365 interno a sin contraseña (Windows Hello + Authenticator), las solicitudes de restablecimiento de contraseña al servicio de asistencia pasaron de 150 al mes a cero. El tiempo de inicio de sesión también se redujo de un promedio de 12 segundos a 3 segundos, mejorando enormemente la satisfacción de los empleados.»
Los riesgos de la autenticación biométrica también son un tema importante que conviene comprender al adoptar la autenticación sin contraseña.
¿Te resultó útil este artículo?